Copias de seguridad: qué preguntar antes

En el día a día de tu empresa, la pérdida de datos puede paralizar la producción, afectar la facturación electrónica y generar multas de SUNAT. Elegir un proveedor de copias de seguridad y recuperación es una decisión crítica; no basta con saber que existen soluciones, hay que asegurarse de que la oferta se alinee con tus requerimientos operativos y regulatorios. En este artículo encontrarás las preguntas que debes hacer, los acuerdos que deben quedar por escrito, las señales de alarma y una guía práctica para comparar propuestas.

Las preguntas que hay que hacer

• ¿Cuál es el RTO (tiempo máximo de recuperación) y el RPO (pérdida máxima de datos aceptable) que garantiza?
  • Respuesta esperada: Un proveedor serio te dará valores concretos, por ejemplo, RTO de 4 horas y RPO de 15 minutos, respaldados por pruebas documentadas.
  • Qué te preocupa: Si la respuesta es “dependiendo del caso” o “lo definimos después”, el riesgo de una recuperación tardía aumenta.
• ¿Dónde se almacenan los backups y cómo se segmentan geográficamente?
  • Respuesta esperada: Detalle de centros de datos en Lima y otra región del país, con replicación cruzada y certificación ISO 27001.
  • Qué te preocupa: Un único sitio en la costa vulnerable a terremotos o inundaciones.
• ¿Qué mecanismos de cifrado se aplican en tránsito y en reposo?
  • Respuesta esperada: Cifrado TLS 1.3 para la transmisión y AES‑256 para el almacenamiento, con gestión de llaves bajo tu control.
  • Qué te preocupa: Uso de cifrado propietario o sin gestión de llaves, lo que dificulta auditorías.
• ¿Con qué frecuencia se realizan pruebas de restauración y cómo se documentan?
  • Respuesta esperada: Pruebas mensuales en entornos de producción simulados, con reportes entregados a tu equipo.
  • Qué te preocupa: Ausencia de pruebas o reportes poco claros.
• ¿Cómo se integra el proceso con la facturación electrónica y los requisitos de SUNAT?
  • Respuesta esperada: Retención de los archivos XML de facturas electrónicas por 5 años, con copia de seguridad inmutable y accesible para auditorías.
  • Qué te preocupa: Falta de alineación con la normativa, lo que puede generar sanciones.
• ¿Cuál es el modelo de precios y qué elementos están incluidos?
  • Respuesta esperada: Desglose de costos por GB almacenado, número de restauraciones incluidas y cargos por exceso, sin sorpresas.
  • Qué te preocupa: Tarifas ocultas por restauraciones o por transferencia de datos.
• ¿Qué nivel de soporte está garantizado y en qué horarios?
  • Respuesta esperada: SLA de 1 hora de respuesta y 4 horas de solución para incidentes críticos, disponible 24 × 7.
  • Qué te preocupa: Soporte solo en horario comercial o sin garantía de tiempo de respuesta.
• ¿Cómo se gestionan los cambios de configuración y quién tiene la autoridad para aprobarlos?
  • Respuesta esperada: Proceso formal con tickets, registro de cambios y aprobación por tu responsable de TI.
  • Qué te preocupa: Cambios realizados sin tu conocimiento, que pueden afectar la integridad de los backups.

Lo que tiene que estar por escrito

• Alcance del servicio: Lista clara de los sistemas, bases de datos y aplicaciones que se respaldarán (ERP, facturación electrónica, CRM, etc.).
• Entregables: Documentación de arquitectura, plan de pruebas de recuperación, reportes de auditoría mensual y manual de restauración.
• Plazos: Cronograma de implementación (por ejemplo, 6 semanas para puesta en marcha), frecuencia de backups (diarios, horarios) y fechas de pruebas de restauración (mensuales).
• Soporte: Niveles de servicio (SLA), canales de contacto, tiempos de respuesta y escalamiento.
• Propiedad del código y de los datos: Cláusula que establezca que los datos y los scripts de backup son de tu empresa; el proveedor solo tiene una licencia de uso.
• Confidencialidad y cumplimiento: Compromiso de cumplimiento con la Ley de Protección de Datos Personales (Ley 29733) y con los requisitos de SUNAT para la conservación de documentos electrónicos.
• Penalizaciones: Multas por incumplimiento de RTO/RPO o por interrupciones del servicio sin justificación.
• Procedimientos de salida: Cómo se migrarán los backups a otro proveedor o a infraestructura propia al término del contrato, con garantía de integridad.

Señales de alarma

• El proveedor no ofrece pruebas de restauración documentadas. Sin evidencia de que los backups funcionen, la promesa es solo teoría.
• El contrato no menciona la propiedad de los datos. Riesgo de que el proveedor retenga la información o la use sin tu autorización.
• Respuestas vagas sobre RTO/RPO. Indica falta de planificación operativa y posible incumplimiento en un incidente real.
• Solo ofrece centro de datos propio sin certificaciones. Falta de auditorías externas aumenta la exposición a fallas y a incumplimientos regulatorios.
• Soporte limitado a horario comercial. En una emergencia fuera de ese horario, la recuperación puede tardar días.

Cómo comparar dos propuestas distintas

Cuando recibas dos o más ofertas, sigue estos pasos para evaluar objetivamente:

1. Normaliza los criterios: Crea una tabla con columnas para RTO, RPO, frecuencia de backup, cifrado, pruebas de restauración, SLA de soporte y costos operacionales.
2. Asignación de pesos: Define qué aspectos son críticos para tu negocio. Por ejemplo, RTO (30 %), cumplimiento SUNAT (25 %), costo operativo (20 %), soporte 24 × 7 (15 %) y certificaciones (10 %).
3. Puntuación: Cada propuesta recibe una puntuación de 0 a 5 en cada criterio, según la respuesta del proveedor.
4. Cálculo de la puntuación total: Multiplica la puntuación por el peso y suma los resultados.
5. Revisa los “deal‑breakers”: Si alguna propuesta falla en un punto esencial (por ejemplo, no garantiza RPO ≤ 15 min), descártala aunque la puntuación global sea alta.
6. Comparativa visual: Usa el bloque HTML de comparativa para resaltar la opción que supera al resto en los criterios críticos.

Conclusión

Al terminar de leer, sabrás exactamente qué preguntar, qué exigir por escrito y cómo identificar señales de alerta antes de firmar con un proveedor de backup. Con una tabla de criterios y una metodología de puntuación, podrás comparar propuestas de forma objetiva y elegir la solución que garantice la continuidad de tu empresa, cumpla con SUNAT y proteja tus datos críticos sin sorpresas.