ROBO Backup: Protección de oficinas remotas y sucursales

El verdadero problema de las copias de seguridad ROBO

Proteger una sucursal es sencillo. Proteger 500 es el verdadero problema. La mayoría de los consejos sobre copias de seguridad ROBO abordan el primer problema e ignoran el segundo. Las arquitecturas que funcionan en una sucursal fallan al llegar a 50, y las que funcionan en 50 requieren que se reconstruyan desde cero al llegar a 500.

He observado cómo los clientes implementan dispositivos de copia de seguridad en cada tienda minorista de cadenas con cientos de establecimientos. Al cabo de dos años, cuentan con 400 dispositivos de copia de seguridad instalados, sin una versión de firmware uniforme, sin personal de TI en las sedes y con un presupuesto trimestral de desplazamientos para la única persona que sabe cómo repararlos. Técnicamente, las copias de seguridad se ejecutan. Sin embargo, en la mayoría de las sedes nunca se han probado. Nadie confía en que una recuperación real funcionaría. 

Este artículo trata sobre un enfoque que es escalable porque no requiere prácticamente nada en la sucursal. La sucursal sigue haciendo lo que hacen las sucursales. La copia de seguridad se ejecuta de forma centralizada.

Por qué las sedes ROBO son más complejas que la sede central

La sede central cuenta con un centro de datos, una conexión de gran ancho de banda y un equipo de TI. Las sedes ROBO no cuentan con nada de eso, pero sí con los mismos requisitos de continuidad del negocio. Hay cuatro retos específicos que surgen de forma recurrente.

El ancho de banda de la WAN es el primero. Una copia de seguridad completa a través de un enlace típico de sucursal puede desbordar la ventana de copia de seguridad y saturar la conexión durante el horario laboral. El ancho de banda adecuado para las operaciones diarias rara vez lo es para las copias de seguridad completas nocturnas.

La ausencia de personal de TI local es el segundo. Una tienda minorista no cuenta con un administrador de copias de seguridad. Todo lo que se ejecute en la sucursal debe funcionar de forma autónoma, recuperarse de forma autónoma y no requerir nunca que alguien tenga que desplazarse hasta allí.

La escala es el tercero. Una sucursal es sencilla. 500, con una política idéntica y unos informes idénticos, es el verdadero problema.

Y los SLA son el cuarto. A los clientes y a los reguladores no les importa que su establecimiento minorista cuente con un enlace de 10 Mbps. Si se pierden los datos del punto de venta o los sistemas dejan de funcionar, el negocio se paraliza. Las copias de seguridad ROBO deben ofrecer una recuperación al nivel de la sede central sin necesidad de una infraestructura al nivel de la sede central.

Cuánto cuesta realmente el tiempo de inactividad en las sucursales

El coste del tiempo de inactividad varía, pero el mínimo es elevado. Un estudio de Statista revela que el 24 % de las organizaciones declara unos costes por hora de inactividad de entre 301 000 y 400 000 dólares para servidores críticos, y el 14 % declara costes superiores a 5 millones de dólares por hora. En el caso del comercio minorista o los servicios financieros, con sistemas de punto de venta o de transacciones distribuidos, cada hora que una sucursal permanece fuera de línea multiplica el impacto.

El coste se agrava en las sucursales porque las averías suelen ser independientes entre sí. Una interrupción en una sola sucursal no activa la sala de crisis corporativa. La pérdida de ingresos se produce de forma silenciosa hasta que alguien se da cuenta. Para cuando el departamento central de TI interviene, el reloj de la recuperación suele llevar ya horas en marcha.

Los regímenes de cumplimiento normativo elevan aún más el umbral mínimo. El RGPD exige una gestión cuidadosa de los datos de los clientes, incluida su eliminación oportuna. La HIPAA exige pruebas de cumplimiento histórico para los datos sanitarios. Los datos generados en las sucursales entran en el ámbito de aplicación de ambas normativas, independientemente de que se haya realizado una copia de seguridad adecuada.

