Si trabajas en operaciones de TI o en protección de datos, esta última semana te habrá parecido una prueba de estrés en condiciones reales, aunque tus propios servidores hayan funcionado sin problemas.
En un plazo de 48 horas, dos interrupciones masivas e independientes entre sí paralizaron el comercio y los viajes modernos. En primer lugar, una interrupción global de Microsoft 365 impidió que millones de trabajadores del conocimiento accedieran a Outlook, Teams y Copilot. Casi inmediatamente después, un fallo en las comunicaciones dejó en tierra a los vuelos en todo Estados Unidos, ya que la Administración Federal de Aviación (FAA) emitió una orden de suspensión de vuelos a nivel nacional.
Sobre el papel, estos dos entornos no podrían ser más diferentes. Uno es una plataforma SaaS nativa de la nube a escala mundial, construida sobre microservicios modernos; el otro depende en gran medida de hardware heredado y obsoleto y de una infraestructura de telecomunicaciones con décadas de antigüedad. Sin embargo, al analizar ambos incidentes desde la perspectiva de un administrador sénior de copias de seguridad, las lecciones fundamentales son sorprendentemente idénticas.
Ninguna de las dos interrupciones fue provocada por una sofisticada banda de ransomware patrocinada por un Estado-nación. Una se debió a la complejidad de la infraestructura moderna en la nube y de su configuración; la otra, a una sobrecarga de tráfico y a inconsistencias en los datos de los routers de las líneas heredadas. Juntas, ponen de manifiesto los puntos ciegos más peligrosos de la resiliencia empresarial actual.
La lección de M365: la disponibilidad del SaaS no equivale a la recuperabilidad de los datos
Durante años, los administradores de copias de seguridad han librado una batalla cuesta arriba contra un mito muy arraigado entre los altos directivos: «Nos hemos pasado a Microsoft 365, así que ahora Microsoft se encarga de nuestras copias de seguridad».
Microsoft cuenta con una de las arquitecturas en la nube más resilientes del mundo, con georedundancia nativa en todas las regiones del mundo. Sin embargo, la disponibilidad de la plataforma no es lo mismo que la continuidad operativa ni la capacidad de recuperación independiente.
Cuando un cliente importante de SaaS deja de funcionar, las organizaciones que carecen de copias de seguridad independientes de SaaS realizadas por terceros se dan cuenta de que no tienen ningún acceso fuera de banda a su propio sustento operativo. Si no se puede acceder a Exchange o SharePoint durante horas, ¿podrán tus equipos jurídicos, financieros o de gestión de incidentes seguir buscando, exportando y accediendo a correos electrónicos y contratos históricos críticos? Si tus datos residen exclusivamente dentro del ecosistema del proveedor, la respuesta es no.
Esta es precisamente la carencia que SaaSRecover de Commvault subsana para M365: protección independiente y de terceros para Exchange Online, OneDrive, SharePoint y Teams con opciones de restauración flexibles, que incluyen la restauración a un punto en el tiempo, in situ, fuera de las instalaciones y la exportación a PST/CAB. Las copias de seguridad se realizan cada 8 horas con una programación incremental permanente, y el bloqueo de cumplimiento garantiza la inmutabilidad, de modo que los datos no pueden eliminarse ni reducirse su periodo de retención.
Y lo que es peor, esta semana ha puesto de manifiesto una trampa operativa clásica: almacenar los planes de respuesta ante incidentes (IR) en la misma plataforma que acaba de dejar de funcionar. Si tus manuales de recuperación ante desastres, los números de escalación de los proveedores y los árboles de comunicación de emergencia se encuentran en SharePoint o Teams, no podrás consultar el manual que te indica qué hacer cuando M365 está fuera de línea.
La lección de la FAA: la deuda técnica y la trampa de la gestión del cambio
Si bien la interrupción de M365 puso de manifiesto los límites de la abstracción de la nube a hiperescala, la suspensión de vuelos por parte de la FAA demostró lo contrario: el riesgo acumulado que supone posponer la modernización.
Todo administrador sénior de infraestructura reconoce el ciclo presupuestario de «mantener el sistema en marcha». Cuando escasea el capital, las organizaciones aplican parches a los sistemas obsoletos en lugar de rediseñarlos. En el ámbito de las copias de seguridad, esto se traduce en mantener en funcionamiento matrices de discos sin soporte, servidores multimedia sin parches o rutas de red frágiles «solo un año fiscal más». Al final, la deuda técnica acaba pasando factura, normalmente en el peor momento posible.
