Paul Kirvan
Los equipos de protección de datos son responsables de algunas de las actividades más críticas de una organización. Las políticas, las pruebas y las tecnologías adecuadas son clave para un plan de respaldo y recuperación.
La protección de datos es una de las actividades más esenciales en TI, y la copia de seguridad y la recuperación de datos son sus componentes clave. Seguir algunos requisitos clave de copia de seguridad y recuperación ayudaría a garantizar que los recursos estén fácilmente disponibles y que las actividades de protección de datos sean seguras y protegidas.
Las actividades de protección de datos deben ser repetibles y accesibles para los miembros de TI fuera del equipo de respaldo de datos las realicen si es necesario. Las organizaciones con políticas y procedimientos bien documentados, la configuración adecuada de las tecnologías de respaldo y recuperación y las pruebas periódicas de las actividades de respaldo y recuperación refuerzan la confiabilidad de un programa de protección de datos y preparan a la organización para posibles auditorías de TI .
A continuación, detallamos los tres principales requisitos de respaldo y recuperación para los equipos de protección de datos.
Políticas y procedimientos
El primer requisito, y probablemente el más importante, es tener políticas y procedimientos documentados para la copia de seguridad y la recuperación. Si bien muchos empleados de TI responsables del respaldo y la recuperación podrían realizar esas tareas con los ojos vendados, los procedimientos documentados brindan un nivel adicional de comodidad y confianza a los departamentos de TI, especialmente si los miembros del equipo de respaldo y recuperación designados no están disponibles.
La experiencia con la pandemia de COVID-19 ha subrayado que cualquiera puede contraer y quedar fuera de servicio por una enfermedad. Cualquiera en un departamento de TI podría no poder trabajar de repente. Incluso si los miembros de un departamento de TI general tienen experiencia previa en copia de seguridad y recuperación de datos, el acceso a documentos con los procedimientos claramente detallados significa que prácticamente cualquier persona puede realizar copias de seguridad y recuperación de datos.
Las políticas de respaldo y recuperación de datos no tienen que ser tan específicas y granulares como los procedimientos reales, pero su presencia es importante desde una perspectiva de auditoría . Las políticas muestran que la organización se toma en serio la protección de datos, y especialmente el respaldo y la recuperación, los cuales son elementos críticos en la continuidad del negocio corporativo y los programas de recuperación ante desastres.
Los auditores de TI generalmente buscan evidencia documentada de políticas y procedimientos. Es importante, tanto desde la perspectiva operativa como de auditoría, revisar y actualizar periódicamente las políticas y los procedimientos para verificar que se describen con precisión cómo realizar copias de seguridad y recuperaciones de datos.
Tecnología
Si bien las políticas y los procedimientos son quizás el número uno entre los requisitos de respaldo y recuperación, el acceso a las tecnologías y recursos asociados más relevantes y rentables también es fundamental. Estas incluyen aplicaciones de software y repositorios de almacenamiento de datos.
Las aplicaciones de software de respaldo son componentes integrales de los esfuerzos de una organización para proteger a la empresa de pérdidas de datos, corrupción y robos.
Las aplicaciones de software de copia de seguridad y recuperación de datos ayudan a identificar lo siguiente:
- archivos de datos, bases de datos y sistemas y aplicaciones críticas;
- criterios de respaldo y recuperación;
- ubicaciones de los datos y las copias de seguridad del sistema;
- horarios de respaldo de datos;
- verificación de respaldo; y
- procesos de recuperación de datos, aplicaciones y sistemas.
Las aplicaciones pueden residir en servidores locales o en ubicaciones alternativas, como en el almacenamiento en la nube. Las ubicaciones de almacenamiento de respaldo pueden estar dentro o fuera del sitio.
Pruebas
La prueba de las actividades de protección de datos es la última, pero no menos importante, en esta lista de requisitos clave de copia de seguridad y recuperación. Además de las copias de seguridad programadas con regularidad y las actividades de copia de seguridad de emergencia, las pruebas programadas de las actividades de copia de seguridad y recuperación son esenciales. Las pruebas de respaldo deben garantizar que los datos que respalda una organización estén en el lugar de almacenamiento designado. Más importante aún, las pruebas aseguran que los datos respaldados sean los mismos que los activos de datos primarios.
Las pruebas comprueban que una organización lleve a cabo medidas de seguridad, como el cifrado cuando los datos están en tránsito, según sea necesario. La organización también debe realizar pruebas para confirmar de que puede descifrar y validar los datos. Esto es igualmente cierto con las copias de seguridad de sistemas y aplicaciones: deben ser seguras, sin concesiones y frecuentes.
Las pruebas periódicas de las capacidades de recuperación de datos informan que los recursos de información de la empresa están disponibles y sean accesibles rápidamente en caso de emergencia . Si bien las organizaciones pueden realizar pruebas de respaldo de datos casi a diario, según la frecuencia y los tipos de actividades de respaldo, las pruebas de recuperación de datos se pueden programar a intervalos periódicos, como mensuales, quincenales o incluso semanales.
