Modelos y registros · ISO 27001 · Apartado A.5.30 y A.8.13
Registro de pruebas de continuidad y de copias de seguridad
La prueba de que las copias se pueden restaurar y de que los servicios se recuperan en el tiempo comprometido, no solo de que el plan existe.
En una frase
El registro de pruebas de continuidad y de copias de seguridad documenta qué se probó, con qué objetivo de tiempo de recuperación, qué resultado se obtuvo y qué se corrigió; es la evidencia de los controles 5.30, que pide planificar, implantar, mantener y probar la preparación de las TIC, y 8.13, que pide probar con regularidad las copias.
- Dónde lo pide la norma
- ISO 27001 · Apartado A.5.30 y A.8.13 Los apartados siguen ISO/IEC 27001:2022; los que empiezan por «A.» son controles del Anexo A, exigibles en la medida en que la declaración de aplicabilidad los incluya.
- Tipo de información
- Buena práctica Evidencia de los controles 5.30 y 8.13 del Anexo A
- Quién lo rellena
- Responsable de sistemas El propietario del servicio valida que el resultado cumple sus objetivos
- Cuándo
- Según el plan de pruebas Restauraciones de copias más frecuentes; pruebas completas de conmutación al menos una vez al año
- Cuánto se conserva
- Lo fija la organización ISO/IEC 27001 no da plazos: pide decidir la conservación y la eliminación de la información documentada (7.5.3). Cubrir el ciclo de certificación de tres años permite enseñar el histórico en la renovación.
Qué pide la norma
Lo que exige ISO 27001 y lo que deja a tu criterio
El control 5.30, nuevo en la edición de 2022, pide que la preparación de las TIC para la continuidad se planifique, implante, mantenga y pruebe según los objetivos de continuidad del negocio. El 8.13 pide mantener copias de la información, el software y los sistemas, y probarlas con regularidad.
Un plan de continuidad que nunca se ha probado es una hipótesis. Lo que el auditor pide es el resultado de la última prueba y lo que cambió después.
La norma no fija qué tipo de prueba ni con qué frecuencia; ISO 22301 es la referencia si se quiere un sistema de continuidad completo.
Estructura
Campos que debe tener el modelo
- Servicio o sistema probado y tipo de prueba (restauración, conmutación, simulacro de mesa)
- Objetivo: tiempo de recuperación y punto de recuperación aceptables
- Fecha, participantes y escenario
- Resultado medido frente al objetivo
- Incidencias encontradas durante la prueba
- Acciones de mejora, responsable y plazo
- Conclusión: superada o no superada
Ejemplo
Ejemplo: restauración de la base de datos de producción
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Prueba | Restauración completa de la base de datos de la plataforma en un entorno aislado |
| Objetivo | Recuperar en menos de 4 horas con una pérdida máxima de 24 horas de datos |
| Fecha y participantes | 21 de mayo de 2026 · jefe de infraestructura y dos técnicos |
| Resultado | Restaurada en 5 h 10 min · datos íntegros hasta la copia de las 02:00 |
| Incidencia | El procedimiento no recogía la regeneración de claves de cifrado |
| Acción | Actualizar el procedimiento y repetir la prueba · 30 de junio |
| Conclusión | No superada · repetida el 26 de junio: 3 h 20 min, superada |
En la auditoría
Errores que suelen señalar los auditores
- Se comprueba que la copia «terminó bien», nunca que se puede restaurar.
- No hay objetivos de recuperación con los que comparar el resultado.
- Las pruebas fallidas no se registran o no generan acciones.
- El plan de continuidad no se ha actualizado tras cambiar de proveedor de nube.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Las pruebas de recuperación y los planes de continuidad quedan documentados en la plataforma.
- 2El plan de continuidad es un registro versionado, y cada prueba enlaza con las acciones que genera.
- 3Las acciones derivadas se asignan con responsable y fecha, con aviso si se retrasan.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Hace falta certificarse en ISO 22301?
No. ISO/IEC 27001 pide la preparación de las TIC para la continuidad, no un sistema completo de continuidad del negocio. ISO 22301 es útil como guía, pero no es requisito.
¿Vale un simulacro de mesa?
Como parte del plan de pruebas, sí: valida los roles y la comunicación. Pero no sustituye a la restauración real de copias, que es lo que demuestra el control 8.13.
Lleva los registros de ISO 27001 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Operación
La operación traduce el análisis de riesgos en controles reales: accesos, cifrado, copias de seguridad y un…
Modelo de declaración de aplicabilidad ISO 27001
Qué debe recoger la declaración de aplicabilidad de ISO 27001 (6.1.3 d): controles necesarios…
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Modelo de plan de tratamiento de riesgos ISO 27001
Qué debe incluir el plan de tratamiento de riesgos de ISO 27001 (6.1.3 e): opción elegida, controles…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO/IEC 27001:2022 — Sistemas de gestión de la seguridad de la información. Requisitos ISO/IEC · 25 de octubre de 2022
- ISO/IEC 27002:2022 — Controles de seguridad de la información ISO/IEC · Febrero de 2022