El estado de la recuperabilidad en 2026

La recuperación ante desastres, como disciplina, parte de un supuesto fundamental: el sistema ha fallado y el entorno que lo rodea es «honesto». Una inundación no roba credenciales. Un corte de electricidad no busca repositorios de copia de seguridad. La infraestructura de recuperación, en todos los modelos tradicionales de recuperación ante desastres, se encuentra a salvo, al margen del incidente.

El ransomware da la vuelta a cada una de esas suposiciones, y los datos sobre incidentes muestran hasta qué punto lo hace de forma metódica. Dos tercios de las intrusiones comienzan por la identidad, según los datos globales sobre incidentes de Palo Alto Networks para 2026, y el robo de credenciales se ha situado como la técnica de intrusión más habitual durante una década, según el análisis a largo plazo del Instituto Cyentia. Esa estadística tiene una consecuencia en la recuperación que la mayoría de los planes de continuidad nunca tienen en cuenta. Las cuentas, los servicios de directorio y las rutas administrativas que una organización tendría que recuperar ocupan el mismo plano de identidad que el atacante acaba de apropiarse. Los equipos de recuperación se enfrentan habitualmente a la tarea de restaurar un entorno utilizando credenciales en las que ya no pueden confiar, dentro de un directorio que puede estar, a su vez, comprometido. Los datos de campo de Fenix24 concretan esta relación. Active Directory está presente prácticamente en todas las recuperaciones que lleva a cabo nuestro equipo de expertos en brechas de seguridad, normalmente como el primer sistema importante comprometido, y la infraestructura de copias de seguridad suele estar vinculada al mismo directorio. Cuando la gestión de la infraestructura depende del proveedor de identidades de la empresa, la restauración comienza con la reconstrucción de la identidad o con el rediseño completo de la autenticación, antes de que el primer sistema pueda volver a funcionar con seguridad.

La identidad es la primera limitación. El tiempo es la segunda. El tiempo medio de propagación desde el acceso inicial hasta el movimiento lateral se redujo a 29 minutos en 2025, según los datos globales sobre amenazas de CrowdStrike, habiéndose observado un mínimo de 27 segundos y casos en los que los datos abandonaron a una víctima en tan solo cuatro minutos tras la entrada. Cualquier modelo de recuperación que dependa de convocar una reunión, localizar un manual de procedimientos y escalar el problema a la dirección opera con unos plazos que el adversario abandonó hace años.

La infraestructura de copias de seguridad es un objetivo prioritario y específico, por una razón más económica que técnica. Una organización capaz de restaurar sus datos no tiene motivos para pagar. Destruir la vía de restauración es lo que convierte un incidente informático en un caso de extorsión a nivel directivo, razón por la cual la existencia de las copias de seguridad y su capacidad de supervivencia se han convertido en propiedades distintas. Un repositorio al que se puede acceder con las mismas credenciales, en la misma red y en el mismo directorio que el entorno de producción es, desde el punto de vista del atacante, simplemente otro objetivo con una carga útil más valiosa. Y la supervivencia no es el último obstáculo. En el 38 % de los casos de Fenix24 en los que las copias de seguridad salieron intactas o casi intactas del ataque, aún así no fue posible llevar a cabo la recuperación. Los datos eran demasiado antiguos para reanudar las operaciones, estaban incompletos o dañados mucho antes del ataque, eran del tipo incorrecto para la carga de trabajo o su restauración resultaba más lenta que reconstruir el sistema desde cero. Algunos llegan etiquetados como «inmutables» mientras se ejecutan en una infraestructura incapaz de garantizar la inmutabilidad. La existencia, la capacidad de supervivencia y la usabilidad son tres propiedades diferentes, y solo la tercera permite recuperar un negocio.

El ataque en sí mismo sigue evolucionando. Según el análisis de siniestros de Allianz, la exfiltración apareció en el 40 % de los siniestros de gran cuantía a principios de 2025, casi el doble que el año anterior, mientras que las tasas de cifrado cayeron a su nivel más bajo en seis años. Una proporción cada vez mayor de incidentes no llega a bloquear la pantalla. Roban datos, desvían fondos o socavan la confianza en los sistemas de identidad. Recuperarse de una situación en la que «no podemos confiar en nuestro directorio» es un proyecto distinto a recuperarse de una en la que «nuestros archivos están cifrados», y un programa de resiliencia operativa debe ser capaz de hacer frente a ambas situaciones.

Todas las deficiencias que ha detectado este análisis se reducen a la misma carencia de capacidad. Las organizaciones no pueden ofrecer una respuesta, validada de forma continua y respaldada por datos, sobre lo que ocurre tras el impacto: qué servicios empresariales se restablecen, en qué orden, en cuántas horas y con qué grado de confianza.

Veinte años de inversión en seguridad han permitido desarrollar herramientas precisas para la resistencia. El sector puede contabilizar los puntos finales, puntuar las vulnerabilidades y clasificar las exposiciones en tiempo real, porque decidió que esas cifras eran importantes y creó los sistemas necesarios para generarlas. Sin embargo, nunca creó el equivalente para la recuperación. La recuperación se clasificó dentro de las operaciones de TI, se regía por documentos y se medía mediante certificaciones, lo que explica por qué un sector capaz de describir su superficie de ataque con gran detalle acabó siendo incapaz de afirmar, con pruebas, cuántas horas transcurren entre un entorno destruido y un negocio en funcionamiento.

