Todas las organizaciones que han fracasado alguna vez en un proceso de recuperación —y hay más de las que nadie reconoce públicamente— tenían una cosa en común: creían que podían recuperarse antes incluso de intentarlo.

Esa creencia provenía de algún sitio. Un ejercicio de simulación completado. Un sistema de copia de seguridad que mostraba un estado «verde». Una prueba anual de recuperación ante desastres que se superó. Todo ello documentado. Todo ello, en algún momento, correcto. Nada de ello actualizado cuando el incidente se produjo realmente. Esto es lo que se conoce como «brecha de confianza». Y es precisamente esa brecha la que la validación continua de la recuperación pretende cerrar.

Qué significa realmente «pruebas» en la mayoría de las organizaciones

Si le preguntas a la mayoría de los responsables de seguridad o de TI con qué frecuencia comprueban su capacidad de recuperación, la respuesta suele ser «una vez al año», a veces «dos veces al año». La prueba consiste en restaurar un subconjunto de sistemas a partir de backup un entorno de pruebas, comprobar que se inician correctamente y elaborar un informe. A veces se realiza también un ejercicio de simulación junto con ello. Lo que este tipo de pruebas no hace: validar que los datos de la copia de seguridad estén libres de malware. Confirmar que la secuencia de recuperación funciona para servicios interdependientes. Probar la recuperación de identidades, algo esencial cuando el ataque se ha producido a raíz de credenciales comprometidas. Confirmar que el equipo que llevaría a cabo la recuperación conoce los manuales de procedimientos actuales. Ni aportar pruebas lo suficientemente significativas como para convencer a un regulador, un auditor o un consejo de administración de que la capacidad de recuperación es real y está al día. En resumen, valida un momento concreto. Las operaciones de resiliencia (ResOps) requieren que la validación sea un estado continuo.

El modelo de validación continua

La validación continua de la recuperación no consiste simplemente en realizar una misma prueba con más frecuencia. Se trata de un conjunto de prácticas integradas que proporcionan una demostración continua y basada en pruebas de la capacidad de recuperación de los servicios críticos. Análisis automatizado de la integridad de las copias de seguridad. Cada copia de seguridad se evalúa continuamente en busca de anomalías, patrones de cifrado y firmas de malware. No en el momento de la restauración, sino antes de la misma. El objetivo es saber si los puntos de recuperación están limpios antes de que se necesiten, no durante un incidente.

Cleanroom Recovery programados Cleanroom Recovery ». Como mínimo dos veces al año, restaurando desde backup inmutables a un Cleanroom Recovery aislado Cleanroom Recovery » —ni en producción, ni en un entorno de pruebas adyacente a producción, sino en un espacio realmente aislado donde se pueda realizar un análisis forense sin riesgo de reinfección—. Estos simulacros proporcionan pruebas documentadas de la capacidad de recuperación frente a los niveles de impacto definidos.

Validación de la recuperación de la identidad. Dado que el uso indebido de credenciales es el vector de ataque más habitual, hay que probar la recuperación de Active Directory y Entra ID junto con la recuperación de datos. Las organizaciones que restauren los sistemas sin restaurar primero una capa de identidad que se haya comprobado que está limpia pueden encontrarse con que los atacantes vuelvan a entrar por la misma puerta.

Cuadros de mando del Indicador de Resiliencia del Servicio (SRI). Los SRI —señales continuas extraídas de backup , los mapas de dependencias y los resultados de las pruebas— ofrecen a los CISO, los CIO y los consejos de administración una visión en tiempo real del estado de la capacidad de recuperación. No es un informe puntual, sino una señal operativa continua.

Cada una de estas prácticas contribuye a lo que Deloitte y Commvault denominan «resilience backlog»: una lista priorizada y actualizada constantemente de las deficiencias identificadas mediante pruebas y cuyo seguimiento se realiza hasta su resolución. Es el mecanismo por el que la validación impulsa la mejora, en lugar de limitarse a generar informes.

¿Qué significa el «tiempo medio hasta la recuperación de la limpieza»?

Las métricas de recuperación tradicionales —el objetivo de tiempo de recuperación (RTO) y el objetivo de punto de recuperación (RPO)— miden la velocidad y la actualidad de los datos. No dicen nada sobre si se puede confiar en los datos que se están restaurando. El tiempo medio de recuperación limpia (MTCR) cubre esa laguna: mide el tiempo necesario para restaurar datos que sean verificablemente limpios, no solo técnicamente disponibles.

El MTCR es importante porque, en un incidente de ransomware, el objetivo del atacante suele ser corromper las opciones de recuperación, no solo cifrar los sistemas de producción. Una organización que se recupera rápidamente, pero lo hace a partir de una backup comprometida, no backup recuperado realmente. Se ha vuelto a infectar.

Incorporar el MTCR a tu marco de medición de la resiliencia, junto con el RTO y el RPO, cambia los aspectos que optimizas y lo que comunicas al consejo de administración. Rapidez, actualidad e integridad: ese es el panorama completo de la preparación para la recuperación.

Resiliencia que puedes demostrar

Las organizaciones que superan las interrupciones cibernéticas con el menor daño posible comparten una característica: consideran que la capacidad de recuperación es algo que hay que demostrar continuamente, no algo que se afirme de vez en cuando. Conocen su MTCR. Sus SRI están al día. cleanroom sus cleanroom se ha probado en los últimos 90 días. Esa postura no es solo el resultado de una mejor tecnología. Es el resultado de una disciplina operativa —ResOps— que hace que la resiliencia sea continua, medible y gestionable. La plataforma de Commvault proporciona la base técnica: Recovery limpio, validación automatizada y la visibilidad unificada de datos, identidades y servicios que ResOps requiere a gran escala.

En cuanto al aspecto organizativo de esa ecuación —cómo definir las tolerancias de impacto, alinear a la dirección ejecutiva y construir la estructura de gobernanza que sustente la disciplina—, consulta el blog complementario de Deloitte, «La conversación sobre resiliencia que tu consejo de administración aún no está manteniendo». Y para conocer el marco completo de ResOps, incluidos los seis ámbitos de ResOps y el modelo de medición que vincula la recuperabilidad técnica con la responsabilidad a nivel del consejo de administración, lea el informe técnico conjunto: «De la viabilidad mínima a la resiliencia operativa: ResOps en la práctica».

