El artículo 37 de la Ley Orgánica de Protección de Datos Personales de Ecuador cita, entre las medidas posibles, las dirigidas a mantener la disponibilidad de los sistemas y el acceso a los datos de forma rápida en caso de incidentes. Esa frase describe con precisión lo que la seguridad pasiva informática hace: recuperar lo que se perdió.
La seguridad activa recibe casi toda la atención porque promete que nada malo va a pasar. La pasiva parte de una premisa más honesta: algo va a fallar tarde o temprano, sea un disco, la energía o una persona que abre el adjunto equivocado. Esta guía explica sus medidas, cómo funcionan y cómo comprobar que de verdad sirven.
Qué es la seguridad pasiva informática
La seguridad pasiva informática es el conjunto de medidas que actúan cuando el incidente ya ocurrió o está ocurriendo. No intentan impedirlo, sino reducir el daño y devolver la información y los servicios a un estado utilizable. Sus herramientas típicas son las copias de seguridad, la redundancia de equipos, la energía de respaldo y los planes de recuperación y respuesta.
Respecto de la tríada clásica, protege sobre todo la disponibilidad y luego la integridad: permite volver a una versión correcta de los datos después de una alteración. La confidencialidad casi no se recupera, porque un dato filtrado no vuelve. Los objetivos completos de la disciplina se explican en la guía de qué es la seguridad informática.
Las medidas que intentan impedir el incidente, como la autenticación, el cifrado o el firewall, pertenecen a la otra mitad, desarrollada en la guía de seguridad activa en informática. Una empresa que invierte solo en una de las dos mitades descubre el hueco en el peor momento posible, normalmente un viernes por la noche.
Cómo funciona: contener, recuperar y aprender
La seguridad pasiva informática sigue una secuencia. Primero contiene el daño: un SAI mantiene el servidor encendido, un RAID sigue con un disco muerto, el plan ordena desconectar el equipo infectado. Después recupera: se restaura la copia, se reinstala la imagen del sistema, se levanta el servicio en el equipo de respaldo. Por último, los registros explican qué pasó.
Dos números ordenan esa recuperación. El RPO, o punto de recuperación objetivo, indica cuántos datos se pueden perder: con copias nocturnas, hasta un día de trabajo. El RTO, o tiempo de recuperación objetivo, indica cuánto puede durar la interrupción. Fijarlos antes de comprar nada evita pagar por una solución que no cumple o por otra excesiva.
Medidas de seguridad pasiva informática
Las medidas pasivas se agrupan en cuatro familias: copias de los datos, redundancia de componentes, energía de respaldo y procedimientos. ISO/IEC 27001:2022 las recoge en controles concretos del Anexo A: 8.13 para las copias, 8.14 para la redundancia, 7.11 para los servicios de suministro como la electricidad y 5.29 y 5.30 para la continuidad durante una interrupción.
Copias de seguridad
Son la medida pasiva más importante y la más descuidada. INCIBE presenta en su guía para empresarios la estrategia 3-2-1: tres copias de los datos, en dos soportes distintos y una de ellas fuera de la oficina. La guía insiste también en proteger las copias con cifrado, controlar su periodo de conservación y probar la restauración con regularidad.
Frente al ransomware, la copia externa debe estar desconectada o ser inmutable, es decir, imposible de borrar durante un plazo. Un disco externo que queda enchufado al servidor se cifra junto con el resto. Las opciones prácticas de soportes, frecuencias y tipos de copia se detallan en la guía sobre copias de seguridad y la regla 3-2-1.
Imágenes del sistema y versiones anteriores
Una copia de archivos devuelve los documentos, pero no el equipo listo para trabajar. Una imagen del sistema guarda el disco completo, con sistema operativo, programas y configuración, y permite reinstalar una computadora en una hora en lugar de un día entero. Es la medida adecuada para el servidor de facturación o para el equipo de quien no puede parar.
Las versiones anteriores resuelven el incidente más común de todos, el archivo sobrescrito o borrado por error. Windows ofrece el Historial de archivos, macOS incluye Time Machine y los servicios de nube como OneDrive o Google Drive conservan versiones previas durante un tiempo. Conviene revisar ese plazo, porque cambia según el servicio y el plan contratado.
RAID: redundancia, no copia
Un arreglo RAID reparte o duplica los datos entre discos para que el sistema siga funcionando si uno falla. Es una medida pasiva valiosa, pero no es una copia de seguridad. Si alguien borra un archivo, se borra en todos los discos; si un ransomware lo cifra, queda cifrado en todos. Tampoco protege frente a un incendio o un robo.
Esta confusión cuesta datos con frecuencia, sobre todo en pequeñas oficinas que compran un NAS con dos discos en espejo y creen haber resuelto el respaldo. El espejo resuelve la falla de un disco y nada más. Ese mismo NAS necesita una copia adicional hacia otro soporte o hacia la nube para cumplir la función que su dueño le atribuye.
SAI o UPS y redundancia de equipos
Un sistema de alimentación ininterrumpida, SAI en España o UPS en buena parte de América Latina, da minutos de batería ante un corte o una caída de tensión. Su objetivo no es seguir trabajando horas, sino guardar el trabajo y apagar servidores y equipos de red de forma ordenada, sin corromper bases de datos ni sistemas de archivos.
La redundancia lleva la misma idea a otros componentes: dos fuentes de poder, dos proveedores de internet o un segundo servidor que asume el servicio si el principal se detiene. En Ecuador, desde que los cortes programados de abril de 2024 impusieron turnos de dos a ocho horas diarias sin luz, el SAI dejó de parecer un lujo.
