El inventario mínimo de lo recuperable
- Identidades y accesos. El directorio, las cuentas, los grupos, los permisos, las políticas y la configuración del segundo factor. Es la primera capa porque sin ella nadie puede entrar a lo demás, y es la más olvidada cuando la identidad vive en la nube y se asume que no hace falta protegerla.
- Correo y mensajería. Buzones, calendarios, contactos, reglas y buzones compartidos. Además de ser información de valor propio, el correo es la evidencia de acuerdos, pedidos y autorizaciones.
- Archivos compartidos. Los recursos del servidor de archivos y el contenido de OneDrive, SharePoint y Teams, con sus permisos. Restaurar los archivos sin los permisos deja un problema distinto, pero igual de serio.
- Sistemas de línea de negocio. ERP, facturación electrónica, nómina, CRM, almacén, los sistemas de piso. Aquí lo que hay que poder recuperar no es sólo la base de datos: también la aplicación, sus configuraciones, sus integraciones y sus certificados.
- Equipos de los usuarios. Imagen completa que permita devolver un equipo a producción sin reinstalar. La información del usuario debería vivir en la nube, pero el ambiente de trabajo, los perfiles y el software instalado tardan días en reconstruirse a mano.
- Configuración de la infraestructura. Reglas del firewall, redes, respaldos de los equipos de comunicaciones, la zona DNS, los certificados y las licencias. No ocupan espacio y son lo que más retrasa una recuperación cuando no existen.
- Registros contables y fiscales. Los que la empresa está obligada a conservar y a poder entregar, aunque el sistema que los generó ya no exista.
El orden importa tanto como la lista
El orden de recuperación casi no varía entre empresas, porque responde a dependencias técnicas, no a preferencias:
- Identidad. Primero, siempre. Es el requisito de todo lo que sigue y, después de un ataque, es también donde hay que rotar credenciales antes de devolver cualquier servicio a la red.
- Correo. Es la herramienta con la que se coordina la propia recuperación y con la que se avisa a clientes, proveedores y bancos. Recuperarlo temprano reduce el daño comercial del paro.
- Archivos compartidos. Devuelve capacidad de trabajo a la mayoría de las áreas con una sola restauración.
- Sistemas de línea de negocio. Son los que devuelven la capacidad de vender, facturar y cobrar. Se levantan en el orden de sus propias dependencias: base de datos, aplicación, integraciones.
- Equipos de los usuarios. Al final y en oleadas, priorizando a las áreas que ya tienen sistemas que usar. Reconstruir equipos antes de que exista a dónde conectarse es trabajo perdido.
Lo que la empresa está obligada a poder entregar
Un incidente no suspende las obligaciones. Una empresa en México tiene que poder producir su contabilidad electrónica, los comprobantes fiscales digitales que emitió y los que recibió, los soportes de sus declaraciones y acuses, y los comprobantes de nómina, durante plazos que se cuentan en años y ante requerimientos que no avisan. Perder esa información en un cifrado no es sólo un problema operativo: deja a la empresa sin poder acreditar deducciones ni responder una revisión.
El plazo exacto que aplica a cada tipo de documento lo confirma el contador o el área legal, y hay documentos societarios cuya conservación se extiende toda la vida de la empresa. Lo que corresponde a sistemas es distinto y es concreto: que esas copias existan, que estén en un formato legible sin depender del software que las creó, que se puedan localizar por periodo y que una de ellas sea inmutable o esté aislada de la red.
- Contabilidad electrónica y pólizas, con los archivos tal como se entregan a la autoridad.
- CFDI emitidos y recibidos, en su formato original, no sólo su representación impresa.
- Declaraciones, acuses y pagos, con sus comprobantes.
- Comprobantes de nómina y los expedientes del personal.
- Contratos con clientes y proveedores, y la correspondencia que los respalda.
- Datos personales de empleados, clientes y candidatos, que además de recuperarse deben protegerse: la obligación de resguardarlos y de atender las solicitudes de sus titulares sigue vigente durante y después del incidente.
Lo que casi siempre falta en la lista
Las recuperaciones se atoran rara vez por los datos y casi siempre por lo que los rodea. Conviene revisar explícitamente estos puntos, porque ninguno aparece en un panel de respaldo:
- Las credenciales de administración y los segundos factores, guardados fuera de los sistemas que pueden caer.
- Las licencias y las llaves de activación del software de línea de negocio.
- Los certificados digitales, incluidos los de la facturación electrónica, y sus contraseñas.
- La zona DNS del dominio y los accesos al registrador, que es lo que permite mover el sitio o el correo si hay que hacerlo.
- La documentación de configuración: direcciones, usuarios de servicio, integraciones, trabajos programados.
- El propio procedimiento de recuperación y la lista de contactos de proveedores, disponibles en papel o fuera de la red.
- Los sistemas que alguien contrató por su cuenta y que nadie inventarió, que es la causa más común de un bloque ausente en el respaldo.
Cómo convertir la lista en algo verificable
La lista sirve cuando deja de ser una lista y se vuelve una tabla con una fila por sistema y seis columnas: qué es, quién responde por él en el negocio, su RPO, su RTO, dónde vive su copia y con qué retención, y la fecha de la última restauración probada. Una página, revisada cada trimestre.
Esa tabla hace visible lo que ninguna herramienta muestra: los sistemas sin dueño, los que tienen un RTO prometido que nunca se midió y los que llevan un año sin probarse. También es lo que permite comparar el inventario de lo protegido contra el inventario real de la infraestructura, que es el control que detecta los bloques faltantes antes del incidente.
En igeckoo mantenemos ese inventario como parte del servicio administrado, con respaldo en Acronis Cyber Protect, una copia inmutable fuera del sitio y pruebas de restauración documentadas por sistema.