Alfredo Meza/ BDM en MR Solutions
Las empresas generan información todos los días: copias de seguridad, archivos, correos electrónicos, registros de aplicaciones, máquinas virtuales, bases de datos, informes, imágenes, documentos, etc.
El problema no siempre es cuánto almacenamos.
El verdadero problema es cuando no sabemos qué estamos almacenando, por qué lo estamos almacenando y quién lo está buscando.
Esto se llama Dark Data: datos que una organización conserva pero que ya no utiliza activamente, no tienen la clasificación adecuada o no sabe que todavía están almacenados en su infraestructura.
Y aunque puedan parecer inofensivos, consumen recursos… y crean riesgos.
El primer efecto: almacenamiento que nadie usa.
Piense en un servidor de archivos que ha estado funcionando durante años.
Usuarios que ya no pertenecen a la empresa, copias de seguridad antiguas, proyectos pasados, máquinas virtuales olvidadas, archivos duplicados, registros históricos, bases de datos que ya no se utilizan pueden permanecer en el servidor durante años. El almacenamiento tiene costos. Pero no solo estamos hablando de discos. Puede haber un impacto en:
- Capacidad de respaldo.
- Ventanas de respaldo.
- Replicación a sitios de contingencia.
- Consumo de almacenamiento en la nube.
- Transferencia de información.
- Infraestructura de recuperación ante desastres.
- Licencias asociadas con la capacidad o el volumen protegido.
- Tiempo de administración y monitoreo.
En otras palabras:
Respaldar información que nadie necesita también cuesta dinero.
Pero el problema más importante puede ser la seguridad.
Una noción peligrosa es que “si nadie usa esos datos, entonces no representan un riesgo“.
Puede ser todo lo contrario.
Un archivo olvidado podría contener información confidencial, datos personales, documentos financieros, credenciales antiguas, contratos, información de clientes, propiedad intelectual.
Y si la organización no sabe que esa información existe, probablemente tampoco sepa quién puede acceder a ella.
El Dark Data aumentan silenciosamente el riesgo.
Un atacante no necesita encontrar solo la información que usamos ahora.
Le basta con encontrar información que olvidamos proteger.
El backup no debería ser un almacenamiento infinito.
Aquí ocurre otro fenómeno común.
Durante años hemos estado trabajando bajo una lógica simple:
“Es mejor respaldarlo todo por si lo necesitamos algún día”.
El problema surge entonces cuando tenemos copias de seguridad que no distinguen claramente entre políticas de retención, clasificación y eliminación.
Una copia de seguridad no es un cementerio digital.
Las políticas de protección de la información deben responder solo preguntas muy específicas:
- ¿Qué debemos respaldar?
- ¿Por cuánto tiempo?
- ¿Cuántas versiones necesitamos conservar?
- ¿Dónde deben almacenarse?
- ¿Qué información necesita protección adicional?
- ¿Cuándo debe eliminarse permanentemente?
Guardar todo para siempre no necesariamente significa estar mejor protegido.
La nube no elimina el problema.
Migrar datos a servicios en la nube tampoco hace desaparecer el Dark Data.
De hecho, puede hacerlo menos visibles.
Buckets, snapshots, discos, máquinas virtuales, respaldos, archivos históricos y recursos creados para proyectos temporales pueden permanecer almacenados mucho después de haber cumplido su propósito.
Y en muchos modelos de nube, también ocurre algo muy simple:
Mientras los datos se estén almacenando, alguien pagará por ello.
La nube tiene muchas ventajas de flexibilidad y escalabilidad, eso es muy cierto, pero requiere disciplina en la gobernanza de la información.
¿Qué deberían hacer las organizaciones para comenzar a revisar?
No es necesariamente algo en lo que necesiten embarcarse en un gran proyecto. El primer paso puede ser la visibilidad.
Averiguar cuánto almacenamiento hay, qué hay allí, quién lo tiene, cuándo se usó por última vez y qué políticas de retención están en vigor.
Luego podemos comenzar a clasificar:
- Información activa → Proteger.
- Información histórica necesaria → Archivar.
- Información sensible → Clasificar y controlar.
- Información regulada → Retener según políticas y regulaciones.
- Información duplicada, obsoleta o sin valor → Evaluar para eliminación segura.
Esta clasificación puede tener un impacto significativo en el almacenamiento, la copia de seguridad, la recuperación ante desastres, la seguridad y los costos operativos.
Lo que no sabes también es parte de tu superficie de ataque.
Durante años, las estrategias de infraestructura se centraron predominantemente en proteger servidores, redes y aplicaciones.
Ahora tenemos que añadir otra pregunta:
¿Realmente sabemos qué información estamos protegiendo?
Porque podemos tener firewalls, EDR, copias de seguridad, replicación, monitoreo y controles de acceso… pero si no sabemos qué datos hay en nuestra infraestructura, todavía tenemos un punto ciego.
Y en tecnología, los puntos ciegos con frecuencia son solo costos innecesarios o riesgos de seguridad.
Una pregunta para su próxima reunión de TI.
En lugar de simplemente preguntar:
“¿Cuánto almacenamiento nos queda?” tal vez deberíamos comenzar a preguntar:
“¿Cuánto de lo que estamos almacenando realmente necesitamos?”
Una respuesta que podría sorprendernos.
Y probablemente haya una oportunidad para reducir costos, optimizar la infraestructura y mejorar la postura de seguridad de la organización.
