Backup inmutable y air-gap: el respaldo que el ransomware no puede tocar

¿Qué es un backup inmutable?

Es una copia de seguridad que el sistema de almacenamiento marca como inalterable en el momento de escribirla. Lo explicamos paso a paso en qué es un backup inmutable. La tecnología detrás se llama WORM —write once, read many: escribir una vez, leer muchas— y funciona con controles a bajo nivel que impiden modificar o borrar el dato una vez guardado. Al crear la copia, el sistema fija también unos metadatos de retención que definen la única condición bajo la cual podrá borrarse: que pase el tiempo establecido. Hasta entonces, la copia es intocable.

Esto importa por una razón concreta y urgente: el ransomware moderno ya no se limita a cifrar la producción, sino que va primero por los respaldos, para que la víctima no tenga a dónde volver y se vea forzada a pagar. Una copia inmutable invierte esa estrategia: aunque el atacante entre con credenciales de administrador, no puede destruir lo que está bloqueado por retención. Por eso es la pieza que convierte un ataque devastador en un incidente del que se sale restaurando.

Vale la pena distinguirlo de cosas que se le parecen. No es lo mismo que una copia «de solo lectura» que un administrador puede volver a habilitar para escritura, ni que un permiso que se puede revocar. La inmutabilidad real está grabada en la propia capa de almacenamiento y no depende de la buena conducta de ninguna cuenta: es el almacenamiento el que se niega a borrar, no una política que alguien pueda cambiar.

Modos de inmutabilidad: gobernanza frente a cumplimiento

No toda «inmutabilidad» es igual de fuerte, y la diferencia es decisiva. En el almacenamiento de objetos, el object lock ofrece dos modos. En modo gobernanza, los usuarios con ciertos permisos todavía pueden anular la protección y borrar la copia; sirve para evitar borrados accidentales, pero no detiene a un atacante que consiga esos permisos. En modo cumplimiento, en cambio, nadie puede borrar la copia hasta que vence la retención: ni un administrador, ni la cuenta raíz, ni quien haya robado las llaves.

Para defenderse de verdad del ransomware, la copia crítica debe estar en modo cumplimiento. El modo gobernanza da una falsa sensación de seguridad, porque deja una puerta que un atacante con privilegios sabe encontrar. Configurar el bloqueo correcto —y verificar que es inmutabilidad real y no un simple control de acceso que se puede revocar— es una de las cosas que más cuidamos al diseñar la bóveda.

La consecuencia práctica es incómoda pero necesaria de oír: muchas empresas creen tener inmutabilidad y en realidad tienen modo gobernanza, es decir, una protección que su propio administrador —o quien lo suplante— puede desactivar. Comprobar este detalle suele ser lo primero que revisamos, porque es la diferencia entre estar protegido y solo creerlo.

¿Qué es el air-gap y qué tipos hay?

Si la inmutabilidad impide que la copia se modifique, el air-gap impide que el ataque siquiera la alcance. Es un aislamiento entre el respaldo y la red de producción, y existe en tres formas, de menor a mayor agilidad:

• Físico. Cinta LTO retirada y guardada fuera de línea, idealmente en bóveda. Es durísima de vulnerar —está desconectada— y muy duradera, pero su recuperación es lenta: horas o días. Sigue siendo la última línea infranqueable.
• Lógico. Almacenamiento en la nube con credenciales y cuenta separadas, protocolos propios y aislamiento de cuenta. Da una protección equivalente a la del aire físico, pero con recuperación mucho más rápida.
• Activo. Un segmento de red completamente aislado, no enrutable, al que solo se abre un canal seguro durante la ventana de respaldo, que se cierra al terminar.

Ese air-gap activo opera bajo una idea poderosa: «desconectado por defecto». A diferencia de un cortafuegos, que bloquea según reglas pero mantiene el camino abierto, aquí no hay ruta hacia la bóveda salvo durante el instante programado de la copia. El resto del tiempo, esa zona dorada de respaldo sencillamente no existe para la red, y por tanto tampoco para un atacante.

