Una gran compañía de seguros descubrió durante la investigación de una violación que los datos comprometidos incluían registros de hasta once años atrás, mucho más que el período de retención de datos declarado por el proveedor. El origen no era la base de datos de producción. Era un repositorio automatizado de copias de seguridad que había ido acumulando instantáneas desde el inicio de la relación con el proveedor y que nunca había estado sujeto a una política de retención, a una revisión de accesos ni a ninguno de los controles de seguridad aplicados al entorno de producción. Las copias de seguridad se almacenaban en otra región de nube, se accedía a ellas mediante un conjunto aparte de cuentas de servicio y nunca habían aparecido en ninguna evaluación realizada por el cliente. El entorno de producción del proveedor estaba bien gobernado. Su entorno de copias de seguridad era un archivo de once años de datos de clientes en un almacenamiento prácticamente sin gobernar. La violación no apuntó a lo que el proveedor protegía. Apuntó a lo que el proveedor había olvidado.
¿Qué es realmente la exposición del almacenamiento de copias de seguridad de los proveedores?
La exposición del almacenamiento de copias de seguridad de los proveedores es el riesgo que surge cuando un proveedor mantiene copias de seguridad de los datos de los clientes con controles de seguridad más débiles, menos monitoreados y gobernados con menos rigor que el entorno de producción principal que se evaluó durante la debida diligencia del proveedor. No es una categoría de riesgo exótica: es una consecuencia estructural de cómo suelen diseñarse y gobernarse los sistemas de copias de seguridad. Los entornos de producción reciben atención de seguridad porque son la cara visible del sistema: son lo que se prueba, se monitorea y se evalúa. Los entornos de copias de seguridad existen para cumplir una función de recuperación, y ese enfoque operativo tiende a restar prioridad a las disciplinas de seguridad que protegen los datos de producción.
La exposición se agrava por varias características comunes en las arquitecturas de copias de seguridad. Las copias de seguridad acumulan datos con el tiempo sin aplicar necesariamente las mismas políticas de eliminación y retención que los sistemas de producción: los datos eliminados de producción en cumplimiento de un período de retención contractual pueden persistir indefinidamente en las instantáneas de copias de seguridad. El almacenamiento de copias de seguridad suele aprovisionarse en regiones geográficas o cuentas separadas con fines de recuperación ante desastres, lo que significa que puede quedar fuera del alcance de los controles de seguridad, las revisiones de accesos y el monitoreo configurados para el entorno principal. Y los sistemas de copias de seguridad suelen ser utilizados por procesos automatizados mediante cuentas de servicio que operan con permisos amplios y rara vez están sujetas a la misma gobernanza que el acceso humano a los datos de producción.
Lo que hace que esto sea especialmente grave en las relaciones con proveedores es la brecha de alcance que crea en la debida diligencia. Una evaluación estándar de proveedores examina los controles de seguridad del proveedor para el entorno que este presenta: sus sistemas de producción, su cuenta principal en la nube y su infraestructura documentada. El almacenamiento de copias de seguridad rara vez se presenta, rara vez se pregunta por él y rara vez se incluye en el alcance de certificaciones de cumplimiento como SOC 2, a menos que el proveedor diseñe específicamente el alcance de su auditoría para incluirlo. Un proveedor con un SOC 2 sin salvedades que cubre su entorno de producción puede tener un almacenamiento de copias de seguridad con años de datos de clientes que nunca estuvo dentro del alcance de ninguna evaluación de seguridad realizada por nadie.
El riesgo del almacenamiento de copias de seguridad de los proveedores se concentra en cinco patrones de falla específicos:
- Estándares de cifrado más débiles en el almacenamiento de copias de seguridad: datos de producción cifrados con claves gestionadas por el cliente mientras las instantáneas de copias de seguridad usan claves gestionadas por el proveedor o ningún cifrado, lo que crea un modelo de protección asimétrico
- Acceso más amplio que en producción: sistemas de copias de seguridad a los que acceden cuentas de servicio o usuarios administrativos con permisos que abarcan los datos de varios clientes, sin los controles de acceso detallados aplicados a los sistemas de producción
- Brechas en la política de retención: los datos de producción se eliminan conforme a los requisitos contractuales o regulatorios mientras las instantáneas de copias de seguridad se siguen acumulando, lo que crea un almacén de datos paralelo sin una fecha de fin de retención gobernada
- Excluidos del alcance de cumplimiento: entornos de copias de seguridad no incluidos en el alcance de la auditoría SOC 2, de las pruebas de penetración ni de las evaluaciones de seguridad internas, por lo que quedan completamente sin examinar
- Sin monitoreo ni alertas: el acceso al almacenamiento de copias de seguridad no se registra, no se revisa ni genera alertas, por lo que un acceso no autorizado a los datos de copias de seguridad no produce ninguna señal de detección
Por qué es importante
El almacenamiento de copias de seguridad es donde los datos van a ser olvidados, no de forma intencionada, sino como consecuencia estructural de cómo se diseñan y priorizan los sistemas de copias de seguridad. Para los profesionales de TPRM, esto crea un punto ciego específico en la debida diligencia: la evaluación del riesgo del proveedor cubre el entorno que el proveedor gestiona activamente y presenta, mientras que el entorno de copias de seguridad, que puede contener un mayor volumen de datos históricos, con controles más débiles y menos supervisión, queda completamente sin examinar. Los datos de ese entorno de copias de seguridad siguen siendo sus datos. Las obligaciones regulatorias asociadas siguen siendo sus obligaciones. Los requisitos de notificación de violaciones si se exponen siguen siendo sus requisitos.
