Pruebas de copias de seguridad: por qué la mayoría de las empresas se dan cuenta demasiado tarde de que sus copias de seguridad no funcionan

Según el informe «State of the MSP» de Kaseya de 2026, el 79 % de los MSP ofrecen actualmente servicios de copia de seguridad y recuperación como parte de su oferta de servicios gestionados. Sin embargo, ofrecer servicios de copia de seguridad y garantizar una recuperación verificada son dos cosas distintas, y la diferencia entre ambas es mayor de lo que la mayoría de los MSP reconocen.

Los estudios lo dejan claro. A pesar de que el 92 % de las organizaciones afirman disponer de copias de seguridad, el 31 % no consigue recuperar sus datos cuando se producen ataques de ransomware. Más de la mitad de las empresas prueban su plan de recuperación ante desastres una vez al año o menos. Y el 33 % lo prueba con poca frecuencia o nunca. El problema no es la copia de seguridad. Es que nunca se ha comprobado que funcione.

Una tarea de copia de seguridad que se completa sin errores da la sensación de ofrecer protección. Así se refleja en todos los paneles de control e informes. La única forma de saber si realmente ofrece protección es restaurar los datos a partir de ella, y la mayoría de las organizaciones no lo hacen hasta que se produce un fallo catastrófico en el entorno de producción y no queda otra opción.

Por qué fallan las copias de seguridad sin previo aviso

Los fallos en las copias de seguridad son traicioneros precisamente porque pasan desapercibidos. No hay alertas, ni informes de tareas fallidas, ni indicios de que algo vaya mal, hasta que se intenta realizar una restauración en una situación de presión.

Las tareas de copia de seguridad se completan, pero las restauraciones fallan. Una tarea de copia de seguridad puede indicar que se ha completado con éxito, que los archivos se han transferido y que la tarea ha finalizado, aunque el resultado sea una copia de seguridad inutilizable. Entre los fallos ocultos se incluyen: datos de aplicaciones capturados en un estado incoherente que no se pueden abrir tras la restauración; errores en las claves de cifrado que impiden el descifrado; problemas con los permisos de los archivos que bloquean el acceso a archivos concretos; e imágenes de máquinas virtuales que no arrancan debido a incompatibilidades entre controladores o de abstracción de hardware.

Cambios en el entorno. Los servidores evolucionan: las aplicaciones se actualizan, las configuraciones cambian y se añaden nuevas fuentes de datos. Una configuración de copia de seguridad que era correcta hace seis meses puede que ya no capture los datos adecuados, o que presente problemas de compatibilidad con versiones actualizadas de las aplicaciones que solo salen a la luz durante un intento de restauración.

Lagunas en la retención. Un ataque de ransomware de propagación lenta puede tener un tiempo de permanencia que supere el periodo de retención. Una copia de seguridad que conserve 30 días de historial podría no proteger contra un ataque que comenzó hace 45 días y que ya ha dañado todos los puntos de recuperación del conjunto.

Fallos en el almacenamiento. Los destinos de copia de seguridad fallan de forma silenciosa. Es posible que un disco local, una biblioteca de cintas o un destino de almacenamiento en la nube que lleve semanas fuera de servicio no se detecte hasta que se intente realizar una restauración. Para entonces, es posible que ya haya expirado todo el plazo de retención.

La consecuencia no es solo que la recuperación falle. Se trata de un tiempo de inactividad prolongado, la pérdida irrecuperable de datos, negociaciones con los autores de ransomware que podrían haberse evitado y, en el peor de los casos, el fracaso del negocio. Casi uno de cada cinco propietarios de pymes que sufrieron un ciberataque acabó en quiebra o tuvo que cerrar su negocio. Las copias de seguridad probadas constituyen la defensa técnica más directa contra ese desenlace.

Cómo funcionan las pruebas de copias de seguridad: los cinco tipos de pruebas

Prueba de restauración a nivel de archivo. Restaura archivos específicos de copias de seguridad, documentos, exportaciones de bases de datos y archivos de correo electrónico, y comprueba que se abran correctamente y contengan los datos esperados. Se trata de la prueba práctica mínima y permite detectar daños a nivel de archivo, problemas de permisos de acceso y dificultades con el cifrado. Se puede ejecutar con frecuencia sin que ello suponga una carga operativa significativa.

