👉¿Cómo definir la periodicidad adecuada de las copias de seguridad, y cómo se relaciona esto con la definición de la métrica de RTO (Recovery Time Objective)?
R: Generalmente, los estándares de seguridad no exigen una periodicidad específica para generar respaldos de información, por lo que se debe definir de acuerdo a las necesidades de la empresa y a la propia configuración de los sistemas.
Ahora bien, aquí es donde entra la métrica llamada RPO (Recovery Point Objective) que se establece dentro de tu Plan de Recuperación ante Desastres y tu Plan de Continuidad. Esta métrica corresponde al tiempo de pérdida de datos reales que puede tolerar la organización.
Por ejemplo si los servicios se caen, las operaciones se interrumpen, un sistema falla o sucede un escenario similar donde se está perdiendo información, se debe verificar cuándo fue el último respaldo realizado, ¿la información guardada de la última copia de seguridad realmente podría ayudar a recuperar la operativa de la empresa?
Entonces, si tu última copia de seguridad fue hace un mes, ese es el tiempo de datos reales que estás dispuesto a perder. Lo cual, claro está, no es la mejor práctica 🛑. La recomendación general es realizar respaldos diarios.
👉¿Cómo debo proteger las copias de seguridad si contienen datos personales?
R: En sentido estricto, cualquier información sensible o confidencial debe ser protegida también cuando es almacenada, no solamente los datos personales. Y para ello, se recomienda tomar las siguientes medidas de seguridad:
Elimina la información cuando ya no sea vigente o necesaria.
Para los datos personales recomendamos verificar las leyes aplicables al país donde opera la empresa, ya que generalmente éstas definen el tiempo de almacenamiento permitido.
💡 La identificación de estas leyes aplicables a la empresa se realiza en la Matriz de Evaluación de Requisitos Legales y Contractuales de nuestro plan de acción.
Implementa un método de cifrado de información en reposo, de manera que un atacante o persona malintencionada no pueda acceder a ella desde las bases de datos o repositorios donde se encuentren las copias de seguridad.
Controla los accesos y permisos que otorgas a tus colaboradores para estas copias de seguridad. Es decir, que si una persona no debería poder editar, configurar ni modificar ningún aspecto relacionado a los respaldos de información, solo debería tener un permiso de lectura.