La dimensión de la retención crea un riesgo regulatorio específico que se agrava con el tiempo. El derecho de supresión del GDPR, los requisitos de eliminación de la CCPA y los límites contractuales de retención de datos crean obligaciones de garantizar que los datos de los clientes se eliminen dentro de plazos definidos. Cuando los datos de producción se eliminan conforme a esos requisitos, pero las instantáneas de copias de seguridad siguen conservando copias históricas, la obligación de eliminación se ha cumplido en un lugar y se ha incumplido en otro. Los reguladores no aceptan la distinción entre producción y copias de seguridad como motivo válido para incumplir una política de retención: los datos son datos, independientemente del nivel de almacenamiento en el que estén.
Desde la perspectiva de un atacante, el almacenamiento de copias de seguridad de los proveedores es un objetivo atractivo precisamente porque suele estar menos monitoreado, con menos control de acceso y menos parches que los sistemas de producción, y a la vez contiene datos de igual o mayor valor. Un actor de amenazas que hace reconocimiento de la infraestructura de un proveedor e identifica un repositorio de copias de seguridad con años de datos de clientes acumulados y controles de acceso más débiles que los del entorno de producción ha encontrado un objetivo óptimo. Los controles de seguridad del entorno de producción no protegen el entorno de copias de seguridad. Los controles propios del entorno de copias de seguridad, si es que existen, son lo único que se interpone entre el atacante y esos datos.
Dónde se equivocan la mayoría de los equipos
La falla más constante es limitar el alcance de las evaluaciones de proveedores al entorno de producción sin preguntar explícitamente por la infraestructura de copias de seguridad. La mayoría de los cuestionarios de proveedores preguntan por el cifrado en reposo, los controles de acceso y el monitoreo de seguridad en el contexto de los sistemas principales del proveedor. No preguntan si esos controles se aplican por igual al almacenamiento de copias de seguridad, si ese almacenamiento está dentro del alcance del SOC 2 del proveedor ni si las políticas de retención de las copias de seguridad están alineadas con los requisitos contractuales de eliminación de datos. La evaluación cubre el entorno en el que el proveedor más piensa. El entorno de copias de seguridad es en el que menos piensa, y precisamente por eso hay que preguntar por él de forma explícita.
La segunda falla es tratar los requisitos de retención de datos como un asunto exclusivo de producción. Cuando las organizaciones incluyen cláusulas de eliminación de datos en los contratos con proveedores, que exigen eliminar los datos de los clientes dentro de un plazo especificado tras la terminación del contrato, esas cláusulas casi nunca se redactan para incluir explícitamente el almacenamiento de copias de seguridad. Se vacían los sistemas de producción del proveedor, se entrega la confirmación de la eliminación y las instantáneas de copias de seguridad siguen en almacenamiento en frío indefinidamente. La obligación contractual se ha cumplido en sentido literal y se ha incumplido en la práctica, y nadie en ninguna de las partes ha tenido en cuenta la brecha.