Bill O’Connell es director de seguridad de Commvault.

Puntos clave:

• Los ciberataques se dirigen cada vez más tanto a backup de producción como a backup , por lo que es fundamental contar con una recuperación limpia y verificable.
• La detección integrada de anomalías y amenazas refuerza la resiliencia cibernética al identificar datos comprometidos, validar puntos de recuperación fiables y acelerar la restauración.
• Cuando se integran en los flujos de trabajo de protección de datos, las funciones de detección de anomalías y amenazas pueden ayudar a proporcionar las pruebas necesarias para recuperarse de forma rápida, segura y con confianza.

Por qué la ciberresiliencia depende de la detección integrada de anomalías y amenazas

La detección de anomalías identifica comportamientos inusuales en los datos de copia de seguridad que pueden indicar un compromiso de seguridad. La detección de amenazas identifica actividades maliciosas conocidas mediante firmas, análisis heurístico y técnicas de escaneo. Juntas, ayudan a validar los puntos de Recovery y permiten una recuperación limpia de los datos. Durante años, los responsables de seguridad se han centrado en prevenir las brechas de seguridad. En la era actual, marcada por los ataques persistentes y las amenazas impulsadas por la inteligencia artificial, las organizaciones dan cada vez más por hecho que se producirá una brecha y diseñan sistemas capaces de resistir las interrupciones y recuperarse de forma segura cuando estas se produzcan.

Los adversarios modernos no siempre ocultan su presencia: la revelan cuando les conviene para alcanzar su objetivo. Los atacantes intentan infiltrarse en los entornos de forma sigilosa, observan los sistemas a lo largo del tiempo y se posicionan dentro de las infraestructuras críticas. El momento en que un ataque se hace visible rara vez es el momento en que empieza; es el momento en que el atacante decide actuar.

Para entonces, es posible que los datos comprometidos ya se hayan incorporado a backup . La detección integrada de anomalías y amenazas puede ayudar a las organizaciones a identificar backup que se han visto comprometidos, validar los puntos de recuperación no afectados y facilitar la recuperación tras un ciberataque. Para los equipos de seguridad y de TI, el reto ya no es solo detectar un ataque, sino predecir y gestionar el posible impacto que podría tener el atacante. La solución pasa por entender qué se ha visto afectado, qué sigue siendo fiable y cómo puede la organización recuperarse de forma segura sin que la interrupción del negocio se agrave.

Por eso, la ciberresiliencia se beneficia enormemente de la detección integrada de anomalías y amenazas. Cuando las capacidades de detección se integran en los flujos de trabajo de protección y recuperación de datos, ayudan a proporcionar la información compartida que los equipos necesitan para identificar los datos comprometidos, validar los puntos de recuperación fiables y orientar las decisiones de respuesta basándose en pruebas, en lugar de en conjeturas. Este enfoque se ajusta al modelo operativo ResOps™, que está en auge, en el que los equipos de seguridad, TI y recuperación trabajan partiendo de una visión global compartida y de rutas de recuperación validadas para responder juntos a los incidentes.

La nueva realidad: la recuperación requiere pruebas, no suposiciones

Las herramientas tradicionales de detección de amenazas se centran en detectar amenazas en el perímetro. Pero una vez que los atacantes están dentro, la visibilidad puede verse mermada y resulta complicado determinar qué sistemas y datos se han visto afectados. Además, los atacantes se centran cada vez más en los entornos de copia de seguridad con el objetivo específico de socavar la recuperación. Y en el momento en que las organizaciones no pueden demostrar con certeza que las copias de seguridad permanecen intactas, la sospecha se vuelve inevitable. El resultado es la incertidumbre. ¿Restaurar rápidamente y arriesgarse a una reinfección? ¿O retrasar la recuperación mientras se investiga qué copias siguen siendo fiables? Los equipos de TI se ven obligados a adivinar qué datos están a salvo mientras se acumula el tiempo de inactividad. Al integrar la inteligencia directamente en los flujos de trabajo de protección de datos, la detección de anomalías y amenazas ayuda a transformar la recuperación, pasando de ser una acción reactiva basada en conjeturas a un proceso disciplinado y basado en pruebas. Estas capacidades pueden ayudar a las organizaciones a identificar copias manipuladas, validar la integridad de los datos y recopilar los puntos de recuperación más recientes que no se hayan visto comprometidos, lo que te ayuda a acelerar la recuperación tras un ciberataque y a reducir el impacto operativo.

Detección de anomalías: tu primera señal de lo desconocido

La detección de anomalías actúa como un centinela que vela por la integridad de sus datos protegidos. Establece una línea de referencia del comportamiento normal —tamaños de archivo, patrones de crecimiento, cambios en la deduplicación, intentos de acceso— y alerta a los equipos cuando algo se desvía de esa norma. Estas desviaciones pueden revelar indicios de manipulación silenciosa mucho antes de que lo hagan las firmas de malware. En una era de amenazas novedosas y polimórficas, la detección de anomalías ayuda a ofrecer lo que las herramientas estáticas no pueden: visibilidad de lo inesperado.

Detección de amenazas: defensa específica contra actividades maliciosas conocidas

Mientras que las anomalías revelan lo que es inusual, la detección de amenazas pone de manifiesto lo que es malicioso. Al analizar directamente los datos protegidos en busca de ransomware, firmas de malware, patrones de cifrado e indicadores de compromiso (IoC) personalizados, la detección de amenazas ayuda a confirmar que los datos que proteges no se han visto comprometidos.

Por qué es importante un enfoque combinado

Ni la detección de anomalías ni la de amenazas por sí solas ofrecen una visión completa. Juntas, conforman una estrategia de defensa en profundidad: la detección de anomalías puede señalar señales sospechosas, mientras que la detección de amenazas puede profundizar más para verificar si hay intenciones maliciosas. Esta combinación ayuda a las organizaciones a distinguir las anomalías inofensivas de las verdaderas brechas de seguridad y a mantener datos fiables y validados para una recuperación rápida.

Afrontar los retos actuales con Commvault® Cloud

Los atacantes se centran cada vez más en backup , y el malware oculto en backup puede aumentar el riesgo de reinfección durante la recuperación. Las organizaciones necesitan una validación basada en datos para garantizar una recuperación limpia y segura.