Prueba de restauración a nivel del sistema. Restaure un servidor completo o una máquina virtual a partir de una copia de seguridad en un entorno de prueba aislado y compruebe que el sistema se inicia, que las aplicaciones se ponen en marcha y que los servicios funcionan correctamente. Esta prueba permite verificar si realmente es posible recuperar el servidor por completo, y es la que con mayor frecuencia se omite. Realizarla en una red aislada evita cualquier impacto en el entorno de producción.

Prueba de recuperación de la base de datos. En el caso de los servidores de bases de datos, restaure la copia de seguridad de la base de datos junto con los registros de transacciones y compruebe que la base de datos sea coherente, accesible y se encuentre en el punto de recuperación previsto. Las pruebas a nivel de archivo no detectan problemas específicos de la base de datos, como las incoherencias en los registros de transacciones, lo que puede dar lugar a una restauración técnicamente correcta pero que, en la práctica, no permita ejecutar consultas.

Medición del RTO. Mide la duración del proceso de restauración, desde el inicio hasta la confirmación de la recuperación, y compárala con el RTO definido para ese sistema. Un servidor con un RTO de cuatro horas cuya restauración tarda nueve horas presenta una discrepancia que debe resolverse antes de que se produzca un incidente real, y no durante el mismo.

Simulación completa de recuperación ante desastres. Un ejercicio anual o semestral en el que se simula un desastre durante un periodo de mantenimiento designado: se realiza la conmutación por error de todos los sistemas críticos a la infraestructura de respaldo, se comprueba que las operaciones empresariales continúan, se miden los tiempos de recuperación (RTO) reales y, a continuación, se restaura el entorno de producción. Esta es la prueba de mayor fiabilidad y la que revela las deficiencias sistémicas que las pruebas a nivel de componentes pasan por alto. Incluye un recorrido de recuperación ante desastres con el personal clave para identificar deficiencias, ejercicios de simulación para validar las listas de comprobación y una prueba completa de conmutación por error en la que las operaciones se ejecutan desde el entorno de recuperación ante desastres antes de volver al sistema original.

¿Con qué frecuencia debes hacerte la prueba?

Recomendaciones sobre la frecuencia según el tipo de prueba y el nivel del sistema:

Sistemas de nivel 1 (aquellos con los RTO más estrictos y el mayor impacto en el negocio): verificación mensual de la restauración a nivel de archivo; restauración trimestral a nivel de sistema; simulación anual completa de recuperación ante desastres.

Sistemas de nivel 2: restauración a nivel de archivo cada trimestre; restauración a nivel de sistema dos veces al año; incluida en la simulación anual de recuperación ante desastres.

Tras cualquier cambio significativo —como la implementación de parches, actualizaciones de aplicaciones, modificaciones en la infraestructura o la incorporación de nuevos sistemas al ámbito de las copias de seguridad— se debe realizar una prueba de restauración específica para los sistemas afectados.

Tras un incidente de seguridad: aunque la infraestructura de copias de seguridad no se haya visto afectada directamente, comprueba la capacidad de restauración antes de dar por concluida la recuperación. El ransomware ataca específicamente a la infraestructura de copias de seguridad, así que comprueba que tus puntos de recuperación estén libres de malware.

La principal dificultad para la mayoría de los MSP es el tiempo. Realizar pruebas de restauración manuales en decenas de entornos de clientes con la frecuencia mencionada no es viable desde el punto de vista operativo sin automatización. Ahí es donde la verificación automatizada viene a cubrir esa necesidad.

La regla del 3-2-1 y lo que se le escapa

La regla 3-2-1 —tres copias de los datos en dos tipos de soportes diferentes, con una copia fuera de las instalaciones— sigue siendo la recomendación estándar en materia de arquitectura para garantizar la resiliencia de las copias de seguridad. Resuelve adecuadamente la cuestión de la redundancia: si falla una copia, quedan las demás.

Lo que no tiene en cuenta es la capacidad de recuperación. Tres copias de datos dañados equivalen a tres copias de seguridad irrecuperables. Una copia externa que no se ha probado no es más que una suposición.

La regla 3-2-1 debe considerarse como el requisito mínimo de arquitectura, no como la culminación de una estrategia de copia de seguridad. La culminación de una estrategia de copia de seguridad consiste en un proceso de recuperación probado, verificado y cronometrado, con documentación que demuestre su eficacia.

