Cybersecurity Starter Kit: Section 7
En esta sección, aprenderás a:
Creación de copias de seguridad y prácticas de recuperación
Un archivo puede borrarse por error, un ordenador portátil puede averiarse o una cuenta puede dejar de estar disponible. El ransomware también puede impedirte acceder a la información al cifrarla y exigirte un pago.
Una copia de seguridad es una copia independiente y recuperable de la información. Ayuda a tu organización sin ánimo de lucro a recuperar registros importantes y a seguir trabajando cuando surge algún problema.
El objetivo es saber qué se puede recuperar, de cuándo será y quién puede restaurarlo. No es necesario que comprendas todos los detalles técnicos, pero sí necesitas respuestas claras a esas preguntas.
Empieza por lo más importante
Utiliza tu inventario de protección para identificar la información y los servicios que tu organización no podría sustituir fácilmente. Ten en cuenta lo siguiente:
Cada servicio puede requerir medidas de recuperación diferentes. Una copia de seguridad de los archivos de la oficina no incluye necesariamente tu página web, tu correo electrónico o tu plataforma de recaudación de fondos. Hazte estas dos preguntas prácticas:
- ¿Cuánto trabajo reciente podríamos permitirnos perder? Si los registros cambian a diario, una copia de seguridad mensual puede suponer demasiado trabajo a la hora de restaurarlos.
- ¿Cuánto tiempo podríamos aguantar sin acceso? Es posible que la información necesaria para las citas con los clientes de mañana requiera una recuperación más rápida que la de un archivo de boletines informativos anteriores.
Estas respuestas ayudan a determinar con qué frecuencia es necesario realizar copias de seguridad y qué es lo que se debe restaurar en primer lugar.
Entiende lo que ya tienes
El almacenamiento en la nube, la sincronización y las copias de seguridad pueden complementarse, pero cada uno cumple una función diferente.
Almacenamiento en la nube
Almacena información en los sistemas de un proveedor.
Qué hay que comprobar: ¿Qué ocurre si se borran archivos, se ve comprometida la cuenta o el servicio deja de estar disponible?
Sincronización
Mantiene la coherencia de los archivos en todos los dispositivos o ubicaciones.
Qué hay que comprobar: es posible que también se sincronicen las eliminaciones o los cambios no deseados.
Historial de versiones o recuperación de archivos eliminados
Puede que te permita recuperar una versión anterior o un elemento eliminado.
Qué hay que comprobar: ¿Hasta cuándo se puede remontar, qué está cubierto y quién puede restaurarlo?
Copia de seguridad
Conserva copias recuperables para su uso en caso de pérdida o daños.
Qué hay que comprobar: ¿Están las copias protegidas para que un mismo incidente no afecte a la información operativa?
Por ejemplo, al eliminar una carpeta compartida de un ordenador portátil, es posible que también se elimine del almacenamiento en la nube sincronizado. Aún podría ser posible recuperar los datos mediante las funciones de recuperación del servicio, pero solo dentro de sus límites.
“Está en la nube” no es un plan de recuperación completo. Comprueba qué ofrece tu servicio en lugar de dar por sentado que todo se puede restaurar.
Conoce las opciones
Tu organización sin ánimo de lucro puede utilizar un servicio de copias de seguridad, un disco duro externo, un servicio gestionado por un proveedor o una combinación de estos.
- Disco duro externo – Requiere un almacenamiento seguro y una rutina de copias de seguridad acordada. Una unidad que se deje conectada puede verse afectada por el mismo ataque que el ordenador.
- Servicio de copia de seguridad en la nube -Puede automatizar las copias de seguridad y guardar copias fuera de sus instalaciones. Compruebe la cobertura, los límites de recuperación, la protección del acceso y los costes.
- Copias de seguridad gestionadas por el proveedor – Puede reducir la carga de trabajo de tu equipo, pero las responsabilidades, la cobertura y el apoyo en la recuperación deben quedar bien claros.
- Funcionalidades de recuperación incluidas en los servicios actuales – Pueden ofrecer una protección útil. Comprueba si se ajustan a tus necesidades o si es necesario complementarlos.
Empieza por revisar las características y los acuerdos existentes. Es posible que haya carencias que requieran más espacio de almacenamiento, una organización diferente o algún gasto. Identifica esas carencias para que la dirección pueda tomar decisiones fundamentadas.
Protege también las copias de seguridad
Las copias de seguridad pueden contener la misma información confidencial que tus registros de trabajo. Limita el acceso, protege las cuentas de copia de seguridad con autenticación multifactorial (MFA) cuando sea posible y utiliza el cifrado para la información confidencial de las copias de seguridad.
Evita que todas las copias queden expuestas a un mismo incidente. Un disco duro que se encuentre junto a un ordenador portátil podría perderse en el mismo robo o incendio. Una copia de seguridad gestionada a través de la misma cuenta comprometida también podría borrarse.
Entre las opciones se incluyen guardar una copia fuera de las instalaciones, desconectar una unidad de copia de seguridad cuando no se utilice o recurrir a un servicio que proteja las copias conservadas contra cualquier alteración o eliminación.
