Puntos clave
- Entiende las métricas básicas: el RTO define el tiempo máximo aceptable para restaurar los sistemas tras una interrupción; el RPO define la pérdida de datos máxima aceptable, medida hacia atrás desde el momento del fallo.
- Asume la responsabilidad de tu recuperación: los proveedores SaaS garantizan la disponibilidad de la plataforma, no la protección de los datos; bajo el modelo de responsabilidad compartida, definir y cumplir los objetivos de RTO y RPO corresponde al cliente, no al proveedor.
- Ajusta los objetivos a la realidad del SaaS: cumplir el RTO y el RPO en la copia de seguridad SaaS depende de la velocidad de restauración, del volumen de datos, de los límites que impone la API del proveedor y de la frecuencia de las copias, no de la disponibilidad de una infraestructura on-premise.
- Refuerza tus defensas frente al ransomware: como los atacantes apuntan cada vez más a las propias copias de seguridad, cumplir el RPO y el RTO durante un ataque exige al menos una copia inmutable, offline o aislada (air-gapped), según la regla 3-2-1-1-0.
- Aplica buenas prácticas: alinea los objetivos con el impacto en el negocio, automatiza las copias de seguridad, prueba la recuperación con regularidad, monitoriza el rendimiento y ten en cuenta elementos nuevos como los agentes de IA y Copilot, que cambian la velocidad a la que se mueven los datos.
La planificación de las copias de seguridad y la recuperación ante desastres se apoya en objetivos que ayudan a las organizaciones a definir qué esperar de una recuperación. Entre ellos están el RTO y el RPO, que establecen con qué rapidez deben recuperarse los sistemas y cuánta pérdida de datos resulta aceptable después de un incidente.
Aunque estos conceptos están muy extendidos en los entornos de TI tradicionales, los factores que afectan al RTO y al RPO pueden ser distintos en los entornos SaaS. En este artículo analizaremos en profundidad el papel del RTO y el RPO en las plataformas SaaS y en los sistemas de copia de seguridad. Así podrás fijar expectativas realistas para tu copia de seguridad SaaS, con una idea clara de cómo funcionan estas dos métricas en entornos SaaS.
Con la copia de seguridad SaaS, el RTO y el RPO son tu responsabilidad
Los proveedores SaaS operan bajo un modelo de responsabilidad compartida: el proveedor garantiza la disponibilidad de la plataforma y de la infraestructura, pero proteger los datos en sí (frente a borrados accidentales, ransomware, amenazas internas o una migración mal hecha) es tarea del cliente.
Microsoft 365, Google Workspace y Salesforce declinan en sus términos de servicio cualquier responsabilidad por la pérdida de datos. Precisamente por eso el RTO y el RPO deben definirse y gestionarse internamente, en lugar de dar por hecho que el SLA del proveedor los cubre.
Qué significan el RTO y el RPO en la copia de seguridad SaaS
Tanto el RTO como el RPO definen límites aceptables de determinados factores antes de que ocurra un desastre. Esto es lo que establece cada uno:
El objetivo de punto de recuperación (RPO) es la cantidad máxima de datos que una organización puede permitirse perder tras un incidente. Se mide hacia atrás desde el momento de la interrupción y determina con qué frecuencia hay que realizar las copias de seguridad para respetar la tolerancia a la pérdida de datos.
El objetivo de tiempo de recuperación (RTO) es el tiempo máximo que el sistema de una organización puede estar desconectado antes de que el impacto en el negocio sea inaceptable. Se mide hacia adelante desde el momento del fallo y define con qué rapidez deben volver a estar online los servicios.
Ambos objetivos se fijan antes de un desastre; no son mediciones de lo que ocurrió realmente.
| RTO | RPO | |
| Qué mide | Tiempo de inactividad | Pérdida de datos |
| Dirección | Hacia adelante desde el fallo | Hacia atrás desde el fallo |
| Depende de | Velocidad de restauración, volumen de datos, límites de la API | Frecuencia de las copias de seguridad, automatización |
| Quién lo gestiona | TI/operaciones | TI/operaciones + gobernanza de datos |
Descubre cómo ajustar las expectativas de recuperación a lo que necesita realmente cada sistema.
