Backup en cinta: rotación, custodia y comprobación de las copias

Qué vas a conseguir

Una copia que está fuera de la red y fuera del edificio, que se puede leer y de la que sabes qué contiene. En una empresa de retail la cinta suele vivir en la oficina central: el servidor del ERP, los ficheros de departamento y la copia de las bases de datos de ventas que llegan cada noche de las tiendas. La cinta no es la primera línea de restauración (para eso está el disco), es la copia que sobrevive a un ransomware o a un incendio. Y el trabajo es sobre todo de rutina: cambiar cintas, apuntar, comprobar.

Antes de empezar

• Una librería o autocargador LTO (LTO-8 o LTO-9 son lo habitual hoy) con lector de códigos de barras, conectada al servidor de backup.
• El software de copia con la librería dada de alta (en los ejemplos, Veeam Backup & Replication con trabajos de cinta).
• Cintas de datos suficientes para la rotación, más un 20 % de reserva, y cintas de limpieza compatibles.
• Una persona responsable y una suplente para el cambio de cintas: en la oficina central no siempre hay alguien de IT a primera hora.
• Un acuerdo con la empresa de custodia (o una caja fuerte ignífuga en otra sede) y su registro de entregas.

1. La rotación GFS

GFS (abuelo, padre, hijo) combina cintas que se reutilizan pronto con otras que se guardan mucho tiempo:

• En Veeam, la rotación se define en el media pool: uno estándar para las diarias y uno GFS para semanales, mensuales y anuales, cada uno con su retención.
• La retención la decide negocio y finanzas, no IT. Apunta quién lo aprobó.
• Una cinta WORM (escritura única) para la mensual o la anual tiene sentido si la auditoría lo pide: no se puede borrar ni con permisos de administrador.

2. Etiquetas, custodia y cifrado

• Código de barras en cada cinta: seis caracteres más el tipo de soporte, por ejemplo HQ0012L9 para una LTO-9. Nunca se escribe a mano sobre la etiqueta.
• Un registro de movimientos: qué cinta sale, cuándo, quién la entrega y quién la recibe. La empresa de custodia firma; tú guardas la copia.
• Las cintas que salen de la oficina van cifradas. Las unidades LTO cifran por hardware con AES-256; en Veeam se activa en las opciones del media pool con una contraseña.
• La contraseña de cifrado va al gestor de contraseñas del equipo y a un sobre cerrado en la caja fuerte. Sin ella, la cinta no vale nada, tampoco para ti.

En Veeam, los vaults reflejan dónde está cada cinta que no está en la librería. Mueve la cinta al vault de custodia cuando sale, y sabrás qué pedir de vuelta sin buscar en una hoja.

3. La revisión diaria de los trabajos

Cada mañana, antes de las 10:00, alguien mira:

1. El resultado de los trabajos de cinta de la noche: Success, Warning o Failed.
2. Los Warning también se leen: un fichero bloqueado o una máquina que no se copió son copias incompletas.
3. Que la cinta usada es la que tocaba según el calendario y que el tamaño escrito es parecido al de otros días. Una copia de 40 GB donde siempre hay 1,2 TB no es una buena noticia.
4. Qué cintas hay que sacar hoy para la custodia y cuáles vuelven.

›Get-VBRTapeJob | Select-Object Name, LastResult, LastStateName                       LastResult LastState----                       ---------- ---------Cinta-Diaria-Oficina          Success   StoppedCinta-Semanal-Oficina          Failed   StoppedCinta-Mensual-Oficina         Success   Stopped

El mismo resumen sirve para una alerta: si algún trabajo no está en Success, se abre un ticket automático antes de que llegue nadie.

4. El ticket: "el trabajo de backup ha fallado: la cinta está protegida / sin caducar / no está en la librería"

Viernes, 8:30. El trabajo semanal de la noche ha fallado o se ha quedado esperando cinta.

• Protegida contra escritura: la pestaña física de la cinta está en la posición de bloqueo. Se saca, se cambia la pestaña y se vuelve a meter, después de comprobar que no es una cinta que alguien protegió a propósito (una mensual que debía ir a custodia).
• Sin caducar: la cinta pertenece a un media set cuya retención no ha terminado, así que el software no la sobrescribe. Es lo correcto. El problema es que no hay cintas libres: falta reserva, o volvieron de custodia cintas que aún no tocaba. Se mete una cinta libre o se añade una nueva al pool.
• No está en la librería: la cinta del calendario sigue en custodia o en el cajón de alguien. Se mete una libre del mismo pool y se anota el cambio.
• Cinta desconocida: tras meter cintas nuevas o devueltas, lanza Inventory para que la librería las lea. Si vienen de otro sistema, Catalog lee su contenido.
• Al resolver, relanza el trabajo y no lo dejes para el lunes: la copia de la semana es la que va a custodia.

5. La prueba de restauración mensual

Una copia que nunca se ha restaurado no es una copia. Una vez al mes:

1. Elige una cinta de custodia (no la de anoche) y pídela de vuelta.
2. Restaura algo concreto y comprobable: una carpeta de un departamento, una base de datos de ventas a un servidor de pruebas o una máquina virtual completa a una red aislada.
3. Comprueba que se abre: el fichero se lee, la base de datos arranca, la máquina inicia.
4. Apunta en el registro: cinta, qué se restauró, cuánto tardó y quién lo validó.

El tiempo de restauración es el dato que pedirá dirección cuando haya un problema real. Con LTO-9, leer varios TB lleva horas: que nadie descubra ese número en mitad de una crisis.

6. Limpieza y errores de la unidad

• La unidad pide limpieza cuando lo necesita (alerta TapeAlert o aviso en la librería). Programa la limpieza automática si la librería lo permite, con una cinta de limpieza en una ranura reservada.
• Una cinta de limpieza tiene un número limitado de usos (unos 50). Apunta cuándo se cambió.
• Si los errores de lectura o escritura se repiten con varias cintas, el problema es la unidad: limpia y, si sigue, llama al soporte del fabricante con el registro de la librería.
• Si se repiten con una sola cinta, esa cinta se retira, se destruye de forma segura y se registra.
• Las cintas se guardan verticales, en su caja, lejos del calor y de imanes. Una cinta que vuelve de custodia en pleno verano se aclimata unas horas antes de usarla.

Siguientes pasos

• La guía de Veeam Backup explica los trabajos y repositorios en disco que la cinta complementa.
• Backup y DR/BCP sitúa la cinta dentro del plan de continuidad y la regla 3-2-1.
• ISO 27001/NIS2/RGPD en IT cubre la custodia, el cifrado y la destrucción de soportes.
• Windows Server ayuda con el servidor de backup y su almacenamiento.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.