Copias de seguridad y recuperación en la industria metalúrgica y de fabricación: ¿cuándo las probó por última vez?
La pregunta que importa no es si existe una copia de seguridad, sino cuándo alguien intentó por última vez restaurarla. Una copia de seguridad que se realiza pero nunca se restaura puede estar incompleta, dañada, o simplemente no ser compatible con la máquina en la que alguna vez debe instalarse. No lo descubrirá mirando un archivo de registro, sino intentándolo de verdad.
Para la industria metalúrgica y de fabricación, esta no es una cuestión teórica. Los controles CNC, el software MES, los PLC y los sistemas de planificación que los rodean están cada vez más conectados a la misma red que la automatización de oficina. Si esa red se cae por un defecto técnico o por un incidente, la pregunta no es solo si los datos vuelven, sino si la línea de producción vuelve a funcionar en un tiempo razonable. De eso trata el deber de diligencia de la Directiva NIS2: no de poseer una copia de seguridad, sino de poder demostrar que se puede recuperar.
Por qué una prueba de recuperación pesa más que la copia de seguridad en sí
Una estrategia de copia de seguridad suele constar de tres componentes: qué se copia, con qué frecuencia y dónde se guarda. Estos son los componentes que las empresas generalmente tienen en orden, a menudo desde hace años a través de su proveedor de TI. El cuarto componente falta en muchas pymes: una prueba planificada y repetida en la que alguien restaura realmente la copia de seguridad en un entorno de prueba y verifica que el resultado funciona.
Esa prueba muestra si la copia de seguridad y la recuperación se ajustan realmente la una a la otra. Una copia de seguridad de un servidor de base de datos sin los archivos de configuración correspondientes de la máquina conectada a menudo no es útil en la práctica. Lo mismo ocurre con una copia de seguridad que contiene el archivo, pero no la clave de licencia o la conexión con el control que maneja la línea de producción. Ese tipo de lagunas solo las encuentra restaurando, no leyendo la configuración.
Qué significa esto para los sistemas conectados a la red
Los sistemas de producción que una vez funcionaban independientemente de la red de oficina, en muchas empresas ahora están conectados a ella: para mantenimiento remoto, para datos de planificación, o porque un proveedor necesita acceso para actualizaciones. Esa conexión hace que la empresa sea más eficiente, pero también significa que un corte o incidente en la red de oficina puede afectar a la planta de producción.
Al probar la recuperación, por lo tanto, es útil distinguir entre la copia de seguridad de sistemas administrativos y la copia de seguridad de sistemas de producción. Ambos tienen su propio tiempo de recuperación, su propio propietario y su propio riesgo si algo sale mal. Una prueba que solo cubre el servidor de oficina no dice nada sobre qué tan rápido una máquina CNC puede leer un dibujo de nuevo después de una falla.
Qué documenta y por qué es tan importante como la prueba en sí
Una prueba de recuperación que nadie ha documentado es indistinguible para una autoridad de control o un cliente de una prueba que nunca tuvo lugar. Documentar no tiene que ser complicado: la fecha de la prueba, qué sistema se restauró, quién la realizó y cuál fue el resultado. Esa es exactamente la clase de evidencia que reaparece en una lista de preguntas de seguridad de un cliente, y la clase de respaldo que se vuelve relevante al informar de un incidente.
Quien desee organizar esto por medida, encontrará en el resumen de todos los temas según cada situación cómo la copia de seguridad y la recuperación se relacionan con las otras nueve medidas del deber de diligencia, como el control de acceso y el registro de incidentes. Eso evita que la recuperación quede aislada, separada del resto del dossier.
Con qué frecuencia es suficiente probar
No existe un plazo fijo que se aplique a todas las empresas; depende de lo crítico del sistema y de la rapidez con que deba volver a funcionar después de una interrupción. Una prueba anual puede ser insuficiente para algunos sistemas y más que adecuada para otros. Los supervisores y la propia directiva no prescriben un intervalo; esperan que una organización pueda explicar por qué la frecuencia elegida es apropiada para la importancia del sistema.
¿Duda si su empresa está obligada como entidad esencial o importante bajo la obligación de diligencia debida, o solo recibe preguntas sobre copias de seguridad a través de un cliente, entonces la verificación NIS2 le ofrece una primera indicación en unos pocos pasos. Las preguntas más frecuentes sobre qué es y qué no es obligatorio se encuentran reunidas en la página de preguntas frecuentes.
Una prueba de recuperación requiere tiempo, pero menos que reconstruir un sistema de producción sin saber si la copia de seguridad funciona. ¿Desea ver cómo esto encaja con las demás obligaciones en un único expediente, con un estado, una prueba y un responsable por medida? Primero realice la verificación NIS2 gratuita, o lea con tranquilidad en la base de conocimientos.