Commvault Cloud resuelve esto combinando los flujos de trabajo de protección de datos con la detección de anomalías, la inteligencia sobre amenazas, los análisis basados en IA y las instancias aisladas y limpias. Al aplicar la información sobre anomalías y amenazas antes, durante y después de backup , Commvault puede ayudar a las organizaciones a recuperarse más rápido, de forma más limpia y con total confianza. Lee el informe técnico completo, «¿Puedes demostrar que eres recuperable ahora mismo?», para obtener más información.

Preguntas frecuentes

P: ¿Qué es la detección de anomalías en la protección de datos?

R: La detección de anomalías identifica comportamientos inusuales —como cambios inesperados backup o actividad anómala en los archivos— que pueden indicar manipulación, ransomware o amenazas emergentes en los datos protegidos.

P: ¿Por qué los CISO necesitan la detección de amenazas en sus backup ?

R: Los entornos de copia de seguridad se han convertido en uno de los principales objetivos de los atacantes. La detección de amenazas ayuda a evitar que las organizaciones almacenen o restauren datos comprometidos, lo que contribuye a reducir el riesgo de reinfección y a mejorar las posibilidades de una recuperación sin problemas.

P: ¿Cómo ayuda Commvault a garantizar una recuperación de datos sin errores?

R: Commvault utiliza análisis de amenazas asistido por IA, detección de cifrado, comparación personalizada de indicadores de compromiso (IoC) y técnicas de engaño cibernético para ayudar a validar backup y recopilar los datos más recientes que no hayan sido comprometidos, con el fin de garantizar una recuperación rápida.

P: ¿Por qué combinar la detección de anomalías y la detección de amenazas?

R: Las anomalías identifican lo desconocido; la detección de amenazas valida lo conocido. Juntas, ofrecen una visibilidad completa de las actividades sospechosas, lo que permite investigar más rápido y recuperar los datos con mayor seguridad.

Pauline List es directora de marketing de producto en Commvault

Puntos clave

• El aumento de las interrupciones operativas hace que la resiliencia escalable sea esencial, pero las organizaciones suelen caer en trampas como buscar una tecnología que sea la «solución milagrosa» o confiar en el «culto a la figura» de expertos concretos.
• ResOps ofrece un marco escalable que integra a las personas, los procesos y la tecnología en ITOps, SecOps y DevOps.
• El apoyo de la alta dirección, a nivel de director general, ayuda a fomentar la responsabilidad y a dar prioridad a la resiliencia como disciplina estratégica.

Los ciberataques, cloud y las amenazas basadas en la inteligencia artificial plantean constantes retos operativos a las empresas. Para poder cumplir con los requisitos empresariales en este entorno cada vez más disruptivo, las organizaciones deben ir más allá de las herramientas, los equipos y los planes de recuperación independientes, y adoptar la resiliencia como modelo operativo integrado.

En un seminario web reciente, Phil Goodwin, vicepresidente de investigación de los programas de infraestructura a nivel mundial de IDC, se unió a mí en una charla informal para analizar cómo las organizaciones pueden ir más allá de los enfoques fragmentados y desarrollar una resiliencia que se pueda ampliar.

Por qué las organizaciones necesitan un nuevo marco de resiliencia

Como las organizaciones se pasan el día apagando incendios, al tiempo que se ponen al día con las nuevas tecnologías y abordan nuevas iniciativas, casi nunca tienen tiempo para dar un paso atrás y replantearse si sus estrategias siguen cumpliendo con los requisitos. Pero ahora que los incidentes aislados se han convertido en una perturbación sistémica, este debate se ha vuelto imprescindible.

En una época más sencilla, las organizaciones se centraban principalmente en el Backup and Recovery. Las interrupciones a gran escala, como el huracán Sandy, pusieron la recuperación ante desastres en la agenda. La intensificación de las ciberamenazas, como el ransomware, añadió la ciberresiliencia y la continuidad del negocio a la lista. Cada evolución trajo consigo nuevas capacidades, pero muchas organizaciones se limitaron a añadir nuevos enfoques a lo que ya estaban haciendo, en lugar de abordar estos requisitos cada vez más amplios de forma integral.

Cuando distintos equipos gestionan diferentes aspectos con herramientas y políticas diferentes, pueden surgir lagunas que ralenticen la recuperación. A pesar de llevar años invirtiendo en ciberseguridad, las organizaciones siguen teniendo problemas con la recuperación. Más recientemente, la IA ha acelerado la necesidad de adoptar un enfoque más integrado al transformar tanto las amenazas como las defensas. A pesar del aumento de las inversiones en IA, muchas empresas están retrasando su implantación debido a las continuas preocupaciones sobre la gobernanza y las vulnerabilidades de seguridad.

En el otro lado del frente cibernético, los delincuentes están usando la IA para crear deepfakes, atacar a los usuarios con ataques de phishing cada vez más sofisticados y convincentes, y aprovechar vulnerabilidades a gran escala. Las operaciones de resiliencia —ResOps— consideran la resiliencia como una disciplina operativa continua, en lugar de un conjunto de herramientas y equipos independientes. Al reunir ITOps, SecOps y DevOps bajo un marco unificado, ResOps ayuda a transformar la resiliencia para que pueda seguir el ritmo de las perturbaciones sistémicas.

Cómo evitar los errores más comunes en la planificación de la resiliencia

Incluso las organizaciones que reconocen la necesidad de un cambio suelen caer en trampas. Una de ellas es el problema de la «solución milagrosa», que se centra en la tecnología como única solución. Los líderes quieren creer que adquirir las herramientas adecuadas lo resolverá todo, pero la tecnología por sí sola no puede generar resultados empresariales positivos sin una integración y unos procesos adecuados.

El «culto al héroe» es otro error habitual: confiar en empleados con talento cuya experiencia reside en sus cabezas, en lugar de en procesos documentados. El heroísmo no se puede ampliar, y depender de personas concretas genera vulnerabilidad cuando alguien se va o cambian las responsabilidades.

