Clean room, auditoría de identidades y la «empresa mínima viable»: Christian Kubik explica cómo Commvault quiere acortar la recuperación tras un ataque y qué supone para empresas y socios en DACH.
Un backup por sí solo no responde a la pregunta que decide las consecuencias de un ataque de ransomware: ¿con qué rapidez puede una empresa volver a trabajar? Commvault reacciona reposicionándose como proveedor de ciberresiliencia, con las identidades como nuevo eje de su hoja de ruta. En una conversación, Christian Kubik, Commvault, explicó dónde ve el fabricante las mayores brechas en las empresas de DACH.
La resiliencia como ciclo permanente
Los ataques apoyados en IA no tienen por qué afectar a toda la organización para causar daño, sostiene Kubik. Por eso Commvault habla de «resilience operations» (ResOps) y de una «empresa mínima viable»: el núcleo de procesos que debe restaurarse primero. Qué forma parte de él lo tiene que decidir cada empresa. La resiliencia, afirma, es un ciclo permanente, porque la TI cambia continuamente y un ejercicio puntual no funciona. Incluso una migración a Microsoft 365 modifica los requisitos de recuperación.
La prevención ayuda solo hasta cierto punto, según Kubik. Los atacantes pueden comprar accesos, usar phishing generado con IA o iniciar sesión tras descargas «drive-by». A la vez se multiplican las identidades: cifró la proporción entre identidades de agentes de IA y humanas en 144 a 1. En el caso clásico, los datos salen de la empresa en menos de un minuto. El software de backup no puede evitarlo, pero sí ayudar a analizar lo ocurrido.
Las identidades pasan al primer plano
Por ello Commvault amplía su plataforma. La auditoría para Active Directory está disponible con carácter general, afirma Kubik, y le seguirán Entra ID, Okta e indicaciones asistidas por IA. El comunicado del 2 de noviembre describe tres componentes: detección continua de cambios en identidades, permisos y configuraciones en Active Directory, Entra ID y Okta; un inventario «Tier 0» que identifica los activos de identidad con más privilegios y muestra quién los controla; y recomendaciones asistidas por IA que explican por qué existe la exposición, revierten cambios no deseados y restauran configuraciones de identidad de confianza. La auditoría entre proveedores y la inteligencia sobre ataques a identidades están previstas para acceso anticipado en los próximos trimestres, dentro de Commvault IDRecover.
Pranay Ahlawat, Chief Technology & AI Officer, afirma que los atacantes no necesitan comprometer cada sistema: les basta con las identidades que los controlan, y los agentes de IA y las identidades no humanas aumentan ese riesgo. Commvault cita una encuesta de Strata, según la cual el 80 por ciento de las grandes empresas usa varios proveedores de identidad. Según el analista de IDC Emanuel Figueroa, solo el 47 por ciento de las organizaciones tiene un plan completo de recuperación de identidades. Romper la cadena de ataque pone fin al ataque, pero no a sus consecuencias, explica: permisos modificados, pertenencias a grupos, políticas y relaciones de confianza pueden persistir tras retirar el acceso. Por eso la recuperación se está convirtiendo en un criterio de compra propio.
Clean room con air gap
Commvault se presenta como el primer proveedor con una oferta de clean room. Al principio el foco estaba en la nube; con la demanda europea de soberanía llegaron las opciones locales con air gap. Kubik cita como peor escenario un ataque al firmware. En Commvault Flex, los datos se extraen mediante replicación desde la red no segura hacia el entorno aislado y se analizan en busca de malware. La inteligencia de amenazas está integrada, al igual que herramientas de CrowdStrike, Palo Alto Networks, Microsoft Defender y Cisco; para otros proveedores de seguridad hay API documentadas.
Practicar es importante, porque los entornos complejos no se restauran a mano. Commvault parte de que las grandes empresas se enfrentan a 40 o más recuperaciones, con una media de 28 días, según Kubik. A menudo hay que reconstruir las aplicaciones, no solo restaurarlas, y resolver en el orden correcto las dependencias entre sistemas en la nube y locales. La automatización basada en runbooks para aplicaciones como SAP, cargas de trabajo en la nube y dependencias locales, incluida la recuperación coordinada del DNS, debe acortarlo. Un ciberseguro por sí solo no basta, añade, y menciona a un gran fabricante de automóviles británico cuya cadena de suministro sufrió interrupciones durante meses.
Regulación, soberanía y canal
Según la empresa, Commvault tiene muchísimos clientes bajo DORA, que exige documentar cada paso de la recuperación. El reporting forma parte del producto desde hace 20 años, con informes personalizados e integración con sistemas externos; la detección de anomalías y los análisis de amenazas alimentan un panel de seguridad. Según Kubik, la automatización de extremo a extremo permite cumplir los requisitos de NIS2 y DORA, aunque las pruebas siguen siendo necesarias. Un servidor de archivos de 50 terabytes supone un reto en plena crisis de precios del almacenamiento, lo que convierte la planificación eficiente de la recuperación también en una cuestión de costes.
En cuanto a la soberanía, las definiciones varían, afirma. La soberanía de los datos puede lograrse en el centro de datos propio o en una nube europea; la soberanía de los procesos es más difícil, porque muchos procesos de internet se ejecutan fuera de la UE. A muchos clientes les basta una alianza con AWS o STACKIT y un operador local. Commvault seguirá siendo una empresa estadounidense.
En DACH, el fabricante vende exclusivamente a través de socios: los distribuidores ADN, TIM y Arrow, y socios como SVA y Bechtle. El SaaS también está disponible en los marketplaces de nube. Los socios desarrollan sus propios servicios, realizan proyectos junto con Commvault o, si lo desean, dejan que el fabricante entregue de extremo a extremo.
Las cifras subrayan el rumbo. Para el trimestre cerrado el 30 de septiembre, Commvault comunica unos ingresos por suscripción de 269 millones de dólares, un 21 por ciento más, de los cuales 106 millones corresponden a SaaS (un 33 por ciento más). El ARR de suscripción alcanzó los 1.104 millones de dólares, un 20 por ciento más, y el flujo de caja libre fue de 71 millones. Además, la empresa destaca la nueva función Active Directory Pre Recover, que debe reducir de horas a minutos la recuperación limpia del servicio de directorio. Todas las cifras son datos de la empresa.
Kubik compara el mercado con una carrera armamentística como en la Guerra Fría: atacantes y defensores siguen escalando y una sola medida no lo decide. Habrá más novedades en Commvault SHIFT el 10 de noviembre.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de