Pruebas de copias de seguridad: por qué la mayoría de las empresas se dan cuenta demasiado tarde de que sus copias de seguridad no funcionan
Según el informe «State of the MSP» de Kaseya de 2026, el 79 % de los MSP ofrecen actualmente servicios de copia de seguridad y recuperación como parte de su oferta de servicios gestionados. Sin embargo, ofrecer servicios de copia de seguridad y garantizar una recuperación verificada son dos cosas diferentes, y la diferencia entre ambas es mayor de lo que la mayoría de los MSP reconocen.
Los estudios lo dejan claro. A pesar de que el 92 % de las organizaciones afirman disponer de copias de seguridad, el 31 % no consigue recuperar sus datos cuando se producen ataques de ransomware. Más de la mitad de las empresas prueban su plan de recuperación ante desastres una vez al año o menos. Y el 33 % lo prueba con poca frecuencia o nunca. El problema no es la copia de seguridad, sino que nunca se ha comprobado que funcione.
Una tarea de copia de seguridad que se completa sin errores da la sensación de ser una protección. Así se refleja en todos los paneles de control e informes. La única forma de saber si realmente supone una protección es restaurar los datos a partir de ella, y la mayoría de las organizaciones no lo hacen hasta que se produce un fallo catastrófico en el entorno de producción y no queda otra opción.
No vuelvas a preguntarte si tu copia de seguridad funciona
La verificación mediante capturas de pantalla de Datto BCDR inicia automáticamente y captura cada copia de seguridad, lo que te proporciona una prueba visual de la capacidad de recuperación tras cada tarea de copia de seguridad, sin la carga que suponen las pruebas manuales. Con tecnología de Kaseya Intelligence y una precisión superior al 99,9 %.
Por qué fallan las copias de seguridad sin previo aviso
Los fallos en las copias de seguridad son insidiosos precisamente porque pasan desapercibidos. No hay ninguna alerta, ningún informe de tareas fallidas, ningún indicio de que algo vaya mal, hasta que se intenta realizar una restauración bajo presión.
Las tareas de copia de seguridad se completan, pero las restauraciones fallan. Una tarea de copia de seguridad puede indicar que se ha realizado correctamente, que se han transferido los archivos y que se ha completado, aunque el resultado sea una copia de seguridad inservible. Entre los fallos ocultos se incluyen: datos de aplicaciones capturados en un estado incoherente que no se pueden abrir tras la restauración; errores en las claves de cifrado que impiden el descifrado; problemas con los permisos de los archivos que bloquean el acceso a archivos concretos; e imágenes de máquinas virtuales que no arrancan debido a incompatibilidades entre controladores o de abstracción de hardware.
Cambios en el entorno. Los servidores cambian: las aplicaciones se actualizan, las configuraciones varían y se añaden nuevas fuentes de datos. Una configuración de copia de seguridad que era correcta hace seis meses puede que ya no recoja los datos adecuados, o que presente problemas de compatibilidad con versiones actualizadas de las aplicaciones que solo salen a la luz durante un intento de restauración.
Lagunas en la retención. Un ataque de ransomware de propagación lenta puede tener un tiempo de permanencia que supere el periodo de retención. Una copia de seguridad que conserve un historial de 30 días podría no ofrecer protección frente a un ataque que comenzara hace 45 días y que ya haya dañado todos los puntos de recuperación del conjunto.
Fallos de almacenamiento. Los destinos de copia de seguridad fallan de forma silenciosa. Es posible que un disco local, una biblioteca de cintas o un destino de almacenamiento en la nube que lleve semanas fuera de servicio no se detecte hasta que se intente realizar una restauración. Para entonces, es posible que ya haya transcurrido todo el plazo de retención.
La consecuencia no es solo el fracaso de la recuperación. Se trata de un tiempo de inactividad prolongado, la pérdida irrecuperable de datos, negociaciones con los autores de ransomware que podrían haberse evitado y, en el peor de los casos, el fracaso empresarial. Casi uno de cada cinco propietarios de pymes que sufrieron un ciberataque acabaron en quiebra o tuvieron que cerrar su negocio. Las copias de seguridad comprobadas son la defensa técnica más directa contra ese desenlace.
Cómo funcionan las pruebas de copias de seguridad: los cinco tipos de pruebas
Prueba de restauración a nivel de archivo. Restaurar archivos específicos a partir de copias de seguridad, documentos, exportaciones de bases de datos y archivos de correo electrónico, y comprobar que se abren correctamente y contienen los datos esperados. Se trata de la prueba práctica mínima y permite detectar daños a nivel de archivo, problemas de permisos de acceso y problemas de cifrado. Se puede realizar con frecuencia sin que ello suponga una carga operativa significativa.
