DefiniciónEl RTO (Recovery Time Objective) es el tiempo máximo aceptable para restablecer un sistema o proceso tras una interrupción. El RPO (Recovery Point Objective) es la cantidad máxima de datos, medida en tiempo, que se puede perder. Juntos orientan el backup y la continuidad.
RTO vs RPO
- El RTO mira hacia adelante desde la interrupción: cuánto tiempo puede estar caído el servicio antes de que el impacto en el negocio sea inaceptable.
- El RPO mira hacia atrás: hasta qué punto en el tiempo deben recuperarse los datos. Un RPO de cuatro horas exige copias o replicación al menos cada cuatro horas.
Ambos son independientes. Un sistema de pagos puede tolerar algunas horas fuera de servicio, pero no puede perder transacciones (RTO moderado, RPO casi cero). Un portal institucional puede estar caído más tiempo y perder un día de cambios sin gran impacto.
Cómo definirlos
RTO y RPO son decisiones de negocio, no de TI. Surgen del análisis de impacto en el negocio (BIA), que parte de los procesos críticos, mide el costo de la interrupción y de la pérdida de datos y llega a los sistemas, proveedores y dependencias que los sostienen. Referencias como NIST SP 800-34 e ISO 22301 tratan este proceso. Cuanto menores los objetivos, más cara la solución: la replicación continua y un entorno redundante cuestan más que un backup diario.
En la práctica
En un ataque de ransomware, un RTO y un RPO definidos de antemano cambian la pregunta del equipo de "¿qué servidor restauramos primero?" a "¿qué servicio debe volver primero para evitar un impacto inaceptable?". Pero solo valen si se prueban: las restauraciones periódicas miden el tiempo real de recuperación y revelan si el backup está íntegro y protegido del propio atacante. Los backups aislados o inmutables, con credenciales separadas del entorno corporativo, son lo que hace alcanzable el RPO cuando el incidente es intencional.
Network Secure ofrece respuesta a incidentes para apoyar la contención y la recuperación dentro de los objetivos definidos por el negocio.
Preguntas frecuentes
¿Cuál es la diferencia entre RTO y RPO?
El RTO mide cuánto tiempo puede estar caído un sistema; el RPO mide cuánta pérdida de datos, en tiempo, es tolerable. Uno se refiere a la disponibilidad y el otro a los datos.
¿Quién define el RTO y el RPO?
Las áreas de negocio, con apoyo de TI y seguridad, a partir de un análisis de impacto en el negocio (BIA). Luego TI elige la solución técnica capaz de cumplirlos.