ES 
PT 
EN 
Un assessment de backup es una revisión independiente de la política de backup de su empresa. Desde la reunión inicial hasta el informe, usted sabe qué está protegido, qué no, qué metas de recuperación sostiene realmente la política y qué corregir primero. El resultado llega en un informe con hallazgos por nivel de riesgo y recomendaciones en orden de prioridad.
En Integrity-UX el assessment es gratuito y no obliga a contratar nada después. Revisa la política que ya existe, la compara con buenas prácticas reconocidas y entrega el panorama por escrito. Qué hacer con él lo decide la empresa.
Este artículo explica cuándo conviene pedir la revisión, cómo funciona paso a paso, qué necesitamos de usted, qué cubre el análisis y cómo leer el informe. Si busca el contexto de continuidad, el artículo sobre qué es un DRP y cómo elaborarlo muestra dónde encaja el backup.
Por qué revisar la política de backup antes de un incidente
Casi todas las empresas tienen backup. Pocas saben decir, sin consultar a nadie, qué cubre exactamente. La política suele escribirse una vez, al comprar la herramienta, y después se queda atrás. Entran servidores nuevos, un sistema cambia de lugar, una persona deja el equipo y la rutina de copia sigue igual.
El problema aparece en el peor momento: cuando alguien necesita restaurar. Ahí se descubre que una base de datos quedó fuera del alcance, que la retención es menor de la que exige el contrato o que las copias estaban en el mismo entorno que fue afectado.
Revisar antes de un incidente cuesta poco tiempo y permite corregir con calma. Revisar después cuesta operación detenida. La CISA, la agencia de ciberseguridad de Estados Unidos, recomienda mantener copias de seguridad sin conexión y cifradas de los datos críticos, y probar con regularidad su disponibilidad e integridad en un escenario de recuperación. El assessment verifica qué tan cerca está su política de esa recomendación.
Para quién es el assessment de backup
El análisis sirve a empresas medianas y grandes que dependen de datos y sistemas para operar. Tiene más sentido cuando aparece alguna de estas señales:
- nadie en la empresa puede enumerar, de memoria, qué está dentro del alcance del backup y qué está fuera;
- la política de backup no se revisa hace más de un año, o fue pensada para un entorno que ya cambió;
- la empresa migró sistemas a la nube, adoptó Microsoft 365 o abrió una nueva sede, y el backup no acompañó;
- hubo un incidente, un susto con ransomware o una restauración que tardó más de lo esperado;
- el contrato con un cliente, una auditoría o una exigencia legal pide prueba de retención y de recuperación;
- el backup depende de una sola persona, y es la única que sabe cómo funciona.
Si uno o más de estos puntos le suena familiar, la empresa gana con el panorama. Si ninguno, el informe documenta que la política cumple y sirve como evidencia para auditorías.
Cómo funciona el assessment, de la reunión inicial a la devolución
El proceso tiene cinco etapas. El plazo se define a medida, en la propuesta, porque la duración de cada etapa depende del tamaño del entorno.
1. Reunión inicial
Una conversación de alineación con quien responde por TI y, cuando es posible, con alguien del área de negocio. El objetivo es entender sin qué no puede quedarse la empresa, y cuánto tiempo y cuántos datos puede perder sin un perjuicio grave. Sin esa conversación, el análisis técnico no tiene vara de medir.
2. Recolección de la política y del entorno
La empresa envía lo que ya existe: la política de backup, si la hay, la lista de sistemas y servidores, la herramienta usada y los informes recientes de ejecución. Cuando no hay política escrita, el equipo documenta cómo funciona el backup en la práctica.
3. Análisis
El equipo compara la política y el entorno con las buenas prácticas. La sección siguiente detalla qué entra en esa comparación. El análisis se hace sobre documentos y configuraciones. No se modifica nada en el entorno de la empresa.
4. Informe
Los hallazgos se convierten en un documento escrito, con resumen ejecutivo para la dirección y detalle técnico para el equipo de TI.
5. Devolución
Una reunión para presentar el informe, resolver dudas y acordar los próximos pasos. La empresa sale con la lista de lo que hay que hacer, en el orden en que conviene hacerlo.
