Còpies 3-2-1 i immutables: com comprovar que les vostres còpies serveixen

Gairebé totes les empreses diuen que tenen còpies de seguretat. Moltes menys han intentat restaurar-les. I és en aquest moment, amb un disc espatllat o amb els fitxers xifrats per un ransomware, quan es descobreix que la còpia feia mesos que fallava, que no incloïa la base de dades o que era al mateix NAS que s’ha xifrat. Aquesta guia explica com muntar les còpies perquè sobrevisquen al pitjor i, sobretot, com comprovar que serveixen.

La regla 3-2-1, explicada

És una recomanació clàssica i continua vigent:

• 3 còpies de les dades: els originals i dues còpies.
• 2 suports diferents: per exemple, un NAS i el núvol, o un NAS i discos externs rotatius.
• 1 còpia fora de l’oficina: si hi ha un robatori, un incendi o una inundació, la còpia no pot estar al mateix lloc.

Hui es parla sovint de 3-2-1-1-0: el mateix, més una còpia immutable o desconnectada i zero errors en les verificacions. És la versió pensada per al ransomware.

Per què el ransomware va canviar les còpies

Els atacs de ransomware no es limiten a xifrar els ordinadors: busquen les còpies accessibles des de la xarxa (el NAS, la carpeta de còpies, el servidor de backup) i les xifren o les esborren abans. Si la vostra única còpia està muntada com a unitat de xarxa als equips, és tan vulnerable com els originals.

Per això cal almenys una còpia que l’atacant no puga tocar:

• Immutable: emmagatzematge amb bloqueig d’objectes (object lock) al núvol, o repositoris amb retenció bloquejada, on ni l’administrador pot esborrar abans d’hora.
• Desconnectada (air gap): discos que es connecten només per fer la còpia i es guarden fora, o cintes.
• Credencials separades: el sistema de còpies no ha de fer servir el mateix compte d’administrador del domini.

Què cal copiar (i se sol oblidar)

• Servidors i màquines virtuals, inclosa la seua configuració, no només els fitxers.
• Bases de dades amb un bolcat coherent, no copiant els fitxers en calent.
• Microsoft 365 o Google Workspace: el proveïdor manté el servei, però la protecció de les vostres dades davant d’esborrats o d’un compte compromés és responsabilitat vostra. Les papereres i les retencions tenen límits.
• Portàtils amb documents que no estan sincronitzats.
• Configuració del tallafoc, els commutadors i les aplicacions.
• Documentació de com restaurar, guardada fora dels mateixos sistemes.

Com comprovar que les vostres còpies serveixen

Aquesta és la part que marca la diferència. Una comprovació bàsica, que podeu repetir periòdicament:

1. Reviseu els avisos. Que el sistema de còpies envie un correu o una alerta si una còpia falla, i que algú el llija.
2. Trieu alguna cosa concreta per restaurar: una carpeta, una bústia, una base de dades o una màquina virtual completa, canviant cada vegada.
3. Restaureu en un lloc a part, mai damunt de les dades en producció.
4. Comproveu que funciona: que el fitxer s’obre, que la base de dades arrenca i té dades recents, que la màquina virtual s’inicia.
5. Mesureu quant ha tardat. Aquesta xifra és el vostre temps real de recuperació, i potser no és el que us imaginàveu.
6. Anoteu-ho: data, què s’ha restaurat, resultat i temps. Aquest registre també serveix per demostrar diligència si hi ha un incident.

Quan portava com a SRE la infraestructura d’una fàbrica alimentària, la consistència de les dades de l’ERP era el primer; per això no em n’hi ha prou que la còpia acabe: cal obrir el que s’ha restaurat i comprovar que les dades quadren.

Dues preguntes que heu de poder respondre

• Quantes dades em puc permetre perdre? Si la còpia és nocturna i la fallada és a les sis de la tarda, perdeu el dia. És l’objectiu de punt de recuperació (RPO).
• Quant de temps puc estar aturat? Restaurar diversos terabytes des del núvol pot trigar molt amb una connexió normal. És l’objectiu de temps de recuperació (RTO).

Les respostes decideixen la freqüència de les còpies i si convé tindre una còpia local per restaurar ràpidament a més de la remota.

A SRE com a servei explique com munte les còpies i cada quant les restaure de prova, i a l’auditoria de fiabilitat i seguretat, com revise les d’una plataforma que ja existeix. Si voleu saber si les vostres aguantarien, comenceu per una trucada gratuïta de 20 minuts.

Preguntes freqüents

Sincronitzar amb OneDrive o Google Drive és una còpia de seguretat?

No del tot. La sincronització també replica els esborrats i els fitxers xifrats. Ajuda, i les versions i la paperera donen una mica de marge, però no substitueix una còpia independent amb retenció pròpia.

Cada quant he de fer una restauració de prova?

El raonable és tenir-la al calendari de manera periòdica i després de cada canvi important (un servidor nou, una migració). Com més crítiques siguen les dades, més sovint.

Quant de temps guarde les còpies?

Depén del negoci i de les obligacions legals de conservació de cada tipus de document. Un esquema habitual combina còpies diàries recents i setmanals i mensuals durant més temps. Tingau en compte que guardar dades personals més del necessari també té implicacions de protecció de dades.

El RAID em protegeix?

Només de la fallada d’un disc (o de dos, segons el nivell). No protegeix d’esborrats, ransomware, errors de programari ni de la pèrdua de l’equip sencer. És disponibilitat, no còpia de seguretat.

Referències

• INCIBE: Copias de seguridad, una guía de aproximación para el empresario, que presenta l’estratègia 3-2-1 (en castellà).
• INCIBE: Ransomware (temàtica per a empreses): com es propaga, com prevenir-lo amb còpies periòdiques i com recuperar-se’n (en castellà).