No la echas de menos hasta que la necesitas

Una situación tristemente común en las pequeñas empresas es la de no valorar la información de clientes o proveedores que trata en sus sistemas de información aunque dicho sistema de información sea un simple servidor de datos o un par de ordenadores que hacen la vez de puestos de trabajo.

Si preguntáramos a los gerentes o responsables de pequeñas empresas que cuál consideran que es el mayor activo de su negocio, pocos responderían que la información. Lo habitual es que consideren que el producto que ofrecen o el servicio que prestan es lo más importante, sin ser conscientes que sin un cliente o un proveedor al que ofrecer ese producto o servicio, el resultado del negocio es cero.

Y en este orden de cosas, en la falta de percepción que se suele tener en estos pequeños negocios de lo importante que es la información que manejan, nos encontramos con las por todos conocidos "copias de seguridad".

¿Quién no ha oído hablar de las copias de seguridad? Las copias de seguridad son como los billetes de 500 euros: sabemos que existen pero nadie los utiliza y mucho menos sabríamos decir dónde se ocultan.

A lo largo de mi carrera profesional como consultor en materia de protección de datos y privacidad, me he encontrado con escenarios donde o bien no existían copias de seguridad del sistema de información de la entidad o dichas copias no eran recuperables por diversos motivos (problemas de compresión, última copia tan antigua que ya se había cambiado el programa de gestión, etc).

A pesar de la importancia de estas copias de seguridad y de explicarles personalmente dicha importancia, los responsables de estas pequeñas empresas seguían sin darles demasiada importancia, y no era hasta que se le indicaba que era necesario establecer unos procedimientos adecuados para realizar las copias de respaldo porque lo obligaba la Ley, bajo pena de fuerte sanción económica, cuando entonces estaban dispuestos a ponerse manos a la obra.

Efectivamente, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, obliga a cualquier empresa que trate datos de carácter personal, a establecer procedimientos de actuación para la realización como mínimo semanal de copias de respaldo, salvo que en dicho período no se hubiera producido ninguna actualización de los datos.

Mi experiencia me dice que una copia semanal es insuficiente para evitar grandes trastornos en el caso de pérdida de información porque ¿se imagina qué pasaría si en su empresa se pierde todo lo que se hizo y almacenó durante la última semana? En este sentido creo que el legislador debería haber apretado un poco más y establecer copias de seguridad diarias, máxime cuando hoy en día contamos con dispositivos de almacenamiento de gran capacidad a bajo coste.

Por otro lado, el mismo Real Decreto 1720/2007 va más allá y no solo exige que se realice esta copia de respaldo, sino que además impone la obligación de establecer procedimientos para la recuperación de los datos que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. En otras palabras, establecer procedimiento que verifiquen que las copias de seguridad que se están haciendo realmente tendrán la facultad de reconstruir el sistema de información en el momento previo a la incidencia. Y por si esto fuera poco, de nuevo se impone otra exigencia legal: verificar cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos, debiendo dejar constancia de esa verificación por el personal que la lleve a cabo en la organización.

Por último, y solo en el caso de que las copias de seguridad vayan a almacenar datos de los denominados de "nivel alto" (por ejemplo, datos de ideología, afiliación sindical, religión, creencias, origen racial, salud o vida sexual), se deberá conservarse una copia de respaldo de los datos y de los procedimientos de recuperación de los mismos en un lugar diferente de aquel en que se encuentren los equipos informáticos que los tratan.

Pero en cualquier caso lo importante es que tenemos una norma que obliga a hacer copias de seguridad, de forma que, si usted está leyendo estas palabras y no está seguro de que en su empresa se estén realizando copias de seguridad al menos semanales, verifíquelo cuanto antes aunque sea solo por evitar una eventual sanción. Pero si además ha llegado a la conclusión correcta de que la información que maneja su organización es un activo de gran valor, asegúrese de realizar copias de seguridad diaria por duplicado: si algún día llega el momento de hacer uso de ellas descubrirá que el tiempo y dinero invertido en esa correcta política de copias de respaldo ha quedado más que rentabilizado.