Para superar estos escollos, tienes que plantearte tu modelo operativo desde otra perspectiva. En lugar de centrarte principalmente en la tecnología y en las personas, piensa en el equipo que tendrás que formar, incluyendo el apoyo de la dirección, los responsables de operaciones de TI y de seguridad, y los altos directivos del ámbito empresarial. El pliego de condiciones del equipo debería centrarse, ante todo, en definir los resultados empresariales: ¿qué debe aportar la resiliencia a la organización? ¿Qué indicadores clave de rendimiento (KPI), acuerdos de nivel de servicio (SLA) y procesos hay que establecer para cumplir estos requisitos?

Desarrollar operaciones de resiliencia de arriba abajo

Como prioridad a nivel de la junta directiva, la resiliencia requiere el apoyo de los más altos cargos. Las operaciones de resiliencia (ResOps) cobran mayor impulso cuando el director general se implica, ayudando a establecer las prioridades en materia de recursos e impulsando la rendición de cuentas en toda la organización. Con el respaldo de la dirección, los altos directivos —como el director de sistemas de información (CIO), el director técnico (CTO), el director de seguridad de la información (CISO) y los directores generales— pueden encargar a su personal la puesta en marcha.

Este enfoque se puede adaptar a organizaciones de cualquier tamaño. Incluso las empresas pequeñas y medianas pueden formar equipos multifuncionales que incluyan a las partes interesadas del negocio, a los equipos de TI y al personal encargado de la seguridad de los datos y de la red. A medida que crecen, esta estructura puede adaptarse a sus necesidades, incorporando personal en disciplinas específicas relacionadas con la resiliencia, al tiempo que se mantiene un enfoque integrado en toda la cadena de operaciones de resiliencia. ResOps refleja la forma en que los equipos de operaciones de TI, SecOps y DevOps deben trabajar juntos dentro de las organizaciones. La recuperación de datos y la seguridad de los datos se han alineado tan estrechamente que, en IDC, los investigadores de estas disciplinas colaboran ahora con frecuencia en proyectos con clientes. Ahora hay que diseñar las aplicaciones teniendo en cuenta a los atacantes, incorporando arquitecturas de «confianza cero» y partiendo de la base de que algo va a salir mal. ResOps ofrece el marco necesario para esta convergencia, uniendo las herramientas de seguridad y de operaciones en un modelo unificado para hacer frente a amenazas e interrupciones de todo tipo.

ResOps como marco común para el sector

ResOps es un modelo operativo, no un producto, y puede beneficiar a las empresas independientemente de las herramientas concretas que utilicen. Como señaló Phil durante nuestra charla: «Realmente requiere la participación de la comunidad, en la que la gente aporte desde diferentes perspectivas, diferentes proveedores, diferentes organizaciones y diferentes equipos, igual que en DevOps o SecOps».

Para las organizaciones que se enfrentan a interrupciones constantes y a la creciente complejidad de las amenazas y defensas basadas en la IA, ResOps ofrece una alternativa que va más allá de los enfoques fragmentados de resiliencia. Al unir a las personas, los procesos y la tecnología en un modelo operativo unificado, ResOps convierte los esfuerzos de recuperación fragmentados en una preparación a nivel de toda la empresa. Echa un vistazo a mi charla informal completa con Phil para ver cómo ResOps puede ayudarte a desarrollar una resiliencia empresarial que se adapte a tus necesidades.

Preguntas frecuentes

P: ¿Qué son las operaciones de resiliencia (ResOps)?

R: ResOps es un modelo operativo que integra las operaciones de TI, las operaciones de seguridad y DevOps en una disciplina continua. En lugar de tratar la recuperación ante desastres, la ciberresiliencia y la continuidad del negocio como capacidades independientes, ResOps aúna a las personas, los procesos y la tecnología bajo un marco unificado para ayudar a crear una resiliencia empresarial escalable.

P: ¿Por qué es importante el apoyo de la dirección para la resiliencia cibernética?

R: El apoyo de la dirección —a ser posible, a nivel del director general— ayuda a fomentar la responsabilidad y a dar prioridad a las iniciativas de resiliencia en toda la organización. Este apoyo de arriba hacia abajo es esencial para las organizaciones que intentan pasar de enfoques fragmentados a operaciones de resiliencia integradas.

P: ¿Pueden las pequeñas y medianas empresas implementar ResOps?

R: Sí. ResOps se puede aplicar a organizaciones de cualquier tamaño. El marco se adapta en complejidad a medida que las organizaciones crecen, lo que lo hace accesible para las empresas medianas sin dejar de ser eficaz para las grandes empresas.

P: ¿Por qué tienen que colaborar los equipos de TI y de seguridad para garantizar la resiliencia?

R: Cuando los equipos de operaciones de TI, de seguridad y de DevOps colaboran en lugar de trabajar de forma aislada, las organizaciones pueden contribuir a crear una infraestructura más resistente para hacer frente a las amenazas en constante evolución.

P: ¿Cómo deberían empezar las organizaciones con las operaciones de resiliencia?

R: Empiece por lo más alto, asegurándose del respaldo de la dirección al nivel del director general. A continuación, forme un equipo multifuncional que incluya a miembros de las operaciones de TI, SecOps y partes interesadas del negocio, y pídales que definan los resultados empresariales que la resiliencia debe aportar a su negocio. Realice una evaluación de amenazas para comprender los riesgos que debe abordar. Solo después de estos pasos fundamentales deben las organizaciones centrarse en seleccionar tecnologías y desarrollar procesos detallados.

Chris Mierzwa es director sénior de marketing de cartera en Commvault.

Puntos clave

• La detección por sí sola no es suficiente: las organizaciones necesitan una Recovery integrada y coordinada para minimizar la interrupción de la actividad empresarial provocada por el ransomware.
• La integración de CISCO XDR y Commvault Cloud conecta la detección de amenazas directamente con acciones de recuperación seguras dentro del mismo flujo de trabajo de seguridad.
• Una recuperación limpia requiere procesos de restauración validados y aislados que ayuden a reducir el riesgo de reinfección y a restablecer las operaciones con confianza.
• Activar las acciones de Backup and Recovery directamente desde las herramientas de seguridad ayuda a preservar los datos críticos de forma temprana y a acortar los plazos de Recovery.
• La resiliencia unificada aúna seguridad y Recovery, lo que ayuda a reducir las fricciones entre los entornos de Detección y Respuesta Extendidas (XDR) y de Orquestación, Automatización y Respuesta de Seguridad (SOAR), al tiempo que mejora la velocidad y la confianza en la respuesta.