Planes de recuperación y respuesta a incidentes
Un plan de recuperación ante desastres describe cómo volver a operar después de un evento grave: qué sistemas se restauran primero, desde qué copias, con qué personas y en qué orden. Debe estar impreso o guardado fuera de los sistemas afectados, porque un plan que vive solo en el servidor cifrado no sirve el día que hace falta.
La respuesta a incidentes es la parte organizada de la seguridad pasiva informática. El NIST publicó en abril de 2025 la revisión 3 de la guía SP 800-61, que la integra en el CSF 2.0 y sustituye a la de 2012. Todo plan debe responder quién decide, a quién se avisa, qué se desconecta y cómo se conserva la evidencia.
Registros para el análisis posterior
Los registros de actividad, o logs, guardan quién inició sesión, desde dónde, qué archivos cambió y qué procesos se ejecutaron. Durante el ataque no detienen nada, pero después permiten reconstruir los hechos, cerrar la puerta por la que entró el atacante y aportar evidencia a una denuncia o a la autoridad de protección de datos.
Para que esos registros sirvan como evidencia deben guardarse fuera del equipo afectado, con la hora sincronizada y durante un plazo suficiente. Un atacante con permisos de administrador suele borrar los registros locales como último paso. Enviar una copia a un servidor central o a un servicio externo es una medida barata que rara vez se aplica.
La definición del currículo de FP en España
En España, el módulo 0226 de Seguridad informática del título de Técnico en Sistemas Microinformáticos y Redes, regulado por el Real Decreto 1691/2007, dedica su primer resultado de aprendizaje a aplicar medidas de seguridad pasiva. Sus criterios incluyen la ubicación física de los equipos, las condiciones ambientales y el funcionamiento de los sistemas de alimentación ininterrumpida.
Aquí viene una rareza que conviene conocer antes de un examen. Ese mismo bloque oficial de seguridad pasiva incluye la política de contraseñas, las listas de control de acceso y los sistemas biométricos, que casi cualquier otro texto clasifica como seguridad activa. Las copias de seguridad, en cambio, aparecen en un resultado separado sobre almacenamiento e integridad de la información.
Parece que el temario agrupa bajo la etiqueta pasiva la protección del entorno, en lugar de usar el criterio de antes o después del incidente. En el examen de FP vale la respuesta del temario; para gestionar riesgos reales, el criterio temporal sirve más. La tabla de diferencias está en la comparación de seguridad activa y pasiva.
Ejemplos de seguridad pasiva en casa y en la empresa
En casa, los ejemplos son sencillos: la copia automática de fotos en la nube, un disco externo con documentos que se conecta una vez por semana y se desconecta después, y una regleta con protección contra picos de tensión para la computadora. Con esas tres medidas, un celular robado o un disco que muere dejan de ser una tragedia.
En una empresa, los ejemplos de seguridad pasiva informática dependen del tamaño, pero la lógica es la misma. La tabla relaciona incidentes frecuentes con la medida que limita el daño y lo que permite recuperar. Si alguna fila no tiene respuesta en su organización, ahí está la siguiente compra o, más a menudo, el siguiente procedimiento por escribir.
| Incidente | Medida pasiva | Qué permite recuperar |
|---|---|---|
| Falla de un disco del servidor | RAID en espejo o con paridad | El servicio sigue sin interrupción |
| Corte de electricidad | SAI con apagado automático | Bases de datos sin corrupción |
| Ransomware en la red | Copia inmutable o desconectada | Los datos hasta la última copia |
| Borrado accidental de un archivo | Versiones anteriores y copia diaria | El archivo tal como estaba ayer |
| Robo de una laptop | Copia en la nube y plan de respuesta | Los documentos y un aviso a tiempo |
| Intrusión en el correo | Registros centralizados | La reconstrucción de lo que se hizo |
Un caso que los planes suelen olvidar es el ransomware que cifra también las copias. La guía de ransomware de CISA advierte que muchas variantes buscan las copias accesibles para borrarlas o cifrarlas, precisamente porque son la defensa pasiva más eficaz. Por eso la copia desconectada o inmutable no es un refinamiento opcional, sino la diferencia entre restaurar y pagar.
Cómo comprobar que las medidas pasivas funcionan
Una medida pasiva que nunca se probó es una suposición. Las comprobaciones no requieren herramientas especiales, solo una fecha en el calendario y alguien responsable de cumplirla. Un buen punto de partida es repetir estas cinco pruebas cada trimestre y anotar el resultado, incluido el tiempo que tomó cada una, porque ese tiempo es su RTO real.
- Restaure un archivo y una carpeta completa desde la copia más reciente y desde una de hace un mes.
- Desconecte el SAI de la corriente y compruebe cuántos minutos aguanta y si el servidor se apaga solo.
- Revise el estado de los discos del RAID en el panel del servidor o del NAS.
- Confirme que la copia fuera de la oficina se completó y que nadie puede borrarla desde la red interna.
- Lea el plan de respuesta y verifique que los teléfonos y nombres siguen siendo correctos.
En Ecuador, esas pruebas tienen además valor legal. El artículo 37 de la LOPDP exige evaluar de forma continua la eficacia de las medidas técnicas, y el artículo 43 fija cinco días para notificar una vulneración. Un registro firmado de cada prueba de restauración, guardado junto al plan, es la evidencia más simple de que esa evaluación existe.