- Evaluaciones de proveedores limitadas a los sistemas de producción, sin preguntas explícitas sobre la infraestructura, los controles de acceso o las políticas de retención de las copias de seguridad
- Cláusulas de eliminación de datos que no incluyen explícitamente el almacenamiento de copias de seguridad, lo que crea una brecha de cumplimiento entre la intención contractual y el ciclo de vida real de los datos
- Se da por supuesto que el alcance del SOC 2 cubre los entornos de copias de seguridad cuando a menudo no es así: la infraestructura de copias de seguridad suele quedar excluida del alcance de la auditoría sin que el cliente lo sepa
- Sin estándar de cifrado especificado para el almacenamiento de copias de seguridad: contratos que exigen cifrado en reposo en producción sin que el mismo requisito se aplique explícitamente a las copias de seguridad
- Acceso a las copias de seguridad no incluido en las revisiones de accesos: las cuentas de servicio y los usuarios administrativos con acceso al almacenamiento de copias de seguridad no están sujetos a la misma revisión periódica que el acceso de producción
Cómo se ve una buena práctica
Una gobernanza madura de los datos de los proveedores extiende al almacenamiento de copias de seguridad los mismos requisitos de seguridad y cumplimiento que al almacenamiento de producción, no como una evaluación aparte, sino como una extensión explícita de los requisitos principales de manejo de datos. El principio es sencillo: todo control de seguridad, requisito de retención y estándar de gobernanza de accesos que se aplica a los datos de producción se aplica por igual a cada copia de esos datos, independientemente del nivel de almacenamiento en el que se encuentre.
- Almacenamiento de copias de seguridad incluido explícitamente en los requisitos de manejo de datos: contratos que especifican que el cifrado, los controles de acceso, las políticas de retención y las obligaciones de eliminación se aplican a las copias de seguridad con el mismo estándar que a los datos de producción
- Alcance del SOC 2 confirmado para incluir la infraestructura de copias de seguridad: no se da por supuesto, sino que se confirma mediante una revisión del alcance con verificación explícita de que se incluyen los sistemas de copias de seguridad que manejan datos de clientes
- Políticas de retención de las copias de seguridad alineadas con los requisitos contractuales de eliminación: la eliminación en producción activa la correspondiente eliminación de las copias de seguridad con un calendario definido y evidencia de su finalización
- Acceso a las copias de seguridad gobernado junto con el acceso de producción: las cuentas de servicio que acceden al almacenamiento de copias de seguridad se incluyen en las revisiones de accesos, con permisos limitados a la necesidad operativa
- Estándar de cifrado del almacenamiento de copias de seguridad igual al de producción: el mismo estándar de cifrado, el mismo modelo de gestión de claves y los mismos requisitos de registro de accesos aplicados al almacenamiento de copias de seguridad que al almacenamiento principal
- Entornos de copias de seguridad incluidos en el alcance de las pruebas de penetración: pruebas de seguridad que abarcan los controles de acceso al almacenamiento de copias de seguridad, no solo los sistemas de producción
Herramientas
Gobernar la seguridad del almacenamiento de copias de seguridad de los proveedores requiere extender a la infraestructura de copias de seguridad la misma cobertura de herramientas que se aplica a los sistemas de producción. Para la mayoría de las organizaciones, la brecha no es la disponibilidad de herramientas (las herramientas existen), sino la extensión explícita de su alcance a los entornos de copias de seguridad.
Seguridad de las copias de seguridad en la nube: AWS Backup, Azure Backup, GCP Cloud Backup and DR
Las principales plataformas de nube ofrecen servicios nativos de copias de seguridad con controles de seguridad integrados (cifrado, políticas de acceso y registro de auditoría) que pueden aplicarse al almacenamiento de copias de seguridad con el mismo rigor que al almacenamiento de producción. A efectos de la evaluación de proveedores, preguntar si un proveedor usa un servicio gestionado de copias de seguridad con controles de seguridad integrados o scripts de copias de seguridad personalizados que depositan instantáneas en un almacenamiento sin gobernar es una señal de madurez significativa. Los servicios nativos de copias de seguridad facilitan considerablemente la aplicación de controles de seguridad coherentes a los datos de copias de seguridad.
Gestión de la postura de seguridad de los datos: Varonis, Cyera, Laminar Security
Las plataformas de DSPM descubren y clasifican datos sensibles en todos los entornos de almacenamiento, incluidos los repositorios de copias de seguridad, los niveles de almacenamiento en frío y los sistemas de archivo que suelen quedar excluidos del análisis de seguridad convencional. Identifican dónde existen datos de clientes en todo el panorama de almacenamiento del proveedor, no solo en el almacenamiento que el proveedor presentó en la evaluación. Para las organizaciones que evalúan proveedores con relaciones significativas de tratamiento de datos, la DSPM aporta la base de evidencia para confirmar que el almacenamiento de copias de seguridad está cubierto por controles adecuados.