Si hay algo que he aprendido al hablar con responsables de seguridad de distintos sectores, es esto: la detección es solo la mitad del trabajo. La otra mitad, la parte que determina si el negocio sigue adelante, es la respuesta y la Recovery. Y cuando el ransomware ataca, la Recovery no es solo una cuestión de velocidad. Se trata de confianza, de limpieza y de velocidad.

Por eso es tan importante este anuncio. Hemos ampliado nuestra colaboración con Cisco con una nueva integración entre Cisco XDR y Commvault Cloud, diseñada para unificar la respuesta y la Recovery ante el ransomware en un único flujo de trabajo coordinado.

Demasiadas organizaciones siguen conviviendo con una dolorosa brecha entre lo que ven los equipos de seguridad y lo que los equipos de TI pueden hacer a continuación de forma segura. Cuando cada segundo cuenta, esa brecha se convierte en la diferencia entre contener un incidente y ver cómo se convierte en una interrupción del negocio. Con esta integración, los equipos pueden pasar de la detección a acciones decisivas de Recovery dentro del flujo de trabajo de operaciones de seguridad, lo que ayuda a minimizar el impacto cuando el tiempo es el enemigo.

Y esta es la verdad: En una crisis, a la empresa no le importa quién sea el responsable de cada «consola». A la empresa le importan los resultados. ¿Podemos preservar los datos críticos desde el principio? ¿Podemos recuperarlos de forma limpia sin que se produzca una reinfección? ¿Podemos restaurar los sistemas correctos con confianza en lugar de tener que adivinar? ¿Cuánto tardamos en recuperar la viabilidad mínima? Esa es la brecha que estamos cerrando, incorporando las acciones de Recovery al flujo de respuesta ante incidentes, donde ya se están tomando las decisiones.

Aquí es donde la «recuperación limpia» deja de ser un tema de debate y se convierte en el nuevo estándar.

Recovery se ha convertido en un ejercicio de confianza: confianza en que tus puntos de recuperación están a salvo, confianza en que tus copias de seguridad no están ya comprometidas y confianza en que no estás reintroduciendo el riesgo al intentar restablecer las operaciones. La incómoda realidad es que los defensores disponen cada vez de menos tiempo para responder.

Según el Informe sobre adversarios activos de 2026 de Sophos, «la velocidad con la que los atacantes intentan acceder a AD tras entrar en el sistema se ha acelerado un 70 % con respecto al año pasado, reduciéndose a una mediana de tan solo 3,40 horas».

Esa velocidad obliga a que la respuesta ante incidentes se lleve a cabo de forma inmediata y coordinada entre los distintos silos, y eleva el listón de la recuperación. Porque las restauraciones rápidas no sirven de nada si no están limpias.

Con esta nueva integración, los equipos de operaciones de seguridad pueden activar acciones de Commvault Cloud directamente desde Cisco XDR, lo que ayuda a preservar los datos desde el principio y a avanzar hacia una recuperación limpia.

Si un responsable del SOC recibe una notificación de una amenaza detectada en Cisco XDR, puede iniciar de inmediato una copia de seguridad de las máquinas virtuales de la infraestructura central y, a continuación, restaurar los sistemas afectados en Commvault Cloud Cleanroom Recovery, un entorno en la nube seguro y aislado diseñado para la investigación y la validación, antes de volver a poner los sistemas en producción con total confianza. De este modo, las acciones de recuperación se integran en el mismo flujo de trabajo que la detección, lo que permite a los equipos responder más rápido y recuperarse con confianza.

El resultado es una conexión más estrecha entre la detección y la recuperación, de modo que los equipos de seguridad pueden actuar con decisión ante los primeros indicios de un ataque. Al validar la recuperación en un entorno aislado antes de devolver los sistemas a producción, las organizaciones reducen el riesgo de reinfección, preservan los datos críticos y acortan los plazos de recuperación, todo ello mediante herramientas en las que los equipos del SOC ya confían.

Un compromiso con la resiliencia unificada

Desde una perspectiva más amplia, esta integración con Cisco XDR supone un hito importante y forma parte de una visión más amplia con la que estamos comprometidos: la resiliencia unificada, en la que la seguridad y Recovery trabajan conjuntamente en lugar de actuar por separado. Y no se trata de una propuesta de «o una cosa o la otra». Es un ecosistema en crecimiento diseñado para adaptarse a los equipos en su entorno de trabajo.

Otro gran ejemplo de ello es nuestra integración con Splunk SOAR, que ayuda a mejorar la detección de amenazas y a impulsar una respuesta más rápida y automatizada. Commvault puede enviar información sobre detección de amenazas, seguridad de datos y Backup and Recovery directamente a Splunk, lo que enriquece los eventos de seguridad y ayuda a alertar a los equipos de SecOps; además, las acciones automatizadas en Splunk pueden reducir el tiempo de respuesta sin tener que cambiar de una interfaz a otra.

Así pues, tanto si el centro operativo de un cliente es XDR como SOAR, el objetivo sigue siendo el mismo: reducir las fricciones, agilizar las decisiones y garantizar que Recovery sea demostrable.

La integración con Cisco XDR ya está disponible a nivel mundial y se ofrece sin coste adicional para los clientes actuales de Commvault. Si quieres profundizar más, aquí tienes algunos buenos puntos de partida:

• Lee la perspectiva que hay detrás de una Recovery limpia y por qué es importante la integridad de los datos: Mantener la integridad de los datos para Recoverys proactivas y fiables
• Descubre cómo Commvault se integra con Splunk SOAR para automatizar la respuesta: Detección y respuesta mejoradas ante amenazas con Commvault y Splunk SOAR

O ponte en contacto conmigo en LinkedIn, y estaré encantado de explicarte cómo funciona el proceso «desde la detección hasta la recuperación limpia» en la práctica.

Preguntas frecuentes

P: ¿Por qué la detección es solo la mitad del camino en la respuesta ante el ransomware?
R: La detección identifica las amenazas, pero la respuesta y la recuperación determinan si la empresa puede seguir operando. Sin un plan de recuperación coordinado, incluso una detección rápida puede provocar un tiempo de inactividad prolongado y trastornos en el servicio.