RTO frente a RPO en entornos SaaS
El RTO y el RPO miden lo mismo con independencia del entorno. Lo único que cambia en el caso de la copia de seguridad SaaS es el conjunto de variables que determina si esos objetivos pueden cumplirse de forma realista cuando toca restaurar.
- Qué determina el RTO en la copia de seguridad SaaS:
- La rapidez con la que se pueden restaurar los datos mediante el proceso de restauración de la solución de copia de seguridad
- El volumen de datos que hay que recuperar, ya que los conjuntos de datos más grandes tardan más en restaurarse
- Los límites de uso de la API que impone el proveedor (por ejemplo, los límites de frecuencia de Microsoft Graph API y de la API de Google Workspace), que marcan un techo a la velocidad de escritura de los datos por mucho ancho de banda o presupuesto que tengas
- Qué determina el RPO en la copia de seguridad SaaS:
- La frecuencia de las copias de seguridad, que determina directamente el tamaño de la posible ventana de pérdida de datos
- Si las copias de seguridad están automatizadas y se ejecutan de forma constante, sin huecos
- La velocidad a la que cambian los datos entre copias en los distintos usuarios y sistemas
¿Cómo cambia el SaaS las expectativas de RTO?
En el contexto de la copia de seguridad SaaS, el RTO se reduce a restaurar los datos de forma eficiente. Esto hace que el RTO dependa en gran medida del rendimiento de la restauración y del tamaño de los datos, más que de la disponibilidad de la infraestructura. Los factores clave que afectan al RTO son:
- El volumen de datos que se restaura
- La velocidad de las operaciones de restauración a través de las API
- Los límites que impone el proveedor SaaS durante la restauración de los datos
¿Cómo cambia el SaaS las expectativas de RPO?
Por su parte, el RPO en la copia de seguridad SaaS está ligado a la frecuencia de las copias y a la captura de datos. Hay que tener en cuenta sobre todo:
- Los cambios frecuentes en los datos SaaS de los distintos usuarios y sistemas
- Los intervalos entre copias de seguridad, que determinan cuántos datos se pueden perder
- Los huecos entre copias, que representan una posible pérdida de datos
- La retención nativa (por ejemplo, una papelera de reciclaje), que no es una copia de seguridad y que un atacante puede vaciar, eliminando por completo ese punto de recuperación
Mejorar el RPO significa reducir los huecos entre copias de seguridad. Para ello hace falta:
- Mayor frecuencia de copias de seguridad
- Una automatización fiable
- Monitorización constante del éxito de las copias
Impacto del RTO y el RPO en las estrategias de recuperación SaaS
El RTO y el RPO condicionan cómo se construye y se mantiene la estrategia de copia de seguridad SaaS de una organización. Al definir estas métricas conviene tener en cuenta:
- Un RPO más exigente: requiere copias de seguridad más frecuentes, lo que afecta a cómo se configura y se monitoriza la solución de copia de seguridad.
- Un RTO más exigente: exige capacidades de restauración más rápidas, lo que puede influir en la solución de copia de seguridad que elijas y en cómo estructures los flujos de restauración.
- Pruebas periódicas: confirman si los objetivos declarados son realmente viables. Probar una estrategia de copia de seguridad, ya sea en un escenario real o simulado, ayuda a validar su fiabilidad.
- Clasificación por niveles: agrupar los sistemas según su criticidad permite aplicar objetivos de RTO y RPO más estrictos a las aplicaciones prioritarias y aceptar márgenes más amplios en las menos críticas.
Gestiona tus copias de seguridad desde una sola plataforma con NinjaOne Backup
¿Cuáles son los escenarios de recuperación SaaS más habituales?
Estos son los casos más frecuentes en los que la recuperación de datos resulta crítica y el papel decisivo que juegan en ellos el RTO y el RPO.
Borrado accidental
RTO: determina con qué rapidez la solución de copia de seguridad puede completar la restauración una vez identificado el punto correcto.
RPO: determina cuán reciente es el punto de restauración disponible, lo que marca el límite de los datos que se pueden recuperar.
Ataques de ransomware
RTO: determina cuánto tiempo siguen interrumpidas las operaciones mientras se restaura (algo que se complica porque las variantes modernas de ransomware buscan activamente las copias de seguridad accesibles y las cifran o borran antes de cifrar los datos de producción).