Cada forma tiene su lugar, y no compiten entre sí. La cinta brilla como archivo de muy largo plazo y barrera última; el air-gap lógico y el activo brillan cuando se necesita volver rápido sin renunciar al aislamiento. Elegir bien no es escoger una sola, sino combinarlas según el valor del dato y la velocidad de recuperación que exige cada carga.

Inmutabilidad y air-gap no son lo mismo

Conviene no confundirlos, porque protegen contra cosas distintas y se potencian al combinarse. La inmutabilidad responde a «no puedes cambiar esto»; el air-gap responde a «no puedes llegar a esto». Una copia inmutable pero conectada resiste el borrado, pero el atacante al menos la ve; una copia aislada pero alterable está fuera de alcance, pero si llega a tocarse, podría modificarse. La defensa más sólida es tener ambas: una copia inmutable, dentro de un entorno con air-gap.

La elección entre apoyarse más en una o en otra depende del contexto. La inmutabilidad WORM encaja muy bien donde hay exigencias regulatorias estrictas; el air-gap, sobre todo el físico, ofrece una protección pragmática y a menudo superior para el peor de los casos. En la práctica, no elegimos una sola: diseñamos capas, de modo que para vulnerar la copia un atacante tendría que derrotar varias barreras independientes a la vez.

¿Qué hace creíble a un air-gap en 2026?

La palabra «air-gap» se ha usado con tanta ligereza en el marketing de almacenamiento que perdió buena parte de su significado. Conviene exigirle pruebas. Para ser creíble hoy, un air-gap tiene que cumplir cuatro condiciones, y las verificamos al diseñarlo: aislamiento real, no enrutable —no basta una VLAN ni una VPN, la red de producción no debe poder alcanzar ese plano de almacenamiento bajo ninguna condición normal—; ventanas de réplica acotadas en el tiempo —que se abren según calendario, escriben y se cierran, y fuera de ellas el aislamiento es absoluto—; copias WORM dentro de la bóveda, con registro de cadena de custodia, no simples marcas de retención; y una ruta de recuperación que salga de la bóveda hacia un entorno validado, nunca de vuelta hacia lo que quede de una producción comprometida.

Esa última condición se pasa por alto a menudo y es crítica. De nada sirve una bóveda perfecta si, al recuperar, se vuelca su contenido sobre el mismo entorno infectado; el malware volvería a actuar. Una arquitectura seria contempla desde el diseño cómo y dónde se restaura, no solo cómo se guarda.

¿Cuánto tiempo deben conservarse las copias inmutables?

Lo suficiente para superar al atacante, y eso es más de lo que la mayoría supone. Los ataques avanzados no actúan el primer día: se infiltran y permanecen escondidos semanas o incluso meses —es lo que se llama tiempo de permanencia o dwell time— antes de detonar el cifrado, precisamente para que las copias recientes ya estén contaminadas. Si la retención inmutable es demasiado corta, cuando se descubre el ataque puede que el único punto «limpio» ya haya expirado.

Por eso el periodo de inmutabilidad debe exceder el tiempo de permanencia típico de estas amenazas, de modo que siempre exista un punto de recuperación anterior al compromiso. Definir esa retención no es un número arbitrario: lo ajustamos a la realidad de la amenaza y a las obligaciones de cada empresa, asegurando que el reloj juegue a favor de la víctima y no del atacante.

Hay un matiz operativo que cuidamos: una retención larga no debe convertirse en un costo desbocado. Por eso combinamos niveles —copias frecuentes con retención media para lo cotidiano, y puntos inmutables espaciados con retención larga para la línea última—, de modo que exista siempre un punto limpio sin pagar por guardarlo todo, para siempre, al máximo nivel.

Credenciales separadas: el respaldo no comparte llaves con producción

Una bóveda solo es tan fuerte como su control de acceso. Si el mismo usuario que administra la producción puede borrar los respaldos, basta comprometer esa cuenta para destruirlo todo. Por eso seguimos un principio que recomiendan las guías de referencia en ciberseguridad, como las de CISA: el respaldo vive tras credenciales y, mejor aún, una cuenta separada, sobre la que ningún rol de producción tiene permiso de borrado.

