Recuperación de Datos: Qué Hacer en las Primeras Horas

3 min de lectura DataRoad

Hay una estadística incómoda en la recuperación de datos: una parte significativa de los casos irrecuperables llega así debido a lo que se hizo después del incidente. El disco tenía posibilidades; los intentos de resolver el problema fueron los que las eliminaron.

Este artículo trata sobre las primeras horas y sobre qué hacer para nunca necesitarlo.

Qué hacer en la primera hora

Deje de usar el equipo. Si un disco está fallando, cada minuto encendido puede agravar el daño físico. Si se borraron archivos, cada escritura nueva puede ocupar el espacio donde todavía están. Apague.

No reinicie repetidamente. Es el reflejo natural y uno de los peores. En un disco con problema mecánico, cada arranque fuerza el cabezal de lectura sobre una superficie ya dañada.

Aísle el equipo de la red si hay alguna sospecha de software malicioso, para evitar que se propague a unidades compartidas.

Verifique las copias de seguridad antes de todo lo demás. Parece obvio y se pasa por alto con frecuencia. Si existe una copia reciente e íntegra, el problema deja de ser de recuperación y pasa a ser de restauración: más rápido, más barato y con resultado garantizado.

Escribe lo que sucedió. Qué ruido hizo, qué mensaje apareció, qué se estaba haciendo en el momento, qué pasos ya se han intentado. Esta información vale mucho para quien venga a intervenir.

Lo que no se debe hacer, nunca

• No instale software de recuperación en el disco afectado. La instalación escribe datos, potencialmente por encima de lo que quiere recuperar.
• No corra utilidades de verificación y reparación en discos con sospecha de fallo físico. Fueron hechos para corregir sistemas de archivos, no para lidiar con hardware agonizante, y pueden consolidar el daño.
• No formatee ni reinstale “para ver si se resuelve.
• No abras el disco. La recuperación física se realiza en sala limpia; una abertura en ambiente normal contamina los platos de forma irreversible.
• No confíes en recetas de internet. Congeladores, golpes y cambios de placa son historias que circulan desde hace veinte años y destruyen casos recuperables.

Tipos de pérdida y qué cambia

Borrado accidental. El mejor escenario. Mientras el espacio no sea reutilizado, los datos siguen ahí. La regla es dejar de escribir en el volumen inmediatamente.

Falla lógica. Estructura del sistema de archivos corrupta, partición desaparecida, disco que pide formato. El soporte está bien; lo que se perdió es el mapa. Suele tener buenas tasas de recuperación con herramientas adecuadas usadas por quien sabe.

Fallo físico. Ruidos, disco no reconocido, funcionamiento intermitente. Requiere laboratorio y sala limpia. Es el escenario más caro y el más sensible a intentos aficionados.

Fallo de RAID. Un sistema con varios discos no es inmune; es frecuente que un disco haya fallado hace meses sin que nadie lo note, y solo la falla del segundo haga visible el problema. Aquí el orden de reconstrucción importa mucho, y una reconstrucción mal hecha destruye el conjunto.

Es ransomware

Todo cambia. No es una cuestión de recuperación de soporte, es respuesta a incidentes.

Aísle inmediatamente los equipos afectados de la red, sin desconectarlos de la corriente si hay intención de investigar. Verifique si las copias de seguridad fueron alcanzadas —los sistemas de respaldo conectados permanentemente a la red son un objetivo prioritario. Preserve la evidencia antes de limpiar lo que sea.

Y hay una decisión que no es técnica: pagar no garantiza nada Se financia la actividad siguiente. Es una conversación que se debe tener con la dirección y, según el caso, con asesoramiento jurídico y con las autoridades. Si hay datos personales involucrados, existen obligaciones de notificación con plazos ajustados.

Cómo no volver aquí

La recuperación de datos es siempre la peor opción disponible: cara, lenta y sin garantía de resultado. Todo lo que la evita vale más que ella.

La regla práctica que sigue funcionando es la de las tres copias: los datos en producción, una copia local para restauración rápida, y una copia fuera del lugar o desconectada de la red —esta última es la que sobrevive al ransomware.

Además, la parte que más falla no es tener copias. Es probarlas. Una copia de seguridad que nunca ha sido restaurada es una hipótesis, no una garantía. La prueba de restauración debería ser un evento programado, con fecha fijada, como un simulacro de evacuación.

Y monitorización: saber que la copia de seguridad falló el día en que falla, y no el día en que hace falta.

DataRoad implementa y gestiona soluciones de copia de seguridad y recuperación para empresas, con pruebas de restauración y monitorización continua, dentro de los servicios de TI gestionados.