Esa asimetría se está corrigiendo ahora, y todas las fuerzas mencionadas en este informe empujan en la misma dirección. Las aseguradoras valoran la capacidad de recuperación porque la interrupción de la actividad empresarial representa la mayor parte de lo que pagan. Los reguladores están incorporando a la legislación medidas de recuperación probadas y comienzan a rechazar los planes sobre el papel. Los consejos de administración han pasado de preguntarse si la organización está segura a preguntarse cuánto tiempo estaría inactiva. El consenso de los analistas ha redefinido el objetivo en torno a sobrevivir al impacto, en lugar de evitarlo. De forma independiente entre sí, las instituciones que valoran el riesgo, lo hacen cumplir, lo regulan y lo estudian han llegado a una conclusión a la que los especialistas en recuperación ya habían llegado hace años desde dentro de los incidentes: la resistencia es necesaria, pero la recuperación es lo que mantiene a la empresa en pie después. La próxima década de inversión en seguridad seguirá esa línea, centrándose en herramientas para la recuperación tan rigurosas como las creadas para la defensa.

Su implementación exige dos elementos que el modelo actual separa. El primero es la medición: una lectura continua y respaldada por pruebas de lo que la empresa podría restaurar realmente y con qué rapidez, en sustitución de la certificación anual que solo satisface al auditor y no predice nada. El segundo es la ejecución, ya que la medición por sí sola no cambia ningún resultado. Una evaluación no refuerza un repositorio de copias de seguridad. Un mapa de dependencias no aísla el nivel de identidad del que depende una restauración. Un hallazgo, por muy preciso que sea, nunca ha vuelto a poner en funcionamiento un servicio empresarial. Las organizaciones que lo hagan bien tratarán la recuperabilidad de la misma manera que el sector ha aprendido a tratar la detección: instrumentada, gestionada y ejercitada de forma continua, asumida como un resultado empresarial en lugar de delegada como una tarea de TI.

No es ningún misterio qué debe tener en cuenta esa medición. Los fallos que determinan los plazos de recuperación son constantes y se repiten en todos los sectores y tipos de incidentes. Se trata de condiciones que ya existían antes de que apareciera el atacante y que habrían sido visibles para cualquiera que las hubiera evaluado.

Cada elemento de esa lista se puede conocer de antemano. La capacidad de almacenamiento, la facilidad de uso de las copias de seguridad, los mapas de dependencias, las rutas de recuperación de identidades y los derechos de decisión se pueden medir, puntuar y corregir antes de que se produzca un incidente, en lugar de descubrirse en pleno incidente. Esa es la disciplina que el sector está poniendo en marcha ahora, y merece un nombre que aún no se utiliza de forma generalizada. Fenix24 la denomina «inteligencia de recuperabilidad»: la disciplina de medir, de forma continua y en condiciones reales, lo que una empresa podría restaurar realmente y con qué rapidez: sus dependencias, la viabilidad de las copias de seguridad, la secuencia de recuperación y los tiempos de recuperación alcanzables; la medición continua y basada en pruebas de lo que una empresa puede restaurar y con qué rapidez, construida según el mismo estándar que el sector ya aplica para medir cómo puede ser atacada. La detección indicaba a las organizaciones lo que les estaba sucediendo. La «inteligencia de recuperabilidad» les indica lo que recuperarían, antes de que llegue el día en que tengan que averiguarlo.

Ese día ya no es una hipótesis para nadie. La pregunta a la que se enfrenta ahora toda organización ya no es cómo evitar el ataque, sino qué ocurre cuando el entorno se queda a oscuras. ¿Podrán restablecerse las operaciones antes de que el negocio desaparezca? La prevención siempre fue el problema más fácil de poner en práctica, y la recuperación siempre fue la que decidía si la empresa sobrevivía. La revisión que se está llevando a cabo entre aseguradoras, organismos reguladores, consejos de administración y analistas no es más que la corrección por parte del mercado de un error de medición que se ha ido acumulando durante décadas.

La corrección premia a las organizaciones que actúan primero y castiga a las que esperan, porque la capacidad de recuperación no se puede adquirir en el momento en que se necesita. Se construye en silencio con antelación o no existe en absoluto, y el entorno sigue cambiando independientemente de quién lo observe. Cada trimestre en el que una empresa trata la recuperación como un mero documento en lugar de como una capacidad probada es un trimestre en el que su postura real se aleja aún más de lo que afirma su plan, hasta que un atacante aprovecha esa diferencia. Las organizaciones que interioricen esto podrán hacer frente al peor día al que se enfrentará jamás su negocio y seguirán operando. Las que no lo hagan se enfrentarán a él tal y como describen los datos de incidentes de este informe, descubriendo lo que realmente podían recuperar en el único momento en que ya no se puede cambiar nada. La resistencia determina la frecuencia con la que llega ese día. La recuperación determina si sigue habiendo un negocio al otro lado de él. El sector está midiendo por fin lo que realmente importa.