P: ¿Qué significa «recuperación limpia» en la práctica?
R: La recuperación limpia consiste en restaurar los sistemas en un entorno seguro y aislado para validar que las copias de seguridad no se han visto comprometidas antes de devolverlas a producción. Este enfoque ayuda a reducir el riesgo de reinfección y permite una mayor confianza en los sistemas restaurados.

P: ¿Cómo mejora la integración de Cisco XDR y Commvault la respuesta ante incidentes?
R: La integración permite a los equipos de seguridad activar acciones de Backup and Recovery directamente desde Cisco XDR. Este flujo de trabajo unificado ayuda a preservar los datos de forma temprana, iniciar una restauración segura y pasar de la detección a la Recovery sin tener que cambiar entre herramientas inconexas.

P: ¿Qué papel desempeña el entorno «Cleanroom Recovery»?
R: «Cleanroom Recovery» proporciona un espacio aislado en la nube para la investigación y validación de los sistemas restaurados. Los equipos pueden analizar y confirmar allí la integridad del sistema antes de volver a poner en producción las cargas de trabajo con total confianza.

P: ¿Cómo apoya esta integración a ecosistemas de seguridad más amplios, como SOAR?
R: Además de Cisco XDR, Commvault se integra con plataformas como Splunk SOAR para enriquecer la inteligencia sobre amenazas y automatizar las acciones de respuesta. Este enfoque ecosistémico ayuda a los equipos de seguridad a reducir las fricciones, acelerar la toma de decisiones y hacer que los resultados de Recovery sean más predecibles.

P: ¿Está disponible la integración con Cisco XDR para los clientes actuales?
R: Sí, la integración está disponible de forma generalizada en todo el mundo y se ofrece sin coste adicional para los clientes actuales de Commvault, lo que facilita la adopción de flujos de trabajo unificados de detección y Recovery.

Michael Fasulo es director sénior de marketing de cartera en Commvault.

Blogs relacionados

Las innovaciones en Cleanroom Recovery marcan el inicio de una nueva era en la ciberresiliencia

Commvault inaugura una nueva era de resiliencia empresarial unificada

La próxima evolución en la protección de datos en la nube

Los 5 pasos fundamentales para una recuperación limpia

Tu guía moderna para una respuesta rápida y una recuperación limpia

Puntos clave

• La detección por sí sola no es suficiente: las organizaciones necesitan una Recovery integrada y coordinada para minimizar la interrupción de la actividad empresarial provocada por el ransomware.
• La integración de CISCO XDR y Commvault® Cloud conecta la detección de amenazas directamente con acciones de Recovery seguras dentro del mismo flujo de trabajo de seguridad.
• Una recuperación limpia requiere procesos de restauración validados y aislados que ayuden a reducir el riesgo de reinfección y a restablecer las operaciones con confianza.
• Activar las acciones de Backup and Recovery directamente desde las herramientas de seguridad ayuda a preservar los datos críticos de forma temprana y a acortar los plazos de Recovery.
• La resiliencia unificada aúna seguridad y Recovery, lo que ayuda a reducir las fricciones entre los entornos de Detección y Respuesta Extendidas (XDR) y de Orquestación, Automatización y Respuesta de Seguridad (SOAR), al tiempo que mejora la velocidad y la confianza en la respuesta.

Si hay algo que he aprendido al hablar con responsables de seguridad de distintos sectores, es esto: la detección es solo la mitad del trabajo. La otra mitad, la parte que determina si el negocio sigue adelante, es la respuesta y la Recovery. Y cuando el ransomware ataca, la Recovery no es solo una cuestión de velocidad. Se trata de confianza, de limpieza y de velocidad.

Por eso es tan importante este anuncio. Hemos ampliado nuestra colaboración con Cisco con una nueva integración entre Cisco XDR y Commvault Cloud, diseñada para unificar la respuesta ante el ransomware y la Recovery en un único flujo de trabajo coordinado.

Demasiadas organizaciones siguen padeciendo una dolorosa brecha entre lo que ven los equipos de seguridad y lo que los equipos de TI pueden hacer a continuación de forma segura. Cuando cada segundo cuenta, esa brecha se convierte en la diferencia entre contener un incidente y ver cómo se convierte en una interrupción del negocio. Con esta integración, los equipos pueden pasar de la detección a acciones decisivas de Recovery dentro del flujo de trabajo de operaciones de seguridad, lo que ayuda a minimizar el impacto cuando el tiempo es el enemigo.

Y esta es la verdad: En una crisis, a la empresa no le importa quién sea el responsable de qué «consola». A la empresa le importan los resultados. ¿Podemos preservar los datos críticos a tiempo? ¿Podemos recuperarlos de forma limpia sin que se produzca una reinfección? ¿Podemos restaurar los sistemas correctos con confianza en lugar de tener que adivinar? ¿Cuánto tardamos en recuperar la viabilidad mínima? Esa es la brecha que estamos cerrando, al incorporar las acciones de Recovery en el flujo de respuesta a incidentes, donde ya se están tomando las decisiones.

Aquí es donde la «recuperación limpia» deja de ser un tema de debate y se convierte en el nuevo estándar.

Recovery se ha convertido en un ejercicio de confianza: confianza en que tus puntos de recuperación están a salvo, confianza en que tus copias de seguridad no están ya comprometidas y confianza en que no estás reintroduciendo riesgos al intentar restablecer las operaciones. La incómoda realidad es que los defensores disponen cada vez de menos tiempo para responder.

Según el Informe sobre adversarios activos de 2026 de Sophos, «la velocidad con la que los atacantes intentan acceder a Active Directory tras entrar en el sistema se ha acelerado un 70 % con respecto al año pasado, reduciéndose a una mediana de tan solo 3,40 horas».

Esa velocidad obliga a que la respuesta ante incidentes se lleve a cabo de forma inmediata y coordinada entre los distintos silos, y eleva el listón de la recuperación. Porque las restauraciones rápidas no sirven de nada si no son limpias.

Con esta nueva integración, los equipos de operaciones de seguridad pueden activar acciones de Commvault Cloud directamente desde Cisco XDR, lo que ayuda a preservar los datos desde el principio y a avanzar hacia una recuperación limpia.

