"¿Tienen respaldos?" "Sí." Esa conversación tranquiliza a mucha gente que no debería estar tranquila. Porque tener backups no es tener continuidad. Un respaldo que nunca se probó restaurar es una esperanza, no un plan.
Bajo un marco de compliance, la continuidad y la recuperación ante desastres (DR) dejan de ser "tenemos backups" y se vuelven un control probado y evidenciado. Ahí está la diferencia que importa.
De la promesa a la prueba
SOC 2 e ISO 27001 no te preguntan si respaldas — te piden evidencia de que puedes recuperarte. Eso significa: objetivos definidos de RPO (cuántos datos puedes perder) y RTO (en cuánto tiempo vuelves a operar), y pruebas de restauración documentadas que demuestran que esos objetivos se cumplen. La promesa "tenemos backups" no pasa una auditoría; la prueba "restauramos en X horas, aquí está la bitácora" sí.
La regla que sostiene todo
El estándar sigue siendo 3-2-1: tres copias de tus datos, en dos medios distintos, con una fuera de sitio (idealmente inmutable, para que un ransomware no la toque). Pero el 3-2-1 sin pruebas de restauración periódicas es media solución — el control de compliance es el ciclo completo: respaldar, replicar, y verificar que restauras.
Por qué conviene verlo así
Porque el día que de verdad lo necesites —un ransomware, una falla de hardware, un error humano— no vas a querer descubrir que el respaldo no servía. El control de compliance te obliga a probarlo antes de la emergencia. Es, una vez más, la lógica del andamiaje: el proceso que te acredita es el mismo que te salva.
Preguntas frecuentes
help ¿Tener respaldos es lo mismo que tener continuidad?
No. Un respaldo que nunca se probó restaurar es una esperanza, no un plan. La continuidad exige objetivos de recuperación (RPO/RTO) y pruebas de restauración documentadas que demuestren que puedes volver a operar.
help ¿Qué es la regla 3-2-1?
Tres copias de tus datos, en dos medios distintos, con una fuera de sitio (idealmente inmutable). Es el estándar de respaldo, pero solo funciona como control si se acompaña de pruebas de restauración periódicas.
help ¿Qué evidencia de DR pide una auditoría de compliance?
Objetivos definidos de RPO y RTO, y bitácoras de pruebas de restauración que demuestren que esos objetivos se cumplen. No basta con afirmar que respaldas: hay que comprobar que restauras.
Rubén Espinoza es fundador y Director Técnico de IT Experts de México. Trabaja en la industria de TI desde 1998: diseña y opera soluciones de infraestructura, ciberseguridad, continuidad, automatización y tecnología OT para entornos empresariales e industriales. Escribe desde proyectos reales y sistemas en producción.
Ver perfil y todos sus artículos →