Prueba de restauración a nivel de sistema. Restaurar un servidor completo o una máquina virtual a partir de una copia de seguridad en un entorno de pruebas aislado y comprobar que el sistema arranca, que las aplicaciones se inician y que los servicios funcionan correctamente. Esta es la prueba que verifica si realmente es posible la recuperación completa del servidor, y es la que con mayor frecuencia se omite. Realizarla en una red aislada evita cualquier impacto en el entorno de producción.
Prueba de recuperación de la base de datos. En el caso de los servidores de bases de datos, restaura la copia de seguridad de la base de datos junto con los registros de transacciones y comprueba que la base de datos sea coherente, accesible y se encuentre en el punto de recuperación previsto. Las pruebas a nivel de archivo no detectan problemas específicos de la base de datos, como las incoherencias en los registros de transacciones, lo que puede dar lugar a una restauración técnicamente correcta pero que, en la práctica, no permita ejecutar consultas.
Medición del RTO. Mide la duración del proceso de restauración, desde el inicio hasta la confirmación de la recuperación, y compárala con el RTO definido para ese sistema. Un servidor con un RTO de cuatro horas cuya restauración tarda nueve horas presenta una discrepancia que debe resolverse antes de que se produzca un incidente real, y no durante el mismo.
Simulación completa de recuperación ante desastres (DR). Un ejercicio anual o semestral en el que se simula un desastre durante un intervalo de mantenimiento designado: se realiza la conmutación por error de todos los sistemas críticos a la infraestructura de respaldo, se comprueba que las operaciones empresariales continúan, se miden los tiempos de recuperación objetivo (RTO) reales y, a continuación, se restaura el entorno de producción. Se trata de la prueba que ofrece mayor fiabilidad y la que revela las deficiencias sistémicas que pasan por alto las pruebas a nivel de componentes. Incluye un repaso del plan de recuperación ante desastres con el personal clave para identificar deficiencias, ejercicios de simulación para validar las listas de comprobación y una prueba completa de conmutación por error en la que las operaciones se ejecutan desde el entorno de recuperación ante desastres antes de volver al entorno de producción.
¿Con qué frecuencia debes hacerte la prueba?
Recomendaciones sobre la frecuencia según el tipo de prueba y el nivel del sistema:
Sistemas de nivel 1 (aquellos con los RTO más estrictos y el mayor impacto en el negocio): verificación mensual de la restauración a nivel de archivo; restauración a nivel de sistema trimestral; simulación completa de recuperación ante desastres anual.
Sistemas de nivel 2: restauración a nivel de archivo cada trimestre; restauración a nivel de sistema dos veces al año; incluida en la simulación anual de recuperación ante desastres.
Tras cualquier cambio significativo —como la implementación de parches, las actualizaciones de aplicaciones, los cambios en la infraestructura y la incorporación de nuevos sistemas al ámbito de las copias de seguridad—, se debe realizar una prueba de restauración específica para los sistemas afectados.
Tras un incidente de seguridad: aunque la infraestructura de copias de seguridad no se haya visto afectada directamente, comprueba la capacidad de restauración antes de dar por concluida la recuperación. El ransomware ataca específicamente la infraestructura de copias de seguridad; comprueba que tus puntos de recuperación estén libres de infección.
La principal barrera práctica para la mayoría de los MSP es el tiempo. Realizar pruebas manuales de restauración en docenas de entornos de clientes con la frecuencia mencionada anteriormente no es viable desde el punto de vista operativo sin automatización. Aquí es donde la verificación automatizada cubre esa carencia.
La regla del 3-2-1 y lo que pasa por alto
La regla 3-2-1 —tres copias de los datos en dos tipos de soportes diferentes, con una copia fuera de las instalaciones— sigue siendo la recomendación estándar en materia de arquitectura para garantizar la resiliencia de las copias de seguridad. Resuelve bien la cuestión de la redundancia: si falla una copia, quedan las demás.
Lo que no tiene en cuenta es la capacidad de recuperación. Tres copias de datos dañados equivalen a tres copias de seguridad que no se pueden restaurar. Una copia fuera de las instalaciones que no se haya probado no es más que una suposición.