Además, ambos sucesos ponen de relieve una verdad incómoda que todo administrador con experiencia conoce: la gestión rutinaria de los cambios supone una amenaza estadística mayor para la disponibilidad del sistema que los ciberataques. Ya se trate de una sutil actualización de un router, una configuración errónea del DNS o un pico de tráfico no aislado que se propaga en cascada a través de rutas redundantes, los cambios internos suelen eludir las medidas de seguridad de alta disponibilidad diseñadas para prevenirlos. Si un único cuello de botella en la red o un error de configuración puede dejar fuera de servicio tanto tu ruta principal como la secundaria, no dispones de un verdadero aislamiento: solo tienes dos formas de fallar al mismo tiempo.
Por eso es importante Commvault AirGap. Garantiza un aislamiento verdadero: comunicación saliente unidireccional únicamente desde el clúster AirGap, replicación basada en la extracción, exposición mínima de puertos y aislamiento inmediato una vez completada la replicación. La lógica de control reside en el clúster AirGap, no en CommServe, por lo que un fallo en el entorno de producción no puede propagarse a su nivel de Recovery.
Ninguno de los fallos de esta semana tuvo que ver con la IA, y conviene dejarlo claro. Pero fíjate en lo que sí los provocó: un cambio que alguien realizó a propósito, dentro de un sistema demasiado complejo como para que una sola persona pueda comprenderlo por completo. Ahora piensa en quién va a realizar cambios en tu entorno el año que viene. Los agentes ya están modificando configuraciones, concediendo acceso y trasladando datos, y lo hacen más rápido de lo que cualquier comité asesor de cambios puede revisar. El tipo de fallo de esta semana es el que volveremos a ver, salvo que el cambio se aplique en segundos y nadie haya abierto un ticket al respecto. Por eso, la detección y la reversión deben ser continuas, en lugar de programadas.
Así es como se ve la Recovery continua un lunes por la mañana.
No hace falta una revisión presupuestaria a gran escala para poner en práctica las lecciones aprendidas de las dos interrupciones de esta semana. Aprovecha estos sucesos como punto de partida para evaluar cuatro áreas clave de tu estrategia de resiliencia. No se trata de simples precauciones; así es como se ve la recuperación continua en la consola:
- Traslada tus manuales de procedimientos fuera de banda: saca tus planes de recuperación ante desastres, diagramas de red, datos de contacto del servicio de asistencia de los proveedores y credenciales de emergencia de M365 y SharePoint. Mantén una copia inmutable y sin conexión, o guárdalos en un repositorio totalmente independiente que no dependa de tu inquilino principal en la nube. El bloqueo de cumplimiento normativo y Commvault AirGap proporcionan esa capa de almacenamiento inmutable y aislada.
- Desvincula la autenticación de las copias de seguridad del SSO de producción: Disponer de una copia de seguridad independiente de terceros para M365 es estupendo, a menos que el portal de copias de seguridad dependa exclusivamente del inicio de sesión único (SSO) de Entra ID (Azure AD) para permitirte iniciar sesión. Asegúrate de que tus administradores de copias de seguridad dispongan de credenciales locales de emergencia específicas y protegidas con autenticación multifactorial (MFA), de modo que puedas seguir accediendo y exportando datos durante una interrupción del servicio del proveedor de identidad.
- Comprueba tu aislamiento de Blast-Radius: examina detenidamente los planos de red y de gestión que conectan tu entorno de producción con tu almacenamiento de copias de seguridad. Asegúrate de que un error de enrutamiento en cascada, un fallo de DNS o una tormenta de difusión en el entorno de producción no puedan saturar o interrumpir el acceso a tu nivel de recuperación. Aquí es donde Commvault Cleanroom aporta valor añadido: proporciona un entorno de recuperación aislado, ya sea basado en la nube en AWS/Azure o en las propias instalaciones con un almacén Commvault Grid (antes HyperScale X) físicamente aislado, donde puedes recuperar y validar datos sin correr el riesgo de que el entorno de producción vuelva a infectarse.
- Acaba con tu «déficit de copias de seguridad de la era FAA»»: identifica el hardware o el software heredado más antiguo y vulnerable de tu infraestructura de protección de datos. Aprovecha las noticias de esta semana para elaborar un argumento comercial claro dirigido a la dirección: saldar la deuda técnica ahora es mucho más barato que tener que dar explicaciones por una interrupción prolongada del servicio más adelante. La consolidación en una plataforma unificada e integrada reduce la deuda técnica y disminuye el riesgo de error humano.
Reflexión final
Incluso los gigantes tecnológicos y las agencias federales, que cuentan con ingenieros de talla mundial, se enfrentan a casos extremos de arquitectura. No se trata de buscar culpables. La cuestión es que los momentos más difíciles llegan tras la alarma, cuando hay que averiguar qué ha cambiado y en qué se puede seguir confiando. La resiliencia consiste en ser capaz de responder a esa pregunta rápidamente, en todo momento, porque ya estabas atento.
