El ransomware se ha convertido en una de las amenazas más relevantes para las organizaciones porque puede interrumpir operaciones, cifrar información crítica y, en muchos casos, combinar el robo de datos con la extorsión. Por ello, contar únicamente con antivirus, firewall o herramientas de detección no es suficiente: una estrategia moderna de backups inmutables contra ransomware debe garantizar que la empresa pueda recuperar su información incluso si los sistemas productivos han sido comprometidos.
Una copia de seguridad tradicional tampoco garantiza por sí sola la recuperación. Si los atacantes consiguen acceder al sistema de respaldos, pueden intentar eliminar, cifrar o modificar las copias. CISA recomienda mantener respaldos offline y cifrados, utilizar mecanismos de inmutabilidad y probar periódicamente su disponibilidad e integridad.
¿Qué es un backup inmutable?
Un backup inmutable es una copia de seguridad protegida para que los datos no puedan ser modificados, sobrescritos o eliminados durante un periodo de retención previamente establecido.
La diferencia es especialmente importante frente al ransomware. Si un atacante obtiene privilegios administrativos sobre la infraestructura de respaldo, un almacenamiento convencional podría permitirle borrar las copias antes de cifrar los sistemas productivos. Con la inmutabilidad, determinadas copias permanecen protegidas frente a estas acciones durante el periodo definido.
CISA recomienda que los respaldos utilizados para proteger a las organizaciones contra ransomware sean cifrados e inmutables, además de cubrir la infraestructura de datos de la organización.
1. Identificar qué información debe recuperarse primero
La estrategia de backups no debe comenzar seleccionando una herramienta, sino identificando los activos críticos del negocio.
Una empresa debe determinar qué información resulta indispensable para mantener sus operaciones: bases de datos, sistemas ERP, información financiera, documentos corporativos, aplicaciones, servidores, configuraciones, máquinas virtuales y servicios cloud, entre otros.
Esta clasificación permite definir prioridades de recuperación y evitar que los esfuerzos de respaldo se concentren únicamente en archivos de usuario mientras otros sistemas esenciales quedan desprotegidos.
NIST recomienda considerar las interdependencias entre activos y determinar qué sistemas son críticos para las operaciones, los ingresos o los servicios esenciales.
2. Aplicar una estrategia de múltiples copias
Una práctica ampliamente utilizada es mantener varias copias de la información utilizando diferentes medios y ubicaciones. El objetivo es evitar que un único incidente pueda comprometer todas las copias disponibles.
Una arquitectura de referencia puede combinar datos en producción, copias locales y una copia almacenada en una ubicación separada y protegida. CISA también recomienda conservar múltiples copias de datos y servidores en ubicaciones físicamente separadas, segmentadas y seguras.
Para organizaciones con infraestructura híbrida o cloud, también resulta conveniente analizar diferentes ubicaciones o proveedores para reducir la dependencia de un único entorno.
3. Incorporar inmutabilidad y protección contra eliminación
La inmutabilidad debe acompañarse de controles que impidan que las cuentas comprometidas puedan modificar o eliminar las copias.
Entre las tecnologías y mecanismos que pueden utilizarse se encuentran Object Lock, retención basada en tiempo, snapshots protegidos, almacenamiento WORM y controles de borrado, dependiendo de la plataforma implementada.
Un aspecto fundamental es separar las credenciales utilizadas para administrar los backups de las cuentas utilizadas diariamente en la infraestructura. De esta manera, comprometer una cuenta de producción no debería proporcionar automáticamente acceso administrativo al repositorio de respaldos.
4. Mantener copias offline o lógicamente aisladas
Un backup conectado permanentemente a la red puede convertirse en un objetivo para el atacante. Por esta razón, los respaldos críticos deben mantenerse offline o protegidos mediante mecanismos de aislamiento adecuados.
CISA señala que muchas variantes de ransomware intentan localizar y eliminar o cifrar los respaldos accesibles, precisamente para impedir la recuperación de la organización.
El aislamiento puede lograrse mediante almacenamiento desconectado, redes segregadas, cuentas independientes y controles específicos de acceso al sistema de backup.
5. Cifrar y controlar el acceso a los respaldos
Los backups contienen información empresarial sensible y deben protegerse tanto durante la transferencia como durante el almacenamiento.
Es recomendable implementar cifrado, autenticación multifactor, principio de mínimo privilegio y controles específicos para cuentas administrativas. También resulta importante registrar y monitorear las actividades realizadas sobre los repositorios de backup.
La protección de las copias debe considerarse parte de la estrategia general de ciberseguridad y no como una tarea exclusivamente operativa del área de infraestructura.
6. Probar periódicamente la recuperación
Tener un backup no significa necesariamente poder recuperar la operación. Una copia puede estar dañada, incompleta, desactualizada o ser incompatible con el entorno que debe restaurarse.
Por ello, las organizaciones deben realizar pruebas periódicas de restauración y validar que los datos recuperados sean íntegros y utilizables. NIST destaca que los respaldos deben realizarse, mantenerse y probarse como parte de una adecuada capacidad de recuperación.
Las pruebas también permiten medir dos indicadores fundamentales: RPO (Recovery Point Objective), que establece cuánto dato puede perderse, y RTO (Recovery Time Objective), que determina cuánto tiempo puede tardar la recuperación.
7. Integrar backups con el plan de respuesta ante ransomware
Los respaldos no deben funcionar de manera aislada. Deben formar parte del plan de continuidad, recuperación ante desastres y respuesta a incidentes.
Ante un ataque, la organización debe saber qué sistemas se recuperan primero, qué copias son confiables, quién autoriza la restauración y cómo evitar que los sistemas limpios vuelvan a infectarse.
La guía de ransomware de NIST publicada en junio de 2026 refuerza precisamente un enfoque integral de gestión del riesgo, que incluye gobernar, identificar, proteger, detectar, responder y recuperar frente a incidentes de ransomware.
¿Cómo puede ayudar una solución de ciberseguridad?
Para un gerente de TI, propietario de empresa o responsable de seguridad de la información, diseñar correctamente una estrategia de backups inmutables contra ransomware requiere mucho más que contratar espacio de almacenamiento.
Es necesario analizar riesgos, definir políticas de retención, establecer niveles de acceso, seleccionar tecnologías adecuadas, implementar aislamiento, verificar la integridad de las copias y realizar pruebas de recuperación.
En Pawa Peru, ayudamos a las organizaciones a fortalecer su estrategia de protección y recuperación mediante soluciones de ciberseguridad orientadas a reducir el impacto de ransomware y otros escenarios de pérdida o destrucción de información.
Conclusión
Un backup verdaderamente efectivo debe ser recuperable, protegido, aislado e inaccesible para un atacante durante el periodo de retención definido. La combinación de múltiples copias, inmutabilidad, cifrado, aislamiento, controles de acceso y pruebas periódicas proporciona una base sólida para mejorar la resiliencia empresarial.
La pregunta ya no debería ser solamente “¿tenemos backups?”, sino “¿podremos recuperar nuestros sistemas si un ransomware compromete nuestra infraestructura?”. Diseñar una estrategia de backups inmutables permite responder afirmativamente a esa pregunta y reducir significativamente el impacto operativo y financiero de un ataque.