En la práctica, esto significa que la copia se escribe con una operación de un solo sentido —producción puede enviar datos a la bóveda, pero no puede ordenar que se borren— y que las llaves de esa bóveda existen solo en su propio entorno aislado. El efecto es contundente: aunque un atacante comprometa por completo el entorno de producción, no encuentra desde ahí ninguna forma de tocar la copia protegida.

Este es uno de los controles que más ataques frustra en la práctica y, a la vez, de los más descuidados. Es habitual encontrar entornos donde el administrador de dominio puede, con un clic, vaciar también los respaldos; separar esas llaves rompe esa cadena fatal y obliga al atacante a vulnerar dos mundos independientes en lugar de uno.

Recuperar en un entorno aislado

El último eslabón, y uno que distingue a una arquitectura madura, es cómo se recupera. Restaurar desde una bóveda impecable directamente sobre una red todavía comprometida es una receta para reinfectarse: el ransomware que sigue latente vuelve a cifrar lo recién restaurado. Por eso recuperamos en un entorno aislado y limpio, validando las copias antes de devolverlas a producción, y, cuando hace falta, aislando la propia infraestructura de almacenamiento durante el rescate.

Este enfoque —recuperar hacia un lugar seguro, no hacia el lugar del crimen— es lo que convierte la bóveda en una verdadera salida. Coordinamos esa recuperación con nuestro equipo de peritaje informático forense cuando el incidente tiene implicaciones legales, para preservar la evidencia mientras se restablece la operación.

Cifrado: las llaves las tienes tú

A la inmutabilidad y al aislamiento se suma una tercera capa que conviene exigir: el cifrado de las copias, con un algoritmo fuerte del tipo AES-256 y, sobre todo, con las llaves en tu poder. Esto importa por dos motivos. Primero, si alguien lograra acceder físicamente al medio donde vive la bóveda, sin la llave no podría leer nada. Y segundo, mantener el control de las claves significa que ni siquiera el proveedor de almacenamiento puede ver tu información: la confidencialidad deja de depender de confiar en terceros. Una bóveda bien diseñada protege, entonces, en tres planos a la vez: no se puede borrar por la inmutabilidad, no se puede alcanzar por el air-gap, y no se puede leer sin autorización por el cifrado con tus propias llaves.

Cómo lo implementamos

Diseñamos la bóveda en capas y la gestionamos de extremo a extremo, para que la última línea de defensa esté siempre lista y probada. Y para saber si tu respaldo actual resistiría hoy, empieza por una evaluación de preparación ante ransomware.

1. Bóveda aislada con credenciales separadas

Creamos el repositorio en una cuenta separada, sin que ningún rol de producción tenga permiso de borrado sobre él.

2. Escritura WORM en modo cumplimiento

Escribimos las copias con object lock en modo cumplimiento: nadie puede borrarlas hasta que vence la retención.

3. Air-gap activo

Mantenemos la bóveda desconectada por defecto y solo abrimos un canal seguro durante la ventana de respaldo.

4. Retención mayor que la permanencia

Fijamos una retención que supera el tiempo que el atacante suele esconderse, para garantizar un punto limpio.

5. Recuperación aislada y probada

Probamos restauraciones hacia un entorno limpio, validando las copias antes de devolverlas a producción.

# Bóveda "desconectada por defecto", en cuenta separada
Repositorio  : cuenta aislada · sin permiso de borrado desde producción
Object Lock  : COMPLIANCE · 90 días   # ni la cuenta raíz la borra
Ventana      : 02:00-03:00  ->  canal abierto solo para escribir, luego cerrado
Auditoría    : registro de cadena de custodia            [OK]

# Recuperación en entorno aislado (no sobre producción comprometida)
$ restaurar --desde-boveda --punto 2026-06-10 --entorno limpio
Punto limpio anterior al cifrado  ·  validado  ·  0 errores

Esas líneas resumen la idea: una copia que nadie puede borrar, a la que el ataque no puede llegar, y que se restaura hacia un lugar seguro en lugar de hacia el sitio del incidente.

¿Por qué confiar esta bóveda al laboratorio que recupera datos?