Algunas directrices hacen referencia actualmente a una variante 3-2-2, que consiste en mantener dos copias externas: una en una ubicación alternativa y otra en un almacenamiento en la nube inmutable, con el objetivo específico de hacer frente a situaciones de ransomware en las que tanto las copias de seguridad locales como las externas principales puedan verse comprometidas. En entornos de alto riesgo o para clientes con RPO muy exigentes, vale la pena tener esto en cuenta.

Automatización de la verificación de copias de seguridad

Las pruebas manuales tienen su valor, pero presentan limitaciones prácticas. Requieren mucho tiempo, exigen ventanas de mantenimiento, solo abarcan una parte de los sistemas y se realizan con poca frecuencia, lo que hace que la mayoría de los puntos de recuperación queden sin validar entre una prueba y otra.

Verificación mediante captura de pantalla de Datto arranca automáticamente cada sistema del que se ha realizado una copia de seguridad en un entorno de virtualización aislado tras cada tarea de copia de seguridad y captura una captura de pantalla para verificar que el sistema se inicia correctamente. Esto proporciona una verificación continua, por cada copia de seguridad, de todos los sistemas protegidos, detectando los fallos de arranque inmediatamente después de la tarea de copia de seguridad, en lugar de semanas o meses más tarde durante un intento de recuperación. Gracias a Kaseya Intelligence, ofrece una precisión superior al 99,9 % en la verificación del arranque.

Las comprobaciones de integridad de las copias de seguridad verifican que los datos de las copias de seguridad estén intactos y no estén dañados, y señalan las discrepancias en las sumas de comprobación y los errores de almacenamiento antes de que se conviertan en una pérdida de datos irrecuperable.

Los paneles de control de informes de estado recopilan el estado de las tareas de copia de seguridad, la hora de la última copia de seguridad realizada con éxito y los resultados de la verificación en todos los sistemas protegidos, lo que proporciona la visibilidad operativa necesaria para la detección proactiva y la elaboración de informes para los clientes.

La combinación de la verificación automatizada y las pruebas de restauración manuales, realizadas a intervalos adecuados, proporciona tanto una confianza continua como una capacidad de recuperación validada periódicamente.

Pruebas de copias de seguridad y seguros cibernéticos

Las aseguradoras de ciberseguros exigen cada vez más pruebas de las copias de seguridad como condición para la cobertura, y algunas pólizas especifican ahora de forma explícita los requisitos de frecuencia de las pruebas. Una organización que afirme contar con protección mediante copias de seguridad, pero que no pueda aportar pruebas de que se ha comprobado la capacidad de restauración, podría encontrarse con que se le rechacen las reclamaciones al seguro relacionadas con la pérdida de datos o la recuperación tras un ataque de ransomware.

Para los MSP, esto supone tanto una obligación de cumplimiento normativo como una oportunidad comercial. La documentación de las pruebas periódicas de las copias de seguridad, los resultados de la verificación mediante capturas de pantalla y los registros de restauraciones satisfactorias es precisamente el tipo de pruebas que las aseguradoras quieren ver. Los MSP que elaboran esta documentación de forma sistemática ayudan a sus clientes a cumplir los requisitos de las aseguradoras, refuerzan su propia posición en materia de responsabilidad civil y proporcionan contenido para las reuniones trimestrales de revisión de resultados (QBR) que demuestra el valor tangible del servicio.

Un enfoque práctico para las conversaciones con los clientes: el seguro cibernético no cubre las copias de seguridad no comprobadas, del mismo modo que el seguro de automóvil no cubre un vehículo que no cumple con las normas de circulación. La prueba es la prueba.

Pruebas de copias de seguridad para proveedores de servicios gestionados (MSP)

Para los MSP, las pruebas de copias de seguridad son a la vez un requisito operativo, una obligación contractual, un recurso para la comunicación con los clientes y una práctica de gestión de riesgos.

Obligación contractual. Los proveedores de servicios de gestión (MSP) que ofrecen servicios de copia de seguridad con compromisos definidos en cuanto a RTO y RPO deben demostrar que su infraestructura de copia de seguridad es realmente capaz de cumplir dichos compromisos. Las pruebas periódicas son la única prueba fehaciente. Los acuerdos de nivel de servicio (SLA) sin registros de pruebas son promesas sin fundamento.

