Requisitos de copias de seguridad y recuperación comparados entre marcos
Las copias de seguridad son uno de los cinco temas que exige todo marco. Las diferencias están en con qué frecuencia se hacen, cómo se protegen frente a atacantes y si alguien debe demostrar que una restauración funciona.
Esta entrada cubre los 11 marcos que ControlMapping había asignado cuando se redactó. Desde entonces, se añadieron DORA, CPS 234, Cyber Essentials el 2026-10-27; sus páginas y la matriz de cobertura ya los incluyen.
La copia de seguridad y la recuperación forman parte del núcleo común: los once marcos de nuestras correspondencias la exigen, incluido el RGPD [GDPR], que pide la capacidad de restaurar de forma oportuna la disponibilidad y el acceso a los datos personales. El requisito que más varía no es la frecuencia sino la protección: desde que el ransomware empezó a atacar las copias de seguridad, los marcos se preocupan cada vez más por si un atacante que controla su red también puede destruir sus copias.
Quién exige qué
| Marco | Copias de seguridad y recuperación | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | Definición del tema |
| ISO 27001 | A.8.13 | Correspondencia |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | Correspondencia |
| SOC 2 | A1.2 | Editorial |
| PCI DSS | 9.4.1.1 | Correspondencia |
| CMMC | MP.L2-3.8.9 | Correspondencia |
| 800-53 | CP-6CP-9 | Correspondencia |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | Correspondencia |
| GDPR | Art.32(1)(c) | Editorial |
| NIS2 | 4.2 | Correspondencia |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | Editorial |
Detalle completo y motivo de cada vínculo: Copias de seguridad y recuperación en todos los marcos →
Frecuencia
Pocos marcos fijan una. Los CIS Controls piden copias de seguridad automatizadas semanalmente o con más frecuencia, según la sensibilidad (11.2). HIPAA exige que el plan de copias de seguridad de datos cree y mantenga copias exactas y recuperables de los ePHI (§164.308(a)(7)(ii)(A)). El Essential Eight exige copias de seguridad acordes con los requisitos de continuidad del negocio. ISO 27001 (A.8.13), SP 800-53 (CP-9) y SOC 2 (A1.2) dejan la frecuencia en manos de sus objetivos de recuperación, lo cual es la respuesta correcta: realice copias con la frecuencia que pueda permitirse perder.
Protección
Aquí es donde más difieren los marcos:
- CIS exige que los datos de recuperación estén protegidos (11.3) y que exista una instancia aislada de ellos (11.4): offline, aislada en la nube o de algún otro modo fuera del alcance de un atacante en la red.
- El Essential Eight incorpora la protección en sus niveles de madurez: las cuentas sin privilegios no pueden acceder a las copias de otras cuentas y, en los niveles superiores, ni siquiera las cuentas privilegiadas pueden modificarlas ni eliminarlas.
- CMMC exige proteger la confidencialidad de la CUI en las copias de seguridad (MP.L2-3.8.9); PCI DSS exige almacenar de forma segura los soportes de copia offline (9.4.1.1).
- ISO 27001 y SOC 2 esperan que las copias estén protegidas adecuadamente, sin mencionar la inmutabilidad.
Pruebas de restauración
CIS pide pruebas de recuperación trimestrales o más frecuentes, sobre una muestra (11.5). El Essential Eight exige que la restauración de datos, aplicaciones y configuraciones se pruebe en ejercicios de recuperación ante desastres. ISO 27001 exige probar las copias de seguridad sin una frecuencia definida, y los auditores de SOC 2 buscan pruebas de restauración en A1.3. Una copia que nadie ha restaurado es una esperanza, no un control.
Conclusiones clave
- La copia de seguridad y la recuperación son uno de los cinco temas que exige todo marco de nuestras correspondencias.
- Los marcos difieren menos en la frecuencia que en la protección: CIS y el Essential Eight protegen explícitamente las copias frente a atacantes.
- Las pruebas de restauración son la parte más descuidada; CIS pide pruebas trimestrales sobre una muestra.
- Una base común (copias periódicas, una copia aislada, cifrado y pruebas trimestrales de restauración) los satisface a todos.
- Los proveedores de nube protegen su infraestructura, no sus datos frente a borrados, corrupción o cifrado.
Una línea base que cumple con todos ellos
- Realice copias de seguridad de datos, aplicaciones y configuración, con una frecuencia fijada por los objetivos de punto de recuperación y como mínimo semanal.
- Mantenga al menos una copia aislada, offline o inmutable, que los administradores de dominio no puedan eliminar.
- Cifre las copias de seguridad que contengan datos sensibles o regulados.
- Pruebe las restauraciones trimestralmente sobre una muestra, y realice un ejercicio completo de recuperación al menos una vez al año.
- Registre los resultados, incluidos los fallos y sus soluciones: es la evidencia que pide cualquier auditor.
La página del tema Backup & Recovery enumera cada requisito con su fuente; Recuperación ante desastres y Continuidad del negocio cubren los planes más amplios. Para los demás temas que comparten todos los marcos, consulte el núcleo común.
Preguntas
¿Con qué frecuencia deben probarse las copias de seguridad?
Los CIS Controls piden pruebas de recuperación trimestrales o más frecuentes (11.5), y el Essential Eight exige que la restauración se pruebe como parte de los ejercicios de recuperación ante desastres. La mayoría de los demás marcos exigen pruebas sin una frecuencia fija.
¿Exigen los marcos copias de seguridad offline o inmutables?
Pocos lo dicen explícitamente. Los CIS Controls exigen una instancia aislada de los datos de recuperación (11.4), y los niveles de madurez más altos del Essential Eight impiden que las cuentas, incluidas las privilegiadas, modifiquen o eliminen las copias de seguridad.
¿Los servicios en la nube eliminan la necesidad de copias de seguridad?
No. Los proveedores de nube protegen su infraestructura, pero la mayoría no le protege frente al borrado, la corrupción o el cifrado de sus propios datos. Los marcos siguen esperando que realice copias de seguridad y pruebe las restauraciones de lo que es de su responsabilidad.
Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.
Artículos relacionados
Análisis · 2026-10-27APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRAUn SGSI conforme a ISO 27001 cubre casi todos los párrafos de la CPS 234 de APRA, pero APRA añade obligaciones del consejo de administración, garantías de terceros y plazos estrictos de notificación.
Análisis · 2026-10-27Cyber Essentials frente a Essential Eight: dos referencias nacionales comparadasEl Cyber Essentials del Reino Unido y el Essential Eight de Australia persiguen ambos los ataques más comunes, pero cubren terrenos distintos. Qué se solapa, qué no y por qué.
Análisis · 2026-10-27DORA frente a NIS2: qué cubre ya un programa NIS2DORA y NIS2 comparten casi todo su contenido de seguridad; DORA añade registro, cláusulas y pruebas basadas en amenazas. Qué se traslada, artículo por artículo.