Lo que realmente necesita la protección de datos moderna en las sucursales ROBO

Cinco requisitos, y cualquier arquitectura que incumpla uno de ellos le causará problemas en el plazo de un año.

Funcionamiento eficiente en la WAN. Las copias de seguridad no pueden saturar la conexión de la sucursal durante el horario laboral. No se aceptan copias de seguridad completas a través de la WAN.

Infraestructura local nula. Sin servidor de copias de seguridad dedicado, dispositivo específico ni almacenamiento propio en la sucursal. Cuantas menos partes móviles haya en la sede, más fiable será el sistema.

Gestión centralizada. Un único panel de control para todas las sucursales. La política se aplica una sola vez y se hace cumplir en todas partes. Los informes se remiten a la sede central.

Recuperación en ambos extremos. El personal de la sucursal puede recuperar archivos eliminados sin necesidad de ponerse en contacto con el departamento central de TI. El departamento central de TI puede recuperar sucursales enteras desde la sede central cuando sea necesario.

Granularidad y reconocimiento de los inquilinos. Recuperación a nivel de máquina virtual, aplicación o archivo. Acceso a nivel de administrador y de cliente, de modo que cada sucursal gestione sus propios datos sin ver los de los demás.

Cómo funciona realmente la «copia de seguridad desde la réplica»

El cambio arquitectónico que hace que la copia de seguridad ROBO moderna sea práctica es aparentemente sencillo. En lugar de ejecutar la copia de seguridad en cada sucursal, se replican los datos de la sucursal al centro de datos como parte de las operaciones normales de recuperación ante desastres (DR) y, a continuación, se realiza la copia de seguridad propiamente dicha en el centro de datos a partir de la réplica.

Qué cambia: el proceso de copia de seguridad no consume recursos de computación, almacenamiento ni ancho de banda en la sucursal. La sucursal envía los datos modificados una sola vez, para su replicación. La copia de seguridad se realiza en la sede central sobre los datos que ya se encuentran allí.

El flujo es sencillo. La sucursal replica los datos al centro de datos de forma continua o según una política, utilizando la replicación nativa. HYCU, en el centro de datos, realiza la copia de seguridad a partir de la copia replicada, no desde la sucursal. Las copias de seguridad secundarias opcionales se guardan en un almacenamiento ajeno a Nutanix en el centro de datos para cumplir con la regla 3-2-1. La recuperación se ejecuta en cualquiera de los dos extremos.

En el caso específico de ROBO basado en Nutanix, esto se combina con clústeres de 1 o 2 nodos que se aprovisionan en la sede central en menos de una hora y se envían a la sucursal listos para funcionar. El mismo plano de gestión de Prism. Las mismas políticas de HYCU. No existe un producto ROBO independiente. También admitimos sitios ROBO con ESXi, y la recuperación puede trasladar cargas de trabajo entre AHV y ESXi, o a Nutanix Clusters en AWS o GCP.

Por qué la replicación por sí sola no es recuperación ante desastres

Los equipos confunden constantemente estos conceptos. «Replicamos desde todas las sucursales al centro de datos, así que estamos cubiertos». Eso es un grave error.

La replicación es una copia del estado actual. Si el origen se ve dañado por un ransomware, un error de aplicación o un comando erróneo de un administrador, el daño también se replica. El centro de datos cuenta ahora con una copia perfecta de los datos dañados, mientras que el original ha desaparecido. La recuperación no tiene de dónde partir.

La verdadera protección de datos ROBO sigue la regla 3-2-1: al menos tres copias de los datos, en dos tipos de soportes diferentes, con al menos una copia fuera de las instalaciones. La replicación es una de las copias, no la estrategia completa. La copia de seguridad aporta copias recuperables en un momento determinado que la replicación no proporciona. La replicación permite una conmutación por error rápida. La copia de seguridad permite una recuperación limpia.