Informes para clientes. Los resultados de las pruebas de copias de seguridad, los sistemas sometidos a prueba, los resultados de las pruebas, los RTO alcanzados y las capturas de pantalla de verificación constituyen un contenido muy valioso para las reuniones trimestrales de revisión (QBR). Los clientes que ven pruebas de que se realizan verificaciones periódicas de las copias de seguridad reciben algo que la mayoría de los MSP no ofrecen y que los clientes solicitan cada vez más, a medida que los requisitos de los seguros cibernéticos influyen en sus decisiones de contratación.

Gestión de riesgos. Un proveedor de servicios gestionados (MSP) que detecte un fallo en las copias de seguridad durante una incidencia real de un cliente se enfrenta a responsabilidades legales, daños a su reputación, el deterioro de la relación con el cliente y, potencialmente, un conflicto contractual. Las pruebas periódicas permiten detectar los fallos cuando aún se pueden solucionar, en lugar de hacerlo en plena crisis.

Diferenciación de servicios. La mayoría de los MSP ofrecen servicios de copia de seguridad. Sin embargo, son pocos los que demuestran que funcionan. Los MSP que pueden demostrar una capacidad de recuperación verificada mediante pruebas sistemáticas y documentación cuentan con un factor diferenciador concreto y demostrable que los proveedores de copias de seguridad genéricas no pueden igualar.

Descubre Datto BCDR y la verificación automatizada de copias de seguridad para proveedores de servicios gestionados (MSP).

El Portal Unificado de Resiliencia Cibernética

La gestión de las copias de seguridad en infraestructuras locales, aplicaciones SaaS, dispositivos finales y entornos en la nube ha supuesto tradicionalmente tener que gestionar múltiples herramientas independientes, cada una con su propia consola, su propio sistema de alertas y su propio flujo de trabajo de recuperación. Para los proveedores de servicios gestionados (MSP) que gestionan múltiples clientes en todos estos entornos, esa fragmentación genera una carga operativa considerable y dificulta el mantenimiento de una disciplina de pruebas coherente.

El Portal Unificado de Ciberresiliencia de Kaseya, presentado en Kaseya Connect 2026, consolida toda la gestión de copias de seguridad en una única interfaz integrada, eliminando la proliferación de herramientas que obliga a los técnicos a gestionar la recuperación a través de proveedores inconexos. Gracias a Kaseya Intelligence, ofrece verificación de capturas de pantalla basada en IA, flujos de trabajo de recuperación conectados con priorización inteligente y cobertura de cumplimiento normativo, incluyendo capacidades FIPS y preparación para FedRAMP. La compatibilidad con Azure Files ya está disponible de forma general; la copia de seguridad de Hyper-V sin agente llegará en junio de 2026.

Para los MSP, el portal ofrece una visión global del entorno de copias de seguridad de cada cliente, con los resultados de las verificaciones y el estado de la recuperación reunidos en un solo lugar, en lugar de estar dispersos en los paneles de control de distintos proveedores.

Puntos clave

• A pesar de que el 92 % de las organizaciones afirman disponer de copias de seguridad, el 31 % no consigue recuperar los datos cuando se producen ataques de ransomware. La diferencia entre tener una copia de seguridad y disponer de una copia de seguridad probada y operativa es precisamente donde se producen la mayoría de los fallos en la recuperación.
• Las tareas de copia de seguridad pueden indicar que se han completado con éxito, aunque generen puntos de recuperación inutilizables. Los fallos silenciosos, las desviaciones del entorno y los fallos de almacenamiento pasan desapercibidos hasta que se intenta realizar una restauración.
• La frecuencia de las pruebas debe ajustarse al nivel del sistema: los sistemas de nivel 1 requieren una verificación mensual a nivel de archivos, restauraciones trimestrales a nivel de sistema y una simulación anual completa de la recuperación ante desastres.
• La regla 3-2-1 se refiere a la arquitectura de copias de seguridad, pero no a la capacidad de recuperación. Los procesos de recuperación probados y cronometrados completan la estrategia.
• La verificación automatizada (verificación mediante captura de pantalla a través de Datto BCDR, con tecnología de Kaseya Intelligence) ofrece una confirmación continua de cada copia de seguridad sin necesidad de intervención manual, lo que permite detectar fallos en el momento de la copia de seguridad y no en el de la recuperación.
• Para los MSP, las pruebas de copias de seguridad son una obligación contractual, un requisito para acreditar la cobertura del seguro cibernético y el factor diferenciador más concreto que existe en el mercado de las copias de seguridad.