El Centro Canadiense de Ciberseguridad recomienda disponer de varias copias, un almacenamiento externo y una copia de seguridad fuera de línea. Es posible que hayas oído hablar de la Regla del 3-2-1: tres copias en total, en dos tipos diferentes de soportes de almacenamiento, una de ellas fuera de las instalaciones. El objetivo práctico es evitar perder todas las copias a la vez.
Aclara quién se encarga de qué
Asignar la responsabilidad de:
- Confirmar qué información y servicios están incluidos.
- Comprobación de que las copias de seguridad programadas se hayan completado.
- Hacer un seguimiento de los errores o de la información que falte.
- Mantener el acceso protegido a la recuperación.
- Probar la restauración y registrar los resultados.
Incluye a una persona de apoyo. Si un proveedor se encarga del trabajo, designa a alguien de tu organización sin ánimo de lucro que revise el acuerdo y plantee las dudas que surjan.
Pregunta al profesional sanitario: “Si hoy perdiéramos el acceso a esta información, ¿qué se podría recuperar, a partir de qué fecha, cuánto tiempo llevaría y qué tendríamos que hacer?”
Una respuesta clara es más útil que una garantía general de que las copias de seguridad se están realizando.
Practica cómo recuperar información
Una notificación de copia de seguridad correcta indica que un proceso se ha completado. No garantiza que la información pueda restaurarse y utilizarse. Empieza con una prueba pequeña y planificada:
1.
Selecciona un archivo representativo que esté incluido en la copia de seguridad.
2.
Restaura una copia en una ubicación de prueba segura sin borrar ni sobrescribir el archivo de trabajo.
3.
Comprueba que se abre y que contiene la información esperada.
4.
Anota cuánto tiempo se tardó, quién realizó la prueba y cualquier problema que haya surgido.
Mantén protegida la información confidencial recuperada y elimina las copias de prueba temporales cuando ya no sean necesarias.
Una prueba con un archivo es un buen punto de partida. No garantiza que se pueda recuperar la totalidad de un sitio web, una base de datos o un servicio. Acuerda con tu proveedor la realización de las pruebas adecuadas para esos sistemas.
El Centro Canadiense de Ciberseguridad recomienda comprobar periódicamente que la restauración funcione según lo previsto.
Comprender qué es lo que las copias de seguridad no pueden solucionar
Las copias de seguridad ayudan a recuperar la información. No permiten revertir la divulgación si alguien ya la ha copiado o publicado.
La recuperación también debe abordar la causa del problema. Tras el acceso no autorizado a una cuenta o un incidente de ransomware, restaurar la información antes de proteger el entorno afectado podría exponerlo de nuevo.
Utiliza tu proceso de respuesta ante incidentes para coordinar la recuperación. Mantén las instrucciones de recuperación esenciales y los datos de contacto accesibles a través de una alternativa protegida en caso de que tu cuenta o dispositivo habitual no estén disponibles.
Establecer las medidas de conservación y revisión
Decida durante cuánto tiempo deben conservarse las copias de seguridad, teniendo en cuenta las necesidades de recuperación y los requisitos de conservación que se tratan en Sección 6.
Las copias antiguas pueden ayudar a solucionar un problema detectado tarde, pero conservar todo de forma indefinida genera más información que hay que proteger. Averigua cómo gestiona tu proveedor las copias conservadas y su eventual eliminación.
Revisa la cobertura de las copias de seguridad cuando añadas un servicio, traslades archivos, sustituyas dispositivos o cambies de proveedor.
Una propuesta de norma de política
La información organizativa esencial debe estar cubierta por medidas documentadas de copia de seguridad y recuperación. La frecuencia de las copias de seguridad y el periodo de conservación deben ajustarse a las necesidades operativas y a los requisitos aplicables. Las copias deben protegerse contra el acceso no autorizado y contra cualquier incidente que afecte a la información operativa. El personal designado debe comprobar que se han realizado correctamente las copias de seguridad, probar la recuperación y hacer un seguimiento de los fallos.
Antes de adoptar esta norma, hay que determinar qué aspectos abarca, el calendario, las personas responsables y cómo se comprobará la restauración.
Comprueba tus planes de recuperación
Elige una prueba de recuperación, designa a una persona responsable y fija una fecha. Si hay alguna respuesta que no se conozca, anota quién se encargará de confirmarla.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Se ha determinado qué debe poder recuperarse y en qué plazo.
- He comprobado la cobertura y los límites de los contratos vigentes.
- Se le ha asignado la responsabilidad de las copias de seguridad y la recuperación.
- Se ha planificado una prueba de restauración y un seguimiento de las posibles deficiencias.
A continuación, analizarás las preguntas que debes plantear a los proveedores y prestadores de servicios para que tu organización sin ánimo de lucro comprenda qué es lo que protegen, qué es lo que cubren y qué sigue siendo responsabilidad tuya.
Sección 8: Plantea las preguntas adecuadas a los proveedores
Proteger tu organización sin ánimo de lucro cuando utilizas servicios de terceros implica comprender las responsabilidades de cada proveedor en materia de seguridad, gestionar el acceso y la información, y saber cómo obtener asistencia cuando sea necesario.
English 
French 
Chinese 
Spanish 
Ukrainian 