La regla 3-2-1 debe considerarse como el requisito mínimo de arquitectura, no como la culminación de una estrategia de copias de seguridad. La culminación de una estrategia de copias de seguridad consiste en un proceso de recuperación probado, verificado y cronometrado, con documentación que demuestre que funciona.
Algunas directrices hacen referencia ahora a una variante 3-2-2, que consiste en mantener dos copias fuera de las instalaciones: una en una ubicación alternativa y otra en un almacenamiento en la nube inmutable, con el objetivo específico de hacer frente a situaciones de ransomware en las que tanto las copias de seguridad in situ como las principales copias fuera de las instalaciones puedan verse comprometidas. En entornos de alto riesgo o para clientes con RPO muy exigentes, merece la pena tener esto en cuenta.
Automatización de la verificación de copias de seguridad
Las pruebas manuales tienen su valor, pero presentan limitaciones prácticas. Requieren mucho tiempo, exigen ventanas de mantenimiento, solo abarcan un subconjunto de sistemas y se realizan con una periodicidad poco frecuente, lo que hace que la mayoría de los puntos de recuperación queden sin validar entre una prueba y otra.
Verificación mediante captura de pantalla de Datto arranca automáticamente cada sistema del que se ha realizado una copia de seguridad en un entorno de virtualización aislado tras cada tarea de copia de seguridad y captura una captura de pantalla para verificar que el sistema se inicia correctamente. Esto proporciona una verificación continua, para cada copia de seguridad, de todos los sistemas protegidos, detectando los fallos de arranque inmediatamente después de la tarea de copia de seguridad, en lugar de semanas o meses más tarde durante un intento de recuperación. Gracias a la tecnología de Kaseya Intelligence, ofrece una precisión superior al 99,9 % en la verificación del arranque.
Las comprobaciones de integridad de las copias de seguridad verifican que los datos de las copias de seguridad estén intactos y no estén dañados, señalando las discrepancias en las sumas de comprobación y los errores de almacenamiento antes de que se conviertan en una pérdida de datos irrecuperable.
Los paneles de control de informes de estado recopilan el estado de las tareas de copia de seguridad, la hora de la última copia de seguridad realizada con éxito y los resultados de la verificación en todos los sistemas protegidos, lo que proporciona la visibilidad operativa necesaria para la detección proactiva y la elaboración de informes para los clientes.
La combinación de la verificación automatizada y las pruebas manuales de restauración, realizadas a intervalos adecuados, proporciona tanto una confianza continua como una capacidad de recuperación validada periódicamente.
Pruebas de copias de seguridad y seguros cibernéticos
Las aseguradoras de ciberseguros exigen cada vez más pruebas de que se han realizado pruebas de las copias de seguridad como condición para la cobertura, y algunas pólizas especifican ahora de forma explícita los requisitos de frecuencia de dichas pruebas. Una organización que afirme contar con protección mediante copias de seguridad, pero que no pueda aportar pruebas de que se ha comprobado la capacidad de restauración, podría encontrarse con que se le rechacen las reclamaciones al seguro relacionadas con la pérdida de datos o la recuperación tras un ataque de ransomware.
Para los MSP, esto supone tanto una obligación de cumplimiento normativo como una oportunidad comercial. La documentación de las pruebas periódicas de copias de seguridad, los resultados de la verificación mediante capturas de pantalla y los registros de restauraciones realizadas con éxito son precisamente el tipo de pruebas que las aseguradoras quieren ver. Los MSP que elaboran esta documentación de forma sistemática ayudan a sus clientes a cumplir los requisitos de las aseguradoras, refuerzan su propia posición en materia de responsabilidad civil y aportan contenido para las reuniones trimestrales de revisión de resultados (QBR) que demuestra el valor tangible del servicio.
Un enfoque práctico para las conversaciones con los clientes: el seguro cibernético no cubre las copias de seguridad no comprobadas, del mismo modo que el seguro de automóvil no cubre un vehículo que no cumple con las normas de circulación. La prueba es la prueba.
Pruebas de copias de seguridad para proveedores de servicios gestionados (MSP)
Para los MSP, las pruebas de copias de seguridad constituyen a la vez un requisito operativo, una obligación contractual, un recurso para la comunicación con los clientes y una práctica de gestión de riesgos.
Obligación contractual. Los proveedores de servicios gestionados (MSP) que ofrecen servicios de copia de seguridad con compromisos definidos en cuanto a RTO y RPO deben demostrar que su infraestructura de copia de seguridad es realmente capaz de cumplir dichos compromisos. Las pruebas periódicas son la única prueba fehaciente. Los acuerdos de nivel de servicio (SLA) sin registros de pruebas son promesas sin fundamento.