Si un responsable del SOC recibe una notificación de una amenaza detectada en Cisco XDR, puede iniciar inmediatamente una copia de seguridad de las máquinas virtuales de la infraestructura principal y, a continuación, restaurar los sistemas afectados en Commvault Cleanroom, un entorno en la nube seguro y aislado diseñado para la investigación y la validación, antes de volver a poner los sistemas en producción con total confianza. De este modo, las acciones de recuperación se integran en el mismo flujo de trabajo que la detección, lo que permite a los equipos responder más rápido y recuperarse con confianza.

El resultado es una conexión más estrecha entre la detección y la recuperación, de modo que los equipos de seguridad pueden actuar con decisión ante los primeros indicios de un ataque. Al validar la recuperación en un «cleanroom» aislado antes de devolver los sistemas a producción, las organizaciones reducen el riesgo de reinfección, preservan los datos críticos y acortan los plazos de recuperación, todo ello mediante herramientas en las que los equipos del SOC ya confían.

Un compromiso con la resiliencia unificada

Desde una perspectiva más amplia, esta integración con Cisco XDR supone un hito importante y forma parte de una visión más amplia con la que estamos comprometidos: la resiliencia unificada, en la que la seguridad y Recovery trabajan juntas en lugar de operar por separado. Y no se trata de una propuesta de «o una cosa o la otra». Es un ecosistema en crecimiento diseñado para adaptarse a los equipos allí donde trabajan.

Otro gran ejemplo de ello es nuestra integración con Splunk SOAR, que ayuda a mejorar la detección de amenazas y a impulsar una respuesta más rápida y automatizada. Commvault puede enviar información sobre la detección de amenazas, la seguridad de los datos y el Backup and Recovery directamente a Splunk, lo que enriquece los eventos de seguridad y ayuda a alertar a los equipos de SecOps; además, las acciones automatizadas en Splunk pueden reducir el tiempo de respuesta sin necesidad de alternar entre interfaces.

Así pues, tanto si el centro operativo de un cliente es XDR como SOAR, el objetivo sigue siendo el mismo: reducir las fricciones, agilizar las decisiones y hacer que Recovery sea demostrable.

La integración con Cisco XDR ya está disponible a nivel mundial y se ofrece sin coste adicional para los clientes actuales de Commvault. Si quieres profundizar más, aquí tienes algunos buenos puntos de partida:

• Lee la perspectiva que hay detrás de una Recovery limpia y por qué es importante la integridad de los datos: Mantener la integridad de los datos para Recoverys proactivas y fiables
• Descubre cómo Commvault se integra con Splunk SOAR para automatizar la respuesta: Detección y respuesta mejoradas ante amenazas con Commvault y Splunk SOAR

O ponte en contacto conmigo en LinkedIn, y estaré encantado de explicarte cómo funciona el proceso «desde la detección hasta la recuperación limpia» en la práctica.

Preguntas frecuentes

P: ¿Por qué la detección es solo la mitad del camino en la respuesta ante el ransomware?
R: La detección identifica las amenazas, pero la respuesta y la recuperación determinan si la empresa puede seguir operando. Sin un plan de recuperación coordinado, incluso una detección rápida puede provocar un tiempo de inactividad prolongado y trastornos en el negocio.

P: ¿Qué significa «recuperación limpia» en la práctica?
R: La recuperación limpia consiste en restaurar los sistemas en un entorno seguro y aislado para validar que las copias de seguridad no se hayan visto comprometidas antes de devolverlas a producción. Este enfoque ayuda a reducir el riesgo de reinfección y permite una mayor confianza en los sistemas restaurados.

P: ¿Cómo mejora la integración de Cisco XDR y Commvault la respuesta ante incidentes?
R: La integración permite a los equipos de seguridad activar acciones de Backup and Recovery directamente desde Cisco XDR. Este flujo de trabajo unificado ayuda a preservar los datos de forma temprana, iniciar una restauración segura y pasar de la detección a la recuperación sin tener que cambiar entre herramientas inconexas.

P: ¿Qué papel desempeña el entorno Commvault Cleanroom?
R: Commvault Cleanroom proporciona un espacio aislado en la nube para la investigación y validación de los sistemas restaurados. Los equipos pueden analizar y confirmar allí la integridad del sistema antes de volver a poner en producción las cargas de trabajo con total confianza.

P: ¿Cómo respalda esta integración ecosistemas de seguridad más amplios, como SOAR?
R: Además de Cisco XDR, Commvault se integra con plataformas como Splunk SOAR para enriquecer la inteligencia sobre amenazas y automatizar las acciones de respuesta. Este enfoque ecosistémico ayuda a los equipos de seguridad a reducir las fricciones, acelerar la toma de decisiones y hacer que los resultados de Recovery sean más predecibles.

P: ¿Está disponible la integración con Cisco XDR para los clientes actuales?
R: Sí, la integración está disponible de forma generalizada en todo el mundo y se ofrece sin coste adicional para los clientes actuales de Commvault, lo que facilita la adopción de flujos de trabajo unificados de detección y Recovery.

Michael Fasulo es director sénior de marketing de cartera en Commvault.

Blogs relacionados

Las innovaciones de Commvault Cleanroom marcan el inicio de una nueva era en la ciberresiliencia

Commvault inaugura una nueva era de resiliencia empresarial unificada

La próxima evolución en la protección de datos en la nube

Los 5 pasos fundamentales para una recuperación limpia

Tu guía moderna para una respuesta rápida y una recuperación limpia

Se habla mucho de modernización: la nube, la inteligencia artificial, la automatización, la transformación de la seguridad. Pero, ¿en qué consiste realmente la modernización cuando uno es responsable de mantener los sistemas en funcionamiento, proteger los datos y garantizar una Recovery viable en situaciones de presión?

