Plan práctico de recuperación web para pymes europeas

Anota las funciones que sostienen la actividad, no todos los componentes técnicos. Un restaurante puede priorizar horario, carta y reservas. Una clínica veterinaria quizá necesite antes el teléfono y las indicaciones urgentes. Un taller náutico puede depender del formulario y de la zona de servicio. Ordena cada función y prepara una alternativa temporal que el equipo sepa activar.

Define dos límites realistas: cuánto tiempo puede funcionar el negocio sin esa función y cuántos datos recientes podría reconstruir. Son decisiones del negocio, no garantías del proveedor. Ayudan a fijar la frecuencia de copia y el orden de restauración. No adoptes objetivos propios de una gran empresa si nadie los ha probado ni dispone de medios para cumplirlos.

Prepara un registro privado del dominio, DNS, alojamiento web, plataforma, analítica, envío de formularios y correo corporativo. Para cada cuenta incluye titular dentro de la empresa, proveedor, fecha de renovación, método de recuperación y lugar donde se guardan las instrucciones. No escribas contraseñas en el plan; utiliza un gestor seguro y activa la verificación en dos pasos cuando exista.

El dominio merece una línea propia. ICANN llama registrante a la persona o entidad que posee los derechos sobre un dominio registrado y recuerda que hay que renovarlo para mantener los servicios asociados. Usa como registrante una dirección controlada por la empresa, actualiza los datos, activa avisos y nombra un segundo responsable. Los dominios territoriales pueden seguir las normas de su registro local.

Un conjunto completo puede incluir archivos o código fuente, base de datos, imágenes y documentos, configuración, registros DNS, redirecciones, ajustes de formularios y lista de servicios conectados. Una instantánea del alojamiento quizá no incluya el dominio, formularios externos o contenido guardado en otra plataforma. Pide al proveedor que detalle contenido, frecuencia y tiempo de conservación de versiones.

ENISA explica la regla 3-2-1: tres copias, en dos tipos de soporte y una fuera de las instalaciones. El NCSC aconseja separar las copias de los sistemas protegidos para que un mismo incidente no alcance ambos. Adáptalo a tu plataforma. Una carpeta sincronizada ayuda en el trabajo diario, pero también puede replicar un borrado accidental o un cambio malicioso.

Un aviso de copia correcta demuestra que se intentó crearla, no que la web pueda recuperarse. Programa una prueba controlada en un entorno separado. Comprueba páginas, imágenes, idiomas, formularios, redirecciones y acceso de administración. Registra qué copia se usó, cuánto duró, qué faltó y quién dio el resultado por válido.

Haz una prueba ligera después de cambios grandes y un ensayo completo con una frecuencia que la empresa pueda mantener. Nunca sobrescribas la web pública solo para probar. Si lo hace un proveedor, pide un resultado comprensible y una lista de carencias. El plan debe cambiar si falla un formulario o faltan ajustes DNS; ignorarlo crea una seguridad ficticia.

La primera página debe poder leerse bajo presión. Indica quién coordina, quién llama al proveedor, quién informa a clientes y quién anota decisiones. Empieza conservando pruebas y confirmando los síntomas desde un dispositivo y una conexión fiables. No borres registros, reconstruyas todo ni anuncies una causa antes de entender qué sucede.

La guía del NCSC propone preparar, identificar, resolver, informar a las partes pertinentes y aprender después. Incluye contactos urgentes del proveedor, escalado interno, un mensaje temporal aprobado y la vía nacional adecuada para comunicar incidentes. Las obligaciones cambian según país y caso; si pueden aplicarse, busca asesoramiento local cualificado.

Cada trimestre, la dirección y el proveedor web pueden dedicar 20 minutos a confirmar titulares y contactos, revisar renovaciones del dominio y alojamiento, localizar la última copia separada, repasar cambios importantes y comprobar el contacto temporal. Cada punto debe tener nombre y fecha, no un impreciso «lo lleva informática».

Tras una interrupción, anota qué vieron los clientes, qué funcionó, qué retrasó la vuelta y qué instrucción faltaba. Actualiza el plan y elimina accesos antiguos. El resultado útil es una hoja privada apoyada por registros de cuentas y copias. No elimina todos los riesgos, pero ofrece al equipo un camino ordenado y comprobable para recuperar los servicios esenciales.