Preguntas para contratar backup y recuperación

En la gestión de datos de una empresa peruana, la falta de claridad al contratar servicios de copias de seguridad y recuperación puede traducirse en interrupciones costosas y en incumplimientos regulatorios. En este artículo encontrarás las preguntas que debes plantear a los proveedores, qué debe quedar por escrito, señales de alarma y una guía práctica para comparar propuestas distintas.

Las preguntas que hay que hacer

• ¿Cuál es el tiempo objetivo de recuperación (RTO) y el punto de recuperación (RPO) que garantizan?

  • Respuesta esperada: Un proveedor serio indica valores concretos, por ejemplo RTO de 4 horas y RPO de 30 minutos, y explica cómo los logra.
  • Qué te preocupa: Valores genéricos como “rápido” o “casi en tiempo real”. Si no pueden cuantificar, el riesgo de pérdida de datos aumenta.

• ¿En qué infraestructura se almacenan los respaldos?

  • Respuesta esperada: Detalle de centros de datos en Perú o en regiones con normativa compatible, con certificaciones ISO 27001 y cumplimiento de la Ley 29733.
  • Qué te preocupa: Uso exclusivo de servidores en el extranjero sin garantía de soberanía de datos, lo que complica la respuesta ante requerimientos de SUNAT.

• ¿Cómo se gestionan los respaldos incrementales y las pruebas de restauración?

  • Respuesta esperada: Cronograma semanal de backups incrementales y mensuales completos, con pruebas de restauración simulada al menos una vez cada trimestre.
  • Qué te preocupa: Ausencia de pruebas documentadas; sin evidencia de restauración, el backup es solo una copia de seguridad teórica.

• ¿Qué mecanismos de cifrado se aplican en tránsito y reposo?

  • Respuesta esperada: TLS 1.3 para la transmisión y AES‑256 para el almacenamiento, con gestión de llaves bajo control del cliente.
  • Qué te preocupa: Cifrado opcional o gestión de llaves por el proveedor sin posibilidad de auditoría.

• ¿Cuál es el proceso de notificación y escalamiento en caso de incidente?

  • Respuesta esperada: SLA que define notificación en menos de 15 minutos, escalamiento a nivel de gerencia en 1 hora y reporte post‑incidente dentro de 24 horas.
  • Qué te preocupa: Falta de tiempos definidos o dependencia de canales informales como correos sin acuse de recibo.

• ¿Cómo se integra el backup con la facturación electrónica y los requerimientos de SUNAT?

  • Respuesta esperada: Mecanismo que garantiza la retención de los comprobantes electrónicos por al menos 5 años, con auditoría de integridad.
  • Qué te preocupa: Ignorar la normativa local puede generar multas y sanciones.

• ¿Qué nivel de soporte técnico se incluye y en qué horarios?

  • Respuesta esperada: Soporte 24 × 7 con respuesta inicial en 30 minutos para incidentes críticos.
  • Qué te preocupa: Soporte limitado a horario comercial o tiempos de respuesta superiores a 4 horas.

Lo que tiene que estar por escrito

• Alcance del servicio: Detalle de los sistemas, bases de datos y tipos de archivos cubiertos, así como exclusiones explícitas.
• Entregables: Cronograma de configuraciones, pruebas de restauración y reportes de auditoría, con fechas concretas (ej. pruebas de restauración cada 90 días).
• Plazos: Tiempo estimado para la puesta en marcha del proceso de backup (usualmente 3 semanas) y para la primera prueba de recuperación completa (4 semanas).
• Soporte y niveles de servicio (SLA): Tiempo de respuesta, tiempo de resolución y penalizaciones por incumplimiento.
• Propiedad del código y de los scripts: Confirmación de que cualquier script o herramienta desarrollada para la gestión de backups es propiedad de tu empresa.
• Confidencialidad y tratamiento de datos: Cláusulas que aseguren el cumplimiento de la Ley de Protección de Datos Personales y la normativa de la SUNAT.
• Procedimientos de salida: Cómo se entregarán los respaldos y las llaves de cifrado al terminar el contrato, con garantía de borrado seguro de los datos del proveedor.

Señales de alarma

• El proveedor evita dar números concretos. Si responde con “dependiendo del caso” sin ofrecer rangos claros, es indicio de falta de experiencia o capacidad real.
• No menciona certificaciones de seguridad. La ausencia de ISO 27001, SOC 2 o cumplimiento de la Ley 29733 sugiere que la gestión de datos no está alineada con estándares internacionales.
• Ofrece solo backups en la nube sin opción híbrida. En Perú, muchas empresas requieren retención local por motivos regulatorios; la falta de alternativa híbrida puede ser un problema.
• El contrato no define propiedad de las llaves. Si el proveedor se queda con el control de cifrado, no tendrás garantía de acceso a tus propios datos.
• Plazos de implementación indefinidos. Un proyecto que no indica semanas concretas para la puesta en marcha muestra falta de planificación.

Cómo comparar dos propuestas distintas

1. Normaliza las unidades. Convierte los plazos a semanas y los tiempos de respuesta a minutos para que la comparación sea directa.
2. Crea una tabla de criterios obligatorios. Por ejemplo, RTO ≤ 4 h, RPO ≤ 30 min, pruebas trimestrales, soporte 24 × 7, cifrado AES‑256.
3. Evalúa los extras. Si una propuesta incluye pruebas de restauración automatizadas y la otra no, asigna un peso adicional.
4. Revisa los costos implícitos. No se trata de precios, sino de factores que aumentan el esfuerzo interno: número de integraciones necesarias, tiempo de capacitación del personal, etc.
5. Aplica una matriz de decisión. Asigna una puntuación de 1 a 5 a cada criterio y suma los totales.

Al comparar, la Propuesta A supera a la B en todos los criterios críticos y, aunque pueda requerir una inversión de tiempo ligeramente mayor en la fase de integración, reduce el riesgo operativo de forma significativa.

Conclusión

Quien ha leído hasta aquí sabe exactamente qué preguntar antes de contratar un servicio de backup y recuperación, qué debe quedar plasmado en el contrato y cómo identificar señales que indican falta de seriedad. Además, dispone de un método práctico para comparar propuestas distintas sin dejarse llevar por precios superficiales. Con esta información, tu empresa podrá elegir un proveedor que garantice la continuidad del negocio y el cumplimiento de la normativa peruana, evitando sorpresas costosas en el futuro.

Una decisión informada sobre backup y recuperación protege datos críticos y asegura la continuidad operativa.