Montas Veeam —o el producto de respaldo que sea—, respaldas tus servidores y tus datos, y duermes tranquilo. Buena decisión. Pero hay una pregunta incómoda que casi nadie se hace hasta que es tarde: ¿y a tu sistema de respaldo, quién lo respalda? Si toda tu capacidad de recuperación depende de un solo producto, un solo servidor de respaldo y un solo repositorio, acabas de crear un punto único de falla en el lugar más crítico: el que se supone que te salva cuando todo lo demás falla. Este artículo no es contra Veeam —es una excelente herramienta—; es sobre no confiarle todo a una sola canasta.
El ataque va primero por los respaldos
Aquí está el dato que cambia la perspectiva: el ransomware moderno busca y destruye los respaldos antes de cifrar el resto. Los atacantes saben que si tienes backups buenos, no les pagas; así que su primer objetivo es dejarte sin ellos. Un servidor de respaldo comprometido, un repositorio accesible desde la red infectada, credenciales de backup robadas: por ahí atacan. Si tu única defensa es ese sistema, y lo alcanzan, te quedaste sin nada justo cuando más lo necesitabas. El respaldo no es una zona segura por definición; es un objetivo prioritario.
Las capas que protegen al que protege
Proteger tu sistema de respaldo tiene varios frentes, y se complementan:
- Inmutabilidad. Copias que, una vez escritas, no se pueden alterar ni borrar por un tiempo definido, ni siquiera por un administrador comprometido. Es la defensa directa contra el ransomware que quiere destruir backups. Lo tratamos a fondo en inmutabilidad y repositorios endurecidos.
- La regla 3-2-1 (y sus evoluciones). Tres copias, en dos medios distintos, una fuera de sitio. Precisamente para que ningún evento único —incluido el que tumbe tu respaldo principal— se lleve todo. Es el cimiento, desarrollado en la estrategia 3-2-1-1-0.
- Respaldar la propia configuración del sistema de respaldo. La base de datos y configuración de Veeam también deben respaldarse, para poder reconstruir el orquestador si el servidor muere.
- Una segunda solución independiente. El punto de este artículo: no depender de un solo producto.
La segunda capa independiente: el caso de Synology
Una de las formas más sólidas de resiliencia es tener una segunda solución de respaldo, con distinto software y distinto almacenamiento, que proteja lo esencial en paralelo. La lógica es la misma que la de no usar un solo proveedor para nada crítico: si un fallo del propio producto, un error de configuración o un ataque compromete tu respaldo principal, la segunda capa —que no comparte ni el software ni el repositorio— sigue en pie.
Aquí es donde entra, por ejemplo, Synology Active Backup for Business. Es una solución de respaldo que corre sobre un NAS Synology, sin costo de licencia adicional (viene con el equipo), capaz de respaldar máquinas virtuales, servidores físicos, equipos y hasta servicios en la nube. Usada junto a un respaldo principal como Veeam —no en su lugar—, aporta exactamente esa segunda capa independiente: otro software, otro almacenamiento, otra cadena de credenciales. Si una falla, la otra responde. No se trata de cuál producto es mejor, sino de que dos sistemas independientes son mucho más difíciles de tumbar a la vez que uno solo.
La idea que se queda
El respaldo es tu última línea de defensa, y una última línea con un solo punto de falla no es una gran última línea. La resiliencia real no viene de el mejor producto de respaldo, sino de una arquitectura donde ninguna falla única —ni siquiera la del propio sistema de respaldo— te deja sin salida: inmutabilidad, copias separadas siguiendo el 3-2-1, y una segunda solución independiente. Porque de nada sirve respaldar religiosamente si nunca probaste la recuperación y toda tu fe está puesta en una sola canasta que el atacante ya aprendió a buscar primero.