Porque diseñamos la última línea de defensa con la experiencia de quien atiende los ataques cuando esa línea no existía. Vemos de primera mano qué hace el ransomware con los respaldos mal protegidos, qué «inmutabilidad» resultó ser solo un control de acceso revocable, y qué empresas se quedaron sin un punto limpio porque la retención era demasiado corta. Ese conocimiento del fracaso es lo que nos permite construir una bóveda que sí aguanta, y probarla nosotros mismos para que tu empresa no la estrene el día del ataque.

Y hay una garantía que casi nadie puede ofrecer: si el peor escenario se vuelve real, somos el mismo laboratorio que recupera datos del medio físico cuando ya no queda otra. La bóveda evita llegar a ese extremo; el laboratorio está detrás por si se llega. Lo mismo vale para las grabaciones de videovigilancia, un blanco frecuente del ransomware: cuando un NVR es cifrado o su disco falla, somos quienes hacen la recuperación de CCTV, DVR y NVR en el laboratorio. Prevención y recuperación bajo un mismo techo, con la disciplina ISO 9001:2015 y la cadena de custodia que aplicamos a todo lo que tocamos.

¿Cómo sé que mi «backup inmutable» es real?

Conviene auditarlo con preguntas concretas, porque mucho de lo que se vende como inmutable no lo es de verdad. Estas son las que hacemos al revisar una bóveda existente:

• ¿El object lock está en modo cumplimiento? Si alguien con permisos puede borrar, no es inmutable frente a un atacante.
• ¿La bóveda es inalcanzable desde producción? Si la red de producción puede enrutar hasta ella, el air-gap es de marketing.
• ¿Las credenciales del respaldo están separadas? Si comparten la cuenta de producción, un solo robo lo borra todo.
• ¿La retención supera el tiempo de permanencia del atacante? Si es de pocos días, el punto limpio puede expirar antes de descubrir el ataque.
• ¿Se ha probado restaurar hacia un entorno limpio? Sin esa prueba, es una hipótesis, no una salida.

Si alguna respuesta es «no» o «no lo sé», hay un hueco que cerrar, y suele ser justo el que el ransomware busca.

La bóveda dentro de la regla 3-2-1-1-0

Esta bóveda no sustituye al respaldo de cada día; lo completa, ocupando dos casillas concretas de la regla 3-2-1-1-0 que estructura todo nuestro respaldo empresarial. Es el «1» —la copia inmutable o aislada— y, junto con las pruebas de restauración que hacemos sobre ella, también contribuye al «0» de cero errores verificados. El respaldo activo sigue resolviendo con rapidez los incidentes cotidianos —un borrado, un disco caído— mientras la bóveda permanece como la reserva intocable para el peor escenario. Pensarlas como dos piezas de un mismo sistema, y no como alternativas, es lo que da una protección a la vez ágil y a prueba de catástrofes.

Casos frecuentes en empresas panameñas

Trabajamos con empresas que ya sufrieron un ransomware y descubrieron que sus respaldos habían sido borrados junto con la producción, y que ahora exigen una copia que eso no pueda volver a tocar; con organizaciones reguladas que necesitan demostrar que conservan información de forma inalterable; y con equipos de TI que tenían «backups inmutables» en modo gobernanza, sin saber que esa puerta seguía abierta. Para todas diseñamos la bóveda en capas —WORM en cumplimiento, air-gap real, credenciales separadas, retención suficiente— y probamos la recuperación hacia un entorno limpio. Cuando una empresa nos llega por la recuperación ante ransomware, el cierre natural del caso es montar la bóveda que hace imposible repetir la pesadilla. Atendemos en toda la república, bajo acuerdo de confidencialidad, y dimensionamos la arquitectura a la criticidad y al presupuesto de cada cliente. Un patrón que vemos seguido es el de empresas que invirtieron en una buena herramienta de respaldo, pero la configuraron sin estas capas: copias rápidas y cómodas, sí, pero todas alcanzables desde la misma red y borrables con las mismas credenciales. Añadir la bóveda inmutable y aislada sobre lo que ya tienen suele ser un cambio acotado y de enorme impacto: con poco esfuerzo, pasan de tener respaldos vulnerables a tener una última línea de verdad.

Preguntas frecuentes