Informes para clientes. Los resultados de las pruebas de copias de seguridad, los sistemas sometidos a prueba, los resultados de las pruebas, los RTO alcanzados y las capturas de pantalla de verificación constituyen un contenido muy convincente para las reuniones trimestrales de resultados (QBR). Los clientes que ven pruebas de que se realizan verificaciones periódicas de las copias de seguridad reciben algo que la mayoría de los MSP no ofrecen y que los clientes solicitan cada vez más, a medida que los requisitos de los seguros cibernéticos influyen en sus decisiones de contratación.
Gestión de riesgos. Un MSP que detecte un fallo en las copias de seguridad durante un incidente real de un cliente se enfrenta a responsabilidades legales, daños a su reputación, el deterioro de la relación con el cliente y, potencialmente, un conflicto contractual. Las pruebas periódicas permiten detectar los fallos cuando aún se pueden solucionar, en lugar de hacerlo durante una crisis.
Diferenciación de servicios. La mayoría de los MSP ofrecen servicios de copia de seguridad. Sin embargo, son pocos los que demuestran que funcionan. Los MSP que pueden demostrar una capacidad de recuperación contrastada mediante pruebas sistemáticas y documentación cuentan con un factor diferenciador concreto y demostrable que los proveedores de copias de seguridad genéricas no pueden igualar.
El Portal Unificado de Resiliencia Cibernética
La gestión de las copias de seguridad en la infraestructura local, las aplicaciones SaaS, los dispositivos finales y los entornos en la nube ha supuesto, tradicionalmente, tener que gestionar múltiples herramientas independientes, cada una con su propia consola, su propio sistema de alertas y su propio flujo de trabajo de recuperación. Para los proveedores de servicios gestionados (MSP) que gestionan múltiples clientes en todos estos entornos, esa fragmentación genera una carga operativa significativa y dificulta el mantenimiento de una disciplina de pruebas coherente.
El Portal Unificado de Ciberresiliencia de Kaseya, presentado en Kaseya Connect 2026, consolida toda la gestión de copias de seguridad en una única interfaz integrada, lo que elimina la proliferación de herramientas que obliga a los técnicos a gestionar la recuperación a través de distintos proveedores inconexos. Basado en Kaseya Intelligence, ofrece verificación de capturas de pantalla impulsada por IA, flujos de trabajo de recuperación conectados con priorización inteligente y cobertura de cumplimiento normativo, incluidas capacidades FIPS y preparación para FedRAMP. La compatibilidad con Azure Files ya está disponible de forma generalizada; la copia de seguridad de Hyper-V sin agente llegará en junio de 2026.
Para los MSP, el portal ofrece una visión global del entorno de copias de seguridad de cada cliente, con los resultados de las verificaciones y el estado de la recuperación consolidados en un único lugar, en lugar de estar dispersos en los paneles de control de distintos proveedores.
Puntos clave
- A pesar de que el 92 % de las organizaciones afirman disponer de copias de seguridad, el 31 % no consigue recuperar los datos cuando se producen ataques de ransomware. La diferencia entre tener una copia de seguridad y disponer de una copia de seguridad probada y operativa es precisamente donde se producen la mayoría de los fallos en la recuperación.
- Las tareas de copia de seguridad pueden indicar que se han completado con éxito, aunque generen puntos de recuperación inutilizables. Los fallos silenciosos, las variaciones en el entorno y los fallos de almacenamiento pasan desapercibidos hasta que se intenta realizar una restauración.
- La frecuencia de las pruebas debe ajustarse al nivel del sistema: los sistemas de nivel 1 requieren una verificación mensual a nivel de archivo, restauraciones trimestrales a nivel de sistema y una simulación anual completa de recuperación ante desastres.
- La regla 3-2-1 se centra en la arquitectura de copias de seguridad, pero no en la capacidad de recuperación. Los procesos de recuperación probados y cronometrados completan la estrategia.
- La verificación automatizada (verificación mediante capturas de pantalla a través de Datto BCDR, con tecnología de Kaseya Intelligence) ofrece una confirmación continua de cada copia de seguridad sin necesidad de intervención manual, lo que permite detectar los fallos en el momento de la copia de seguridad y no en el de la recuperación.
- Para los MSP, las pruebas de copias de seguridad son una obligación contractual, un requisito para acreditar la cobertura del seguro cibernético y el factor diferenciador más concreto que existe en el mercado de las copias de seguridad.