Qué necesitamos de su empresa
El assessment depende de información confiable, y el volumen es pequeño. Para la primera reunión y la recolección, lo ideal es reunir:
- la política de backup vigente, aunque sea una página o una hoja de cálculo;
- la lista de servidores, bases de datos, aplicaciones y servicios en la nube, indicando lo más crítico;
- el nombre de la herramienta de backup y dónde se guardan las copias;
- los informes de los últimos meses, con éxitos, fallos y alertas;
- las metas de recuperación que la empresa cree tener, si existen;
- exigencias de retención provenientes de ley, contrato o auditoría, cuando las haya;
- una persona de contacto que conozca el entorno y pueda responder dudas durante el análisis.
Si algún punto no existe, no hay problema. La ausencia también es un hallazgo y entra en el informe. No se necesitan contraseñas ni datos de acceso para el análisis, y no deben enviarse.
Qué cubre el análisis de la política de backup
El análisis recorre los puntos que más suelen fallar. Cada uno se convierte en una pregunta concreta que el informe responde.
Copia inmutable o sin conexión contra ransomware
Muchos ataques de ransomware intentan encontrar y borrar o cifrar los backups accesibles, para que la restauración sea imposible sin pagar el rescate. La guía #StopRansomware de la CISA señala exactamente este punto: es importante que las copias se mantengan sin conexión. El análisis verifica si existe al menos una copia que un intruso con acceso al entorno no pueda alterar ni borrar, ya sea sin conexión, aislada o inmutable.
Backup de Microsoft 365
Los buzones de correo, los archivos de OneDrive y los sitios de SharePoint también son datos de la empresa. El análisis confirma si esos servicios están dentro del alcance del backup, con qué frecuencia se copian y por cuánto tiempo se conservan las copias. En muchas empresas, es la brecha que nadie había identificado.
Retención exigida por ley o contrato
¿Por cuánto tiempo hay que conservar cada tipo de dato? La respuesta puede venir de la ley, de un contrato con un cliente o de una regla interna. El análisis compara lo que la política conserva con lo que la empresa nos informa que necesita conservar, y señala lo que queda por debajo o muy por encima, ya que conservar de más también cuesta almacenamiento. La interpretación de la obligación legal corresponde al área jurídica de la empresa.
Alertas de fallo y monitoreo
Un backup que falla en silencio es peor que ninguno, porque da una falsa sensación de seguridad. El análisis observa si los fallos generan alerta, a quién llega y si alguien revisa los informes con regularidad.
RPO y RTO: las metas de recuperación
El RPO es la cantidad de datos que la empresa acepta perder, medida en tiempo. El RTO es el tiempo en que el servicio debe volver a funcionar. Ambos se definen junto con el negocio, no solo por TI. El artículo Cómo definir RTO y RPO explica cómo llegar a esas cifras. En el assessment comparamos las metas que la empresa tiene, o que declara querer, con lo que la frecuencia y la retención de las copias pueden sostener. El assessment no define ni promete RTO ni RPO: muestra si la política actual es compatible con las metas acordadas.
La regla 3-2-1 y la versión 3-2-1-1-0
La regla 3-2-1 es la referencia más conocida de backup. Según la CISA en el documento Data Backup Options, indica mantener 3 copias de cada archivo importante, 1 principal y 2 de respaldo, en 2 tipos distintos de medio, con 1 copia fuera del sitio.
Los proveedores de software de backup amplían la regla. Lo que recomienda Veeam es la regla 3-2-1-1-0: los mismos tres primeros números, más 1 copia inmutable o aislada de la red (air-gapped) y 0 errores de recuperación, que significa verificar los backups para tener la certeza de que se pueden restaurar. Según el blog, esta versión resulta en cero errores de recuperación y en mayor resiliencia frente al ransomware. Es orientación de un proveedor, no una norma. Fuente: Veeam, blog oficial: la regla 3-2-1-1-0, consultada el 11/11/2026.
En el assessment usamos ambas reglas como vara de medir. ¿La política actual cumple la 3-2-1? ¿Hay una copia fuera del alcance de un intruso? ¿Existe alguna verificación periódica de que el backup realmente restaura? El informe muestra dónde está la empresa y qué falta.