RPO: determina cuánto hay que retroceder para llegar a una copia de seguridad anterior a la intrusión (lo que solo es posible si esa copia era inmutable u offline y, por tanto, quedó fuera del alcance del ataque).
Errores de configuración
RTO: determina con qué rapidez se pueden reanudar las operaciones normales una vez seleccionada y aplicada la copia de seguridad adecuada
RPO: define cuántos datos se pueden perder al restaurar a un punto anterior al cambio que provocó el problema
Buenas prácticas de RTO y RPO en la copia de seguridad SaaS
Estas son algunas buenas prácticas de copia de seguridad SaaS que ayudan a las organizaciones a cumplir sus objetivos de RTO y RPO.
- Define el RTO y el RPO según las necesidades del negocio: determina los requisitos a partir de lo que la pérdida o la indisponibilidad de los datos costaría realmente a la organización.
- Automatiza las copias de seguridad para cumplir los objetivos de RPO: la automatización de las copias reduce los huecos y minimiza el riesgo de exposiciones silenciosas.
- Prueba los procesos de recuperación con regularidad: asegúrate de que los puntos de recuperación cumplen los requisitos de RPO y de que los procedimientos de restauración permiten alcanzar los objetivos de RTO definidos.
- Monitoriza el rendimiento de las copias de seguridad: los fallos deben generar alertas automáticas para los equipos de TI, de modo que los problemas se detecten antes de crecer.
- Ajusta a medida que crecen los datos: la frecuencia de las copias y la velocidad de restauración pueden cambiar con el tiempo, sobre todo cuando aumenta el volumen de datos SaaS.
- Incluye los agentes de IA y Copilot en el alcance de tus copias de seguridad: inventaría qué agentes de Copilot, flujos de Power Automate e integraciones de IA de terceros están activos.
- Mantén al menos una copia inmutable, offline o aislada (air-gapped): aplica la regla 3-2-1-1-0, porque una copia de seguridad que un atacante puede borrar no es un punto de recuperación real.
Ideas equivocadas habituales sobre el RTO y el RPO en SaaS
Existen varias ideas equivocadas sobre las soluciones de copia de seguridad SaaS y sus capacidades. Estas son algunas:
«Los sistemas cloud garantizan una recuperación instantánea»
Que una plataforma SaaS esté en el cloud no hace que la restauración de los datos sea instantánea. Recuperar datos de una copia de seguridad sigue llevando tiempo, y ese tiempo depende del volumen de datos que haya que recuperar.
«En los entornos SaaS el RTO siempre es corto»
Varios factores, como un conjunto de datos muy grande o los límites de rendimiento de un proceso de restauración, pueden alargar el tiempo de recuperación más de lo habitual. La disponibilidad de la plataforma no equivale a una recuperación rápida.
«El RPO es mínimo de forma automática»
La frecuencia de las copias de seguridad la configura la organización, y es esa frecuencia la que determina el RPO. Es decir, sin una planificación intencionada el RPO puede ser mucho mayor de lo esperado, incluso usando una solución de copia de seguridad nativa del cloud.
«La frecuencia de las copias de seguridad no influye en la pérdida de datos»
La frecuencia y la exposición a la pérdida de datos están directamente relacionadas. El intervalo entre copias define exactamente cuántos datos están en riesgo si se produce un incidente justo antes de la siguiente copia.
«El rendimiento de la recuperación es ilimitado»
Los procesos de copia de seguridad y restauración tienen límites de rendimiento. Esos límites no desaparecen en una emergencia y hay que tenerlos en cuenta en la planificación del RTO desde el principio.
Entender el RTO y el RPO en la copia de seguridad SaaS
El RTO y el RPO deben tratarse como compromisos prácticos que determinan cómo se diseña una estrategia de copia de seguridad SaaS, cómo se prueban los procesos de restauración y hasta qué punto son realistas las expectativas de recuperación si ocurre algo inesperado que afecte a los datos de la organización. En definitiva, las organizaciones deben definir su RTO y su RPO según el impacto real en el negocio y validarlos con pruebas periódicas.
Temas relacionados:
