Los datos se han convertido en uno de los activos más importantes de cualquier empresa. En ellos están los contratos, la información de los clientes, la contabilidad, los proyectos en marcha, los documentos internos o el conocimiento acumulado durante años de actividad. Sin esa información, muchas organizaciones simplemente no pueden seguir funcionando con normalidad: no pueden facturar, atender pedidos, prestar servicio a sus clientes ni tomar decisiones basadas en información fiable.
Esta dependencia crece cada vez más a medida que los procesos se van digitalizando y más tareas cotidianas dependen de que los sistemas informáticos funcionen correctamente y de que los datos estén disponibles en el momento en que se necesitan. Para muchas empresas, perder el acceso a esa información supone detener parte de su actividad.
No obstante, la verdadera importancia de los datos suele hacerse evidente solo cuando dejan de estar disponibles. Un fallo del sistema, un ciberataque, un error humano o un problema en el almacenamiento pueden hacer que información crítica quede inaccesible o se pierda por completo. Y, aunque existen herramientas para recuperarla en muchos casos, no siempre es posible hacerlo por completo ni en el tiempo que el negocio necesita.
Code Spaces: la empresa que desapareció en un día
En 2014, Code Spaces era una empresa de servicios tecnológicos con una base de clientes sólida y un modelo de negocio que funcionaba. Un día, un atacante logró acceder a su cuenta de Amazon Web Services, donde la empresa almacenaba prácticamente toda su infraestructura: código, copias de seguridad, datos de clientes, configuraciones de sistemas. Desde ahí, el atacante lanzó un chantaje: paga o lo borro todo. Code Spaces no pagó y el atacante borró todo.
Los atacantes lograron acceder a su cuenta de Amazon Web Services y eliminaron todos sus datos, lo que llevó al cierre definitivo de la empresa. No se produjo en meses, ni tras un largo proceso de recuperación, sino cuestión de horas. Una empresa que había tardado años en construirse dejó de existir porque sus datos, y todas sus copias de seguridad, estaban en el mismo sitio.
Es el caso más extremo, pero no el único. Y lo que lo hace especialmente instructivo es que el fallo no fue tecnológico en sentido estricto: fue estructural. Todos los huevos en la misma cesta. Ningún plan alternativo. Ninguna copia en un lugar diferente. Cuando el atacante tuvo acceso a ese único punto, tuvo acceso a todo.
Ma.gnolia: Cuando los datos se corrompen sin que nadie lo note
El caso de Ma.gnolia es diferente, pero igual de revelador. Ma.gnolia, un servicio de marcadores sociales gestionado por Larry Halff, experimentó un fallo catastrófico en 2009 cuando su base de datos en la nube se corrompió sin posibilidad de recuperación. No hubo ataque, no hubo intención maliciosa. Simplemente, el sistema falló, y cuando fue a restaurarse desde las copias de seguridad, estas también estaban corruptas. El incidente, en el que la sincronización automatizada sobrescribió archivos funcionales con datos corruptos sin un respaldo externo, resultó en el cierre permanente del sitio y dio lugar al concepto de la «Paradoja de Ma.gnolia». Millones de usuarios perdieron años de datos guardados. La empresa intentó recuperarlos durante semanas. No pudo y cerró poco después.
Lo que hace especialmente perturbador este caso es que Ma.gnolia sí tenía copias de seguridad. Solo que nadie las había probado nunca para comprobar que funcionaban bien. Tener una copia de seguridad y no verificar que sirve para restaurar es, a efectos prácticos, como no tener ninguna.
JPMorgan: 250 millones en seguridad y un servidor sin actualizar
En 2014, el banco más grande de Estados Unidos sufrió uno de los mayores robos de datos de la historia financiera. Los nombres, correos electrónicos, direcciones y números de teléfono de 76 millones de hogares y 7 millones de pequeñas empresas fueron robados. JPMorgan gastaba entonces 250 millones de dólares al año en seguridad informática. Y aun así ocurrió.
Esta empresa no había podido actualizar uno de sus servidores con un esquema de autenticación doble. Si ese servidor hubiera implementado esta medida de seguridad, los hackers habrían sido obligados a proporcionar una segunda contraseña y millones de cuentas podrían haber sido salvadas. Un servidor, una actualización pendiente y 76 millones de hogares afectados.
El caso de JPMorgan ilustra que el riesgo no siempre viene del sistema más complejo ni del ataque más sofisticado. Viene del eslabón más débil. Y en una organización grande, con decenas o cientos de sistemas interconectados, encontrar ese eslabón antes de que lo encuentre un atacante es exactamente el tipo de trabajo que suele dejarse para después.
¿Qué ocurre dentro de una empresa cuando pierde sus datos?
Más allá de los casos concretos, queremos explicar qué pasa operativamente cuando una empresa pierde el acceso a sus datos, aunque sea de forma temporal. El impacto es rápido y se despliega en varias direcciones al mismo tiempo.
Uno de los impactos más inmediatos es la imposibilidad de operar. Sin los datos empresariales, las organizaciones se ven obligadas a utilizar procedimientos manuales, en caso de contar con ellos, o usar información obsoleta e incompleta. En el caso de las infraestructuras críticas, el impacto va más allá de la información contable y de ventas, afectando a los procesos productivos y dejando la empresa completamente paralizada.