Para ROBO esto es más importante que en la sede central, ya que las sucursales suelen tener un único destino de replicación y ninguna otra capa de protección. Un ataque de ransomware contra una sucursal puede corromper la réplica antes de que nadie en la sede central se dé cuenta. La copia de seguridad a partir de la réplica con retención resuelve este problema. La sucursal puede restaurarse a un punto en el tiempo limpio incluso después de que la réplica activa se haya visto comprometida.

Cómo es realmente la recuperación en entornos ROBO

Tres escenarios cubren la mayor parte de las necesidades operativas de los entornos ROBO. Un único archivo o carpeta, cuando un empleado borra el documento equivocado. El personal de la sucursal realiza una recuperación a nivel de archivo de forma autónoma a partir de la copia de seguridad más reciente. Una única máquina virtual o aplicación, cuando falla una máquina virtual de punto de venta o se daña una aplicación. La recuperación con un solo clic restaura la máquina virtual en la sucursal, o temporalmente en la sede central mientras se sustituye el hardware de la sucursal. Fallo de toda la sucursal, ya sea por incendio, inundación, ransomware o fallo de hardware. Toda la sucursal se recupera en un sitio de sustitución o en Nutanix Clusters en AWS o GCP para su funcionamiento temporal.

En los tres casos, la recuperación la controla el administrador o el inquilino. El personal de la sucursal recupera lo que está dentro de su ámbito de competencia. No tienen visibilidad sobre otras sucursales. Esto es importante en entornos minoristas y de franquicias, donde varios operadores comparten la infraestructura.

Preguntas frecuentes sobre la protección de datos en entornos ROBO

¿Necesito una infraestructura de copia de seguridad en cada sucursal?

No, y esa es la clave. Con la «copia de seguridad desde réplica», la sucursal replica los datos al centro de datos y el proceso de copia de seguridad propiamente dicho se ejecuta de forma centralizada. No hay servidores de copia de seguridad en la sucursal, ni dispositivos, ni almacenamiento propietario. La sucursal envía los datos modificados una sola vez para su replicación, y la sede central se encarga del resto.

¿Es suficiente la replicación para la recuperación ante desastres en entornos ROBO? 

No. La replicación copia el estado actual, lo cual resulta útil para la conmutación por error, pero es inútil si el origen está dañado, ya que el daño también se replica. ROBO necesita tanto la replicación para una conmutación por error rápida como una copia de seguridad con retención para una recuperación limpia en un momento determinado. La regla 3-2-1 se aplica a las sucursales tanto como a la sede central. 

¿Cómo se gestiona la pérdida total de un sitio?

Si una sucursal no se puede recuperar in situ —ya sea por incendio, inundación o un fallo prolongado del hardware—, las cargas de trabajo se restauran en Nutanix Clusters en AWS o GCP. Las mismas políticas, el mismo modelo de recuperación. Las operaciones continúan desde la infraestructura alojada en la nube hasta que la sucursal vuelve a estar en línea. Las cargas de trabajo se trasladan de vuelta más tarde sin necesidad de modificar la configuración.

¿Qué ocurre con las sucursales con mala conectividad?

La replicación es la única actividad que consume ancho de banda de la WAN. Tenemos clientes que operan con enlaces de 5 Mbps. La replicación se configura para adaptarse al ancho de banda disponible, y el centro de datos se encarga de todo lo demás. Si el enlace de la sucursal es realmente inutilizable, la arquitectura no es de ayuda, pero tampoco lo es ninguna otra opción, salvo el envío de cintas por correo. 

Si gestiona más de 10 sucursales, merece la pena que lo comente con nosotros

La mayoría de las arquitecturas ROBO que sustituimos gestionan entre 20 y 500 sucursales con dispositivos de copia de seguridad en cada sede. El cálculo de sustituirlas por la «copia de seguridad desde réplica» suele amortizarse en el primer año solo por el ahorro que supone evitar la renovación del hardware. La mejora operativa suele ser mayor que el ahorro de costes, pero más difícil de cuantificar de antemano. Hable con su equipo de cuentas si esto se ajusta a su entorno.