Backup as a Service: ¿Qué es y cómo funciona?

Backup as a Service (BaaS) es un modelo en el que una organización contrata sus copias de seguridad como un servicio administrado por un proveedor externo, en lugar de mantener toda la infraestructura de respaldo por cuenta propia. Este esquema permite simplificar la operación y gestionar los respaldos bajo un modelo de suscripción.

En este blog explicaremos qué es Backup as a Service, cómo funciona y qué tipo de información puede proteger. También revisaremos las consideraciones regulatorias que aplican en Colombia.

En un esquema de backup as a service, la empresa contrata capacidad de almacenamiento, software y gestión de sus copias de seguridad. El proveedor administra parte de la infraestructura, mientras la organización define políticas como qué respaldar, con qué frecuencia y cuánto tiempo conservar la información.

Ese reparto de responsabilidades cambia según el modelo. Acá comparamos las diferencias entre nube y on-premises y en qué escenarios conviene cada uno.

El proceso normalmente comienza con una copia completa de los datos seleccionados. Posteriormente, pueden realizarse copias incrementales o diferenciales para registrar los cambios y reducir el consumo de almacenamiento.

Además, la información debe contar con mecanismos de protección durante su transferencia y almacenamiento. Cuando ocurre un incidente, el servicio permite recuperar desde archivos específicos hasta sistemas completos, dependiendo de la solución contratada.

Sincronización y backup cumplen funciones diferentes.

Herramientas como OneDrive o Dropbox están diseñadas principalmente para mantener archivos disponibles y actualizados entre diferentes dispositivos. Un servicio de backup as a service, en cambio, conserva copias históricas que permiten recuperar información después de una eliminación, corrupción, fallo o incidente de seguridad.

Por ejemplo, ante un ataque de ransomware, los archivos cifrados podrían sincronizarse con otros dispositivos. Un sistema de respaldo correctamente configurado puede ofrecer puntos de recuperación anteriores al incidente.

Por eso:

• Sincronización: mantiene los archivos actualizados entre diferentes ubicaciones.
• Backup: conserva copias para recuperar información.
• Backup inmutable: protege determinadas copias frente a modificaciones o eliminaciones durante el periodo establecido.

La cobertura depende del proveedor y de la solución contratada. Sin embargo, un servicio de backup empresarial puede proteger:

• Servidores físicos y máquinas virtuales.
• Computadores y estaciones de trabajo.
• Bases de datos como SQL Server, Oracle, MySQL o PostgreSQL.
• Aplicaciones y servidores críticos.
• Datos alojados en plataformas SaaS como Microsoft 365 o Google Workspace, cuando el servicio incluye esta capacidad.

Utilizar servicios en la nube tampoco significa que toda la información esté automáticamente cubierta. Por eso, es importante verificar qué datos protege realmente el proveedor y cuáles son las opciones de recuperación.

En Colombia existen requisitos específicos para las entidades vigiladas por la Superintendencia Financiera de Colombia (SFC) que utilizan servicios de computación en la nube.

La Circular Externa 005 de 2019 estableció condiciones relacionadas con estos servicios, incluyendo mecanismos para respaldar la información procesada en la nube y garantizar que las copias estén disponibles cuando sean requeridas.

También contempla aspectos relacionados con la independencia de las copias de respaldo, cifrado de información confidencial, ubicación de los datos, niveles de servicio, auditorías y gestión de riesgos.

En cuanto al proveedor, la regulación contempla requisitos relacionados con certificaciones y estándares de seguridad, entre ellos ISO 27001, ISO 27017 e ISO 27018.

Estas obligaciones no aplican automáticamente a todas las empresas colombianas. Sin embargo, sus criterios pueden servir como referencia para evaluar la seguridad y confiabilidad de un proveedor de backup.

Antes de contratar un servicio, el precio por terabyte no debería ser el único criterio. Es recomendable preguntar:

1. ¿Dónde están almacenadas las copias? Revisa el país, región y legislación aplicable.
2. ¿Cuál es el tiempo de recuperación comprometido? Verifica el RTO y cómo se mide.
3. ¿Se realizan pruebas de restauración? Solicita evidencia de estas pruebas.
4. ¿Las copias son inmutables? Confirma si pueden modificarse o eliminarse durante la retención.
5. ¿Qué certificaciones tiene el proveedor? Comprueba su vigencia y alcance.

Una de las alternativas para implementar un esquema de backup as a service es Acronis, que permite gestionar la protección y recuperación de información desde una plataforma administrada. Su propuesta combina capacidades de backup, recuperación ante desastres y protección de datos, facilitando la gestión de diferentes cargas de trabajo.

Puedes revisar cómo Acronis explica este modelo de servicio.

Para las empresas, esto significa contar con una estrategia que no se limite a almacenar copias, sino que también contemple la recuperación de la información y la continuidad de las operaciones ante fallos, errores humanos o incidentes de seguridad.

En NSIT somos partners de Acronis y podemos ayudarte a evaluar e implementar una solución de backup, recuperación y continuidad de acuerdo con las necesidades de tu organización. Analizamos qué información necesitas proteger, tus objetivos de recuperación y la infraestructura involucrada para definir el esquema más adecuado.