Una copia de seguridad solo cuenta si también sabe que su restauración funciona. No como suposición, sino como algo que realmente ha probado: ha realizado una restauración, ha medido cuánto tiempo tardó y ha comprobado si todo estaba de nuevo como debería estar. Sin esa prueba, solo sabe que en algún lugar existe una copia, pero no si esa copia le ayudará alguna vez.
Para una empresa de instalación, esta no es una pregunta teórica. Detrás de la planificación de instaladores, códigos de acceso de edificios de clientes y conexiones con sistemas de seguridad hay sistemas que, si fallan, no solo afectan el funcionamiento de su propio negocio sino también el acceso de un cliente a su propio edificio. Quien maneja el equipo de servicio que opera una puerta, una alarma o un sistema de climatización de forma remota es, para ese cliente, un eslabón que simplemente debe seguir funcionando.
Por qué una copia de seguridad no probada no cuenta
Una copia de seguridad puede resultar inutilizable en el momento en que la necesita por muchas razones. El archivo está corrompido, falta la clave para descifrarlo, no hay constancia del orden en el que los sistemas deben recuperarse, o simplemente tarda mucho más de lo que nadie esperaba. No lo descubre durante un tranquilo martes, lo descubre cuando la planificación de todos sus instaladores ha fallado y un cliente pregunta por qué su sistema de acceso lleva dos días sin responder.
La obligación de diligencia que se deriva de la Directiva NIS2 no menciona la copia de seguridad y recuperación como un detalle técnico menor, sino como una de las medidas fundamentales. Lo que la Directiva en sí no hace es prescribir una frecuencia de prueba fija: con qué frecuencia prueba no aparece como un número concreto en el texto. Los supervisores generalmente observan en este tipo de medidas si una organización puede demostrar que sabe qué sistemas son críticos y que comprueba regularmente si la recuperación funciona realmente, de manera acorde con el grado en que la empresa depende de esos sistemas.
Lo que afecta específicamente a las empresas de instalación
Para una empresa de instalación no se trata solo de la propia contabilidad. Piense en el software de planificación en el que los instaladores reciben sus rutas y tareas, el CRM con datos de contratos y plazos de garantía de clientes, y las conexiones con sistemas de acceso o sistemas de gestión de edificios en clientes. Un instalador que puede conectarse a la red de un cliente a través de una conexión VPN es, para ese cliente, una puerta adicional hacia adentro, una puerta que también debe poder cerrarse si algo sale mal.
Precisamente esas conexiones hacen que la recuperación sea más complicada que en un sistema de oficina ordinario. No se trata solo de restaurar sus propios datos, sino también de si los derechos de acceso, certificados y contraseñas para entornos de cliente son correctos después de una recuperación. Una prueba que solo restaura su propio sistema de archivos dice poco sobre si la conexión con un cliente funciona de nuevo como se acordó después de una interrupción.
Lo que una prueba implica concretamente
Una prueba de recuperación útil consta de varios componentes fijos: restaura realmente una copia de seguridad, preferiblemente en un entorno separado para que la prueba no suponga un riesgo para el trabajo en curso. Mide cuánto tiempo lleva y lo compara con lo que es aceptable para su planificación y sus acuerdos con clientes. Comprueba que todos los datos están completos y sean utilizables, incluidas las conexiones con sistemas externos. Y deja constancia de quién realizó la prueba, cuándo y qué resultó, también si el resultado no fue bueno, porque precisamente eso es lo que lo impulsa a mejorar.
Ese registro es inmediatamente la prueba que un cliente puede solicitar en un cuestionario de seguridad, y es la parte que un supervisor espera encontrar en un expediente sobre la obligación de diligencia. Quien quiera verificar por sí mismo si ese expediente ya está en orden, o si aún debe comenzar, lo encontrará en una verificación breve sobre su situación actual una orientación inicial, con una explicación del motivo.
Para empresas que no están seguras de si estas obligaciones les afectan directamente o principalmente a través de los requisitos de un cliente, la distinción entre estar sujeto a la obligación de manera directa y estar afectado a través de la cadena de suministro suele ser el punto de partida. Esa diferencia, y lo que significa para el resto de sus medidas, se explica con detalle entre los temas seleccionados según la situación.
Quienes después de leer este tipo de medidas tienen principalmente preguntas prácticas —sobre qué implica una cuenta, qué permanece gratuito y qué no— encontrarán la mayoría de las respuestas en las preguntas frecuentes sobre la plataforma. Y para quienes deseen mantener realmente el dossier, con un estado y un responsable por medida, en la página de suscripciones encontrará lo correspondiente.
Si una copia de seguridad sin probar representa en su caso un riesgo que una autoridad supervisora evaluaría de manera diferente a la de una copia probada, no es algo que este artículo pueda determinar para usted —depende de sus propios sistemas y acuerdos, y para ello sigue siendo necesario acudir a un abogado o a la autoridad supervisora. Si desea obtener primero una idea de su situación, no dude en realizar el análisis rápido gratuito o consulte los temas desarrollados para su sector.