Gestión de la postura de seguridad en la nube: Wiz, Orca Security, Prisma Cloud
Las plataformas de CSPM analizan de forma continua los entornos de nube y no limitan su cobertura a los recursos de producción: detectan configuraciones incorrectas en el almacenamiento de copias de seguridad, los niveles de almacenamiento en frío y los entornos de archivo junto con la infraestructura principal. Un análisis de CSPM identificará buckets de copias de seguridad sin cifrado, cuentas de servicio de copias de seguridad con privilegios excesivos y repositorios de copias de seguridad sin registro de accesos, los modos de falla con más probabilidades de crear exposición en el almacenamiento de copias de seguridad. En el caso de los proveedores que otorgan acceso de evaluación a sus entornos de nube, el análisis de CSPM ofrece cobertura de las copias de seguridad sin necesidad de un proceso de evaluación aparte.
Cumplimiento y gobernanza de las copias de seguridad: Druva, Cohesity, Rubrik
Las plataformas empresariales de copias de seguridad incluyen cada vez más funciones de gobernanza de la seguridad y el cumplimiento: cifrado en reposo y en tránsito, controles de acceso basados en roles, aplicación de políticas de retención y registro de auditoría de todas las operaciones de copias de seguridad. En el caso de los proveedores que usan estas plataformas, los controles de seguridad disponibles son mucho más sólidos que los de las soluciones de copias de seguridad personalizadas, y es más sencillo aportar evidencia de su configuración. Preguntar a un proveedor si su plataforma de copias de seguridad incluye estas capacidades, y si están habilitadas, es una pregunta de evaluación práctica con un estándar de evidencia concreto.
Desafíos de gobernanza
El desafío de gobernanza del almacenamiento de copias de seguridad de los proveedores es que se sitúa en la intersección de dos disciplinas que rara vez se coordinan: la protección de datos y las operaciones de copias de seguridad. Los equipos de protección de datos definen los requisitos de seguridad y cumplimiento para el manejo de datos. Los equipos de operaciones de copias de seguridad definen los objetivos de recuperación y la arquitectura de las copias de seguridad. En la mayoría de las organizaciones de los proveedores, la seguridad del almacenamiento de copias de seguridad cae en la brecha entre esas dos funciones: los equipos de copias de seguridad no piensan en términos de clasificación de datos y cumplimiento de la retención, y los equipos de protección de datos no consideran los repositorios de copias de seguridad como almacenes de datos que requieren gobernanza de seguridad.
Cerrar esta brecha en las relaciones con proveedores requiere convertir el almacenamiento de copias de seguridad en un componente explícito de los requisitos de manejo de datos, en lugar de dar por supuesto que lo cubren las cláusulas generales de seguridad de los datos. Todo acuerdo de manejo de datos que exija cifrado en reposo, controles de acceso y cumplimiento de la retención debe indicar explícitamente que esos requisitos se aplican a las copias de seguridad, al almacenamiento de archivo y a los repositorios de recuperación ante desastres con la misma fuerza que al almacenamiento principal. Esa única aclaración contractual elimina la ambigüedad que permite que el almacenamiento de copias de seguridad exista fuera del marco de gobernanza de la seguridad.
- Modificar los acuerdos de manejo de datos para incluir explícitamente el almacenamiento de copias de seguridad, los sistemas de archivo y los repositorios de recuperación ante desastres en todos los requisitos de seguridad y retención
- Añadir preguntas específicas sobre copias de seguridad a las evaluaciones de proveedores: dónde se almacenan los datos de copias de seguridad, qué estándar de cifrado se aplica, quién tiene acceso y cuándo se revisaron por última vez esos controles de acceso
- Exigir una confirmación del alcance del SOC 2 que indique explícitamente si incluye la infraestructura de copias de seguridad que maneja datos de clientes; no lo dé por supuesto
- Incluir el almacenamiento de copias de seguridad en los requisitos de confirmación de eliminación: la terminación del contrato debe exigir la confirmación explícita de que se han eliminado las copias de seguridad de los datos del cliente, no solo los datos de producción
- Evaluar las políticas de retención de las copias de seguridad frente a los requisitos regulatorios en las relaciones con proveedores que manejan sus datos sensibles más críticos: la falta de alineación entre la retención de las copias de seguridad y las obligaciones regulatorias de eliminación es un riesgo de cumplimiento que aflora en auditorías e investigaciones
Si usted forma parte de un equipo pequeño
Empiece por sus cinco relaciones con proveedores de mayor riesgo y añada tres preguntas a su próxima conversación de evaluación: dónde se almacenan los datos de copias de seguridad, si se aplica a las copias de seguridad el mismo estándar de cifrado que a producción y si la terminación del contrato activa la obligación de eliminar las copias de seguridad. Esas tres preguntas sacarán a la luz la exposición más significativa del almacenamiento de copias de seguridad en su cartera de proveedores más rápido que cualquier marco integral. Después, revise sus contratos con proveedores más críticos en busca de cláusulas explícitas sobre el almacenamiento de copias de seguridad: la mayoría no las tendrá, y añadirlas en la próxima renovación es una mejora sencilla.