A eso se suma el impacto legal. Dependiendo de los datos expuestos, sustraídos o robados, la empresa puede verse envuelta en litigios y multas por organismos oficiales de protección de datos, además de sanciones por incumplimiento de plazos si tiene firmados compromisos de entrega con socios comerciales o clientes. En Europa, el Reglamento General de Protección de Datos establece multas de hasta 20 millones de euros o el 4% de la facturación anual global para infracciones graves.
Y luego está el daño reputacional, que es quizás el más difícil de cuantificar y el que más tarda en repararse. En caso de no contar con una copia de seguridad, la imagen de la empresa se vería seriamente dañada al no disponer de los medios necesarios para seguir con su operativa normal. Los clientes no distinguen entre un ataque sofisticado y una negligencia en el mantenimiento: lo que ven es que la empresa en la que confiaban no supo proteger su información.
Los motivos más comunes, y cuánto se subestiman
El principal problema, con un 25% del total de casos, se encuentra en el fallo a la hora de detectar el dispositivo de almacenamiento. No son realmente ataques externos ni hackers, sino fallos de hardware ordinarios, del tipo que le ocurre a cualquier disco duro que lleva suficiente tiempo funcionando.
Ningún sistema de almacenamiento dura para siempre. Los discos duros, tanto los de un ordenador como los de un servidor empresarial, tienen una vida útil limitada y pueden fallar sin previo aviso. Cuando eso ocurre, la información almacenada puede quedar inaccesible o perderse por completo si no existe una copia de seguridad independiente.
A ese riesgo, que siempre ha existido, se ha sumado en los últimos años otro mucho más visible: el ransomware. En este tipo de ataques, los ciberdelincuentes bloquean o cifran los archivos de la empresa y exigen un rescate económico para recuperarlos. Aunque algunas organizaciones consiguen restaurar sus datos, otras sufren pérdidas de información, interrupciones prolongadas de su actividad y costes de recuperación que pueden ser muy elevados. En muchos casos, el verdadero problema no es el importe del rescate, sino el tiempo que la empresa permanece sin poder acceder a la información con la que trabaja cada día.
El error de fondo: sistemas que crecen sin estrategia
Detrás de la mayoría de estos casos hay un patrón común que no tiene que ver con la mala suerte ni con atacantes especialmente sofisticados. Tiene que ver con cómo las organizaciones gestionan su tecnología cuando crecen: añadiendo sistemas sobre sistemas, conectando plataformas que no fueron diseñadas para hablar entre sí, aplazando actualizaciones porque «ahora mismo funciona» y sin un plan claro de qué pasa si algo falla.
El borrado accidental o provocado de ficheros y la corrupción de datos pueden estar provocados por una mala decisión de un usuario o un fallo en el sistema. Pero lo que convierte un incidente puntual en una catástrofe es la ausencia de una arquitectura tecnológica pensada para la resiliencia: sistemas redundantes, copias de seguridad verificadas, procesos claros de recuperación y, sobre todo, alguien cuyo trabajo sea mantener todo eso en orden.
En este contexto, los profesionales de Crowe insisten en que las empresas que muevan muchos datos, no deberían preocuparse solamente de implantar tecnología nueva, sino también de diagnosticar el estado real de los sistemas existentes, identificar los puntos de fragilidad —los servidores sin actualizar, los silos de datos, los sistemas que no se hablan entre sí— y proponer una hoja de ruta que tenga en cuenta tanto el presupuesto disponible como los riesgos reales de no actuar. Como ellos mismos señalan, muchas organizaciones llegan a este punto porque sus sistemas actuales han dejado de cumplir las expectativas a medida que el negocio evolucionó, o porque el retorno de la inversión tecnológica no se está materializando, y lo que necesitan no es comprar más tecnología, sino entender por qué la que tienen no funciona como debería.
Recuperarse es posible, pero siempre tiene un coste
Perder el acceso a los datos de una empresa no significa necesariamente perderlos para siempre. En muchos casos es posible recuperarlos gracias a las copias de seguridad, a los equipos especializados en recuperación o a los planes de continuidad del negocio. El problema es que recuperar la información no equivale a volver inmediatamente a la normalidad.
Mientras los sistemas permanecen bloqueados o fuera de servicio, la actividad de la empresa también se resiente. Hay pedidos que no pueden tramitarse, facturas que no pueden emitirse, clientes a los que no se puede atender y empleados que no tienen acceso a las herramientas con las que trabajan cada día. A eso se suman los costes técnicos de la recuperación, las posibles investigaciones para averiguar qué ha ocurrido y, en algunos casos, las obligaciones legales de comunicar el incidente.
Por eso la cuestión no es únicamente si los datos podrán recuperarse, sino cuánto tardará la empresa en hacerlo y qué impacto tendrá ese tiempo de inactividad sobre su actividad. Una organización puede recuperar todos sus archivos y, aun así, haber sufrido pérdidas económicas importantes por estar varios días sin poder operar con normalidad.
La mejor estrategia sigue siendo evitar que ese escenario llegue a producirse. Contar con copias de seguridad bien diseñadas, revisarlas periódicamente y disponer de un plan claro para recuperar la información puede marcar la diferencia entre una incidencia asumible y un problema que paralice el negocio durante días.