Qué incluye el informe
El informe se escribe para dos públicos: la dirección, que debe decidir, y el equipo de TI, que debe ejecutar. Tiene estas partes:
- Resumen ejecutivo: la situación en una página, con los principales riesgos y qué hacer primero;
- Alcance y método: qué se analizó y con qué base;
- Entorno actual: cómo está montado el backup hoy;
- Hallazgos por nivel de riesgo: cada problema encontrado, clasificado como alto, medio o bajo, con la explicación del porqué;
- Recomendaciones priorizadas: qué corregir, en qué orden y con qué esfuerzo aproximado;
- Próximos pasos y premisas: qué depende de una decisión de la empresa y qué se asumió en el análisis.
El informe puede sugerir cambios o concluir que la política actual cumple lo que el negocio busca. Cuando cumple, lo deja documentado, y la empresa pasa a tener evidencia para auditorías y para clientes.
Un ejemplo de hallazgo: la política copia todos los servidores cada noche, pero las copias quedan en el mismo lugar que los servidores, accesibles con la misma credencial de administrador. El informe lo clasifica como riesgo alto y recomienda una copia aislada o inmutable fuera de ese entorno. La recomendación llega con la prioridad y el motivo, para que la decisión sea de quien paga la cuenta y no solo de quien opera.
Qué pasa después del assessment
Tras la devolución, la empresa elige el camino. Puede ejecutar las correcciones con su propio equipo. Puede contratar a Integrity-UX para implantar y gestionar las políticas de backup, que incluye copia local, en la nube y fuera del entorno, monitoreo continuo, pruebas de restauración y metas de RTO y RPO definidas por escrito. O puede simplemente guardar el informe y retomar el tema más adelante.
El backup es una parte de la continuidad del negocio. Si la siguiente pregunta es si la empresa podría operar tras una parada grande, el artículo Cómo probar el plan de continuidad y la página de plan de continuidad y DRP son el paso natural. La página de backup reúne lo que Integrity-UX hace en el área.
Próximos pasos
Si su empresa se reconoció en alguna de las señales anteriores, el primer paso es una conversación corta. Solicite el assessment gratuito de backup por el formulario de contacto. El equipo responde y agenda la reunión inicial.
Preguntas frecuentes
¿El assessment de backup tiene costo?
No. El assessment es gratuito y no obliga a contratar otro servicio de Integrity-UX.
¿El assessment incluye una prueba de restauración?
No. El assessment analiza la política y el entorno con base en documentos y configuraciones. La prueba de restauración forma parte del servicio de implantación y gestión de backup, cuando se contrata.
¿El informe siempre recomienda cambios?
No. Si la política cumple lo que el negocio busca, el informe lo registra. Las recomendaciones aparecen cuando hay una brecha frente a las metas y a las buenas prácticas.
¿Qué son RPO y RTO?
Son las metas de recuperación, explicadas en la sección sobre qué cubre el análisis. En resumen: cuántos datos acepta perder la empresa y en cuánto tiempo debe volver el servicio.
¿Qué información debe enviar la empresa?
La política de backup, la lista de sistemas, la herramienta usada, los informes recientes y las exigencias de retención. No se necesitan contraseñas ni datos de acceso.
¿La regla 3-2-1-1-0 es una norma?
No. La 3-2-1 es una orientación publicada por la CISA. La 3-2-1-1-0 es una extensión descrita en el material de Veeam, proveedor de backup. Usamos ambas como referencia de comparación.
¿Cuánto tarda el assessment?
Depende del tamaño del entorno. El plazo se define a medida, en la propuesta, después de la reunión inicial.
¿Cómo se solicita?
Por el formulario de contacto. El equipo se comunica para agendar la reunión inicial.
Última actualización: 11/11/2026.
Fuentes: CISA, #StopRansomware Guide (versión de septiembre de 2023), https://www.cisa.gov/stopransomware/ransomware-guide; CISA, Data Backup Options, https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf; Veeam, La regla 3-2-1-1-0 (blog oficial), https://www.veeam.com/blog/321-backup-rule.html (consultado el 11/11/2026).