- Añadir a su plantilla estándar de evaluación de proveedores preguntas sobre la ubicación, el cifrado y el control de acceso del almacenamiento de copias de seguridad
- Revisar las cláusulas de eliminación de datos de sus principales contratos con proveedores: confirmar si el almacenamiento de copias de seguridad está incluido explícitamente o excluido implícitamente
- En el caso de los proveedores con informes SOC 2, revise la sección de alcance específicamente en busca de la cobertura de la infraestructura de copias de seguridad: un párrafo de la descripción del alcance le dice más que la propia opinión
- Pida a sus proveedores de mayor riesgo su política de retención de copias de seguridad: la respuesta, o la falta de una, es una señal de riesgo inmediata
Qué exigir
Pregunte directamente:
“¿Dónde se almacenan los datos de copias de seguridad que contienen nuestra información (en qué entorno de nube, en qué nivel de almacenamiento y en qué región geográfica)? ¿Se aplican al almacenamiento de copias de seguridad el mismo estándar de cifrado y el mismo marco de control de acceso que a su entorno de producción?”
“¿El alcance de su auditoría SOC 2 incluye explícitamente la infraestructura y los sistemas de copias de seguridad que almacenan copias de nuestros datos? Si no es así, ¿qué garantía tienen de que esos sistemas cumplen estándares de seguridad equivalentes?”
“Cuando termine nuestro contrato y eliminen nuestros datos de los sistemas de producción, ¿cuál es su proceso y su plazo para eliminar las copias de seguridad, y qué evidencia de esa eliminación nos proporcionan?”
Evidencia que debe esperar
- Documentación de la ubicación, el estándar de cifrado y los controles de acceso del almacenamiento de copias de seguridad que igualan o superan los estándares de producción
- Confirmación del alcance del SOC 2 que aborde explícitamente la infraestructura de copias de seguridad, o un mecanismo de aseguramiento alternativo para los entornos de copias de seguridad
- Un proceso definido de eliminación de las copias de seguridad, activado por la terminación del contrato, con un plazo comprometido y un estándar de evidencia
- Documentación de la política de retención de las copias de seguridad alineada con los requisitos contractuales de eliminación de datos
Un proveedor que responde a la pregunta sobre las copias de seguridad con “nuestros datos se eliminan según nuestra política de retención” ha descrito su proceso de eliminación en producción. Pregunte específicamente por las copias de seguridad: si duda antes de responder, ha identificado la brecha.
Cómo demostrarlo
Los marcos regulatorios, incluidos el GDPR, la CCPA y los requisitos sectoriales, crean obligaciones sobre el ciclo de vida de los datos que se extienden explícitamente a todas las copias de los datos, no solo al almacenamiento principal. Demostrar la debida diligencia en el contexto del almacenamiento de copias de seguridad de los proveedores requiere evidencia de que se evaluaron los entornos de copias de seguridad, no solo los sistemas de producción.
- Registros de evaluación de proveedores que documentan las preguntas y respuestas sobre la seguridad del almacenamiento de copias de seguridad de los proveedores que manejan datos
- Acuerdos de manejo de datos que incluyen explícitamente el almacenamiento de copias de seguridad en los requisitos de seguridad y retención
- Documentación de la revisión del alcance del SOC 2 que confirma la evaluación de la cobertura de la infraestructura de copias de seguridad
- Registros de terminación de contratos, incluida la confirmación de la eliminación de las copias de seguridad y la evidencia de su finalización
- Documentación de la política de retención de las copias de seguridad alineada con los requisitos regulatorios de eliminación aplicables
Conclusión clave
El almacenamiento de copias de seguridad no es una categoría de riesgo distinta de la seguridad de los datos: es el mismo riesgo en un lugar que recibe menos atención, menos controles y casi ningún escrutinio de gobernanza. Cada dato de cliente del que su proveedor hace una copia de seguridad es una copia de cada obligación de protección de datos que usted tiene, en un entorno que casi con seguridad nunca ha evaluado, con controles que probablemente nunca ha especificado y durante un período de retención que nadie ha definido. El entorno de producción es la puerta principal. El almacenamiento de copias de seguridad es donde los datos viven más tiempo y donde están menos protegidos. Gobierne ambos o ninguno. No hay término medio que satisfaga a un regulador o resista la investigación de una violación.