Cómo probar la recuperación cuando no está disponible el administrador habitual

Escoge un escenario y una suplencia reales

Define qué servicio se recupera, qué recursos se consideran disponibles y por qué falta el administrador. Designa un suplente con preparación adecuada y una persona que observe y pueda detener la prueba. Comunica las reglas: el administrador habitual no dará pistas salvo que se active una condición de seguridad. Si interviene, registra dónde y por qué, sin presentar después el ejercicio como una recuperación independiente.

Comprueba accesos antes de depender de ellos

El suplente necesita sus propias autorizaciones, acceso al procedimiento y un mecanismo controlado para credenciales de emergencia cuando proceda. Comprueba factores de autenticación, custodia de claves y contactos de soporte. No resuelvas el ensayo compartiendo la contraseña personal del administrador ni desactivando controles sin autorización. Los permisos técnicos necesarios no sustituyen la autorización para restaurar datos o devolver una aplicación al negocio.

Observa esperas, dudas y decisiones

Haz que el suplente siga el documento en un entorno aislado, con datos y puntos de copia identificados. Registra dónde falta una ruta, una versión, un contacto o una decisión. NIST distingue ejercicios de discusión de pruebas funcionales: leer juntos el manual puede ser una preparación útil, pero no demuestra que otra persona pueda ejecutar la restauración. Mide también tiempo esperando autorizaciones, no solo el tiempo que muestra la herramienta.

Cierra los huecos y repite la parte fallida

Evalúa recuperación técnica, validez de datos y aceptación funcional con los mismos criterios previstos. Clasifica los bloqueos por acceso, documentación, formación o dependencia externa y asigna una corrección. Repite las partes que necesitaron ayuda para comprobar la mejora. Retira elevaciones y accesos temporales del ejercicio y actualiza la custodia si se utilizaron secretos de emergencia. El resultado debe indicar cuánta autonomía se demostró, no limitarse a confirmar que el administrador finalmente consiguió recuperarlo.

Fuentes y documentación

• NIST SP 800-34 Rev. 1: planificación de contingencias — BIA, objetivos de recuperación, pruebas, dependencias y validación antes de declarar recuperado un servicio.
• NIST SP 800-53 Rev. 5: controles de acceso y auditoría — AC-2, AC-17 y AU: autorización, cuentas temporales y trazabilidad; adaptar controles al riesgo.