En este episodio de STRIVE, tuve el placer de charlar con Gilman Treantos, un veterano del sector de las tecnologías de la información con 25 años de experiencia, cuya trayectoria abarca desde los mainframes hasta la arquitectura moderna de ciberresiliencia. Esta conversación ofrece la visión de un profesional sobre lo que realmente significa la modernización cuando las interrupciones del servicio, el ransomware y el riesgo operativo forman parte del día a día. Mira el episodio completo. Puntos clave: lo que realmente requiere la Readiness cibernética moderna

• La modernización no se reduce a nuevas herramientas, sino que se basa en una arquitectura resiliente. La tecnología evoluciona, pero la disciplina en la recuperación, las pruebas y la coordinación entre equipos son lo que distingue a las organizaciones reactivas de las resilientes.
• La Readiness cibernética exige colaboración entre los equipos de seguridad y de infraestructura. Los silos crean puntos ciegos. Una visibilidad unificada y una responsabilidad compartida pueden acelerar la Recovery.
• Las herramientas de copia de seguridad son más potentes de lo que la mayoría de los equipos creen. Cuando se utilizan de forma creativa, pueden facilitar migraciones a gran escala, Recovery aislado y transiciones diseñadas para minimizar la pérdida de datos.
• Las pruebas son imprescindibles. Un plan de Recovery que no se haya ensayado es un riesgo, no una estrategia.
• La resiliencia profesional es un reflejo de la resiliencia técnica. La proactividad, la curiosidad y la voluntad de resolver problemas difíciles son tan fundamentales como cualquier plataforma.

De Blockbuster a la ciberresiliencia

El recorrido de Gilman no comenzó en una sala de crisis ni en un centro de operaciones de seguridad. Comenzó en Blockbuster.

Sin formación oficial en TI, se decantó por la resolución de problemas. Esa curiosidad le llevó a trabajar con mainframes. Ese trabajo dio paso a los sistemas distribuidos. Y eso evolucionó hacia el liderazgo en protección de datos y ciberresiliencia.

Lo que destaca no es la trayectoria profesional, sino la mentalidad. Se forjó una reputación asumiendo los problemas que nadie más quería. Arreglando sistemas frágiles. Apoyando iniciativas ignoradas. Resolviendo problemas que traspasaban los límites organizativos.

Esa mentalidad se traduce directamente en Readiness, porque la Readiness moderna la construyen personas dispuestas a adentrarse en una complejidad incómoda.

Avance: La guía de Readiness

En este segmento, Gilman explica por qué la recuperación cibernética moderna requiere algo más que la detección tradicional de malware, y cómo la detección de anomalías, ThreatScan y los entornos de recuperación aislados pueden ayudar a reforzar la resiliencia empresarial.

Modernización bajo presión

Una de las partes más interesantes del episodio es un ejemplo real: la evacuación de un centro de datos remoto en una sola noche. Sin pérdida de datos. Sin tiempo de inactividad prolongado. Sin caos operativo.

Al aprovechar Commvault LiveSync de forma creativa, Gilman y su equipo pudieron migrar la infraestructura de forma rápida y rentable, utilizando capacidades que no se habían diseñado originalmente para ese escenario concreto.

Eso es la modernización en la práctica.

El problema del castillo de naipes

A medida que las organizaciones crecen, los permisos se multiplican. Los sistemas de copia de seguridad se vuelven más complejos. Las herramientas de seguridad se superponen a la infraestructura sin una alineación completa. Con el tiempo, los entornos se vuelven frágiles.

Gilman describe esta dinámica como algo que muchos equipos subestiman: una lenta acumulación de deuda técnica y operativa. La modernización, en su opinión, no consiste solo en actualizar las plataformas. Se trata de simplificar la arquitectura, mejorar la visibilidad y romper los silos entre los equipos de ciberseguridad y de infraestructura.

Readiness significa:

• Que los equipos de seguridad y de copias de seguridad compartan datos de telemetría.
• Los entornos de Recovery están aislados y se someten a pruebas.
• La detección de malware se extiende más allá de los flujos de trabajo principales.
• Las decisiones sobre la infraestructura tienen en cuenta la velocidad de Recovery.

Aquí es donde se cruzan la modernización y la resiliencia.

Las amenazas están evolucionando. Recovery también debe hacerlo.

El ransomware no da tregua. Los autores de las amenazas son cada vez más sofisticados. El malware se oculta dentro de flujos de trabajo legítimos. La perspectiva de Gilman es tajante: la preparación debe ser proactiva.

Aboga por:

• Pruebas periódicas de recuperación ante desastres
• Entornos de recuperación aislados y listos para activarse
• Herramientas de detección de anomalías integradas en los procesos de copia de seguridad
• Simulacros entre equipos que reproduzcan interrupciones reales

Ve el episodio completo

Echa un vistazo a nuestra conversación completa en STRIVE para descubrir:

• Cómo ha evolucionado Gilman en su enfoque de la protección de datos a lo largo de 25 años.
• Los detalles que hay detrás de una migración diseñada para minimizar la pérdida de datos.
• Por qué es esencial la colaboración entre los equipos de seguridad e infraestructura.
• Consejos prácticos para los profesionales de la resiliencia.
• Qué exige realmente la modernización en el panorama actual de amenazas.

Ver ahora. Si te preocupan la resiliencia, la Recovery o cómo liderar las TI en tiempos de incertidumbre, estos 20 minutos merecerán la pena. Preguntas frecuentes P: ¿Qué significa «modernización» en el contexto de la Readiness cibernética? R: Significa crear sistemas resilientes, comprobables y colaborativos que puedan recuperarse rápidamente bajo la presión del mundo real, no solo actualizar a plataformas más nuevas.

P: ¿Por qué es tan importante la colaboración entre los equipos de seguridad e infraestructura?

R: Porque la Recovery depende de una visibilidad compartida. La seguridad detecta las amenazas, pero la infraestructura permite la restauración. Sin coordinación, la respuesta se ralentiza y el Risk aumenta.

P: ¿Cómo pueden las herramientas de copia de seguridad apoyar la modernización más allá de la Recovery?

R: Cuando se utilizan de forma creativa, pueden permitir migraciones de centros de datos, entornos de recuperación aislados, detección de anomalías y cambios operativos a gran escala.

P: ¿Con qué frecuencia deben probarse los entornos de recuperación ante desastres? R: Las pruebas periódicas —idealmente trimestrales o coincidiendo con cambios importantes en la infraestructura— generan confianza y revelan deficiencias antes de que se produzca un incidente real. Chris Mierzwa es director sénior de marketing de cartera en Commvault. Blogs relacionados Cómo SMMPA reforzó la ciberresiliencia con la Cleanroom Recovery

Readiness cibernética en medio de tensiones geopolíticas: orientación para nuestros clientes, socios y comunidad

Por qué la IA está socavando su estrategia de resiliencia (y qué hacer al respecto)

Física frente a marketing: acelerar la Recovery sin dejar de obedecer las leyes de la física

Modernización de la ciberseguridad financiera: de reactiva a resiliente