La estrategia de copias de seguridad 3-2-1 consiste en mantener al menos tres copias de tus datos, en dos soportes diferentes, con una copia fuera de las instalaciones. Sin embargo, ante un ataque de ransomware, esta estrategia ya no es suficiente si las copias no se prueban, se cifran y se protegen contra el borrado. Para una pyme, lo realmente importante no es solo hacer copias de seguridad, sino poder restaurar los datos de forma rápida, correcta y sin tener que pagar.
¿En qué consiste la regla de copia de seguridad 3-2-1?
La regla de copias de seguridad 3-2-1 es un método sencillo, popularizado desde hace años por empresas especializadas en protección de datos como Veeam. Establece que deben existir tres copias de los datos: los datos de producción, una primera copia de seguridad local y, a continuación, una copia externa. Todo ello en dos tipos de soportes, por ejemplo, un servidor NAS (almacenamiento en red) y un almacenamiento en la nube.
Su utilidad es muy concreta. Si un disco se estropea, tienes una copia. Si no puedes acceder a tus instalaciones, tienes una copia en el sitio hors. Si un ransomware cifra tu servidor principal, dispones de un punto de restauración que, en teoría, no debería verse afectado.
El problema es lo de «se supone». Los atacantes se centran en desormais las copias de seguridad antes de activar el cifrado. Una copia de seguridad conectada permanentemente con las mismas credenciales que el resto del sistema puede eliminarse en cuestión de minutos. Esa es la trampa más habitual: tener copias de seguridad, pero ninguna que se pueda recuperar.
Las recomendaciones recientes van, por tanto, más allá. En 2023, la guía «#StopRansomware» de la CISA recomienda copias de seguridad hors en línea, cifradas, sometidas a pruebas periódicas y, a ser posible, inmutables. Veeam habla hoy del modelo 3-2-1-1-0: tres copias, dos copias de seguridad, una copia fuera del sitio, una copia en línea o inmutable, y cero errores de restauración tras la verificación.
Lo que realmente cambia en caso de ransomware
Un ataque de ransomware no es solo un incidente informático. Es una interrupción de la actividad. Cuanto más dispersos estén tus datos, peor documentados estén o más dependientes sean de un único proveedor, más se alarga el tiempo de recuperación. Para cuantificar el impacto financiero, el paralelismo con el coste real de un ransomware para una pyme suele ser más elocuente que un discurso técnico.
La estrategia de copias de seguridad 3-2-1 reduce tres riesgos. En primer lugar, la pérdida definitiva de archivos. En segundo lugar, la dependencia del rescate. Por último, la improvisación bajo presión. Una empresa que sabe dónde están sus copias de seguridad, que puede leerlas y que conoce su tiempo de recuperación (ord) toma mejores decisiones el día en que todo se paraliza.
Sin embargo, hay que tener cuidado con el objetivo. Recuperar «algo» no es lo mismo que recuperar la actividad. Tu escaparate Puede esperar unas horas; tu ERP, tu sistema de correo electrónico o tu base de datos de clientes, mucho menos. Una buena estrategia clasifica los datos por prioridad empresarial, no por ubicación técnica.
En los proyectos que llevamos a cabo, solemos observar el mismo error: realizar copias de seguridad de todo al mismo ritmo, sin distinguir entre los datos críticos y los archivos inactivos. El resultado es que el presupuesto se dispara, pero el plan de recuperación sigue siendo poco claro. Con este presupuesto, es mejor realizar copias de seguridad de un volumen menor al principio, pero comprobar a fondo qué datos son fundamentales para vuestra facturación.
Supports, la nube, la inmutabilidad: ¿qué opciones elegir?
Un support diferente no significa simplemente una carpeta compartida más. La idea es reducir los tipos de fallos más habituales. Un NAS en tus instalaciones protege contra un borrado accidental, pero no contra un incendio. El almacenamiento en la nube protege contra los daños locales, pero requiere una configuración rigurosa de los permisos y los plazos de retención.
La inmutabilidad merece una explicación. Una copia de seguridad inmutable es una copia que no se puede modificar ni eliminar durante un periodo de tiempo definido. Servicios como Backblaze B2 Object Lock o Azure Blob Storage inmutable ofrecen este mecanismo. Microsoft también indica, en el caso de Azure Backup, que la inmutabilidad bloqueada de un almacén de Recovery Services no puede acortarse durante el periodo de retención. Esto es tranquilizador, pero obliga a elegir bien los plazos desde el principio.
La línea hors sigue siendo muy útil. Un disco desconectado, o una cinta (tape) sortie de la cadena de red, no es accesible para un malware activo. Veeam recuerda que la cinta es, por naturaleza, resistente al ransomware siempre que esté desconectada, con unos costes que, en ocasiones, se sitúan entre los 5 y los 8 dólares por TB, según la configuración. Sinceramente, este enfoque se justifica sobre todo cuando los volúmenes son importantes o cuando las obligaciones de conservación son estrictas.
| Opción | Uso pertinente | Costo indicativo | Puntos a tener en cuenta |
|---|---|---|---|
| NAS local | Recuperación rápida de archivos o servidores | Entre unos cientos y unos miles de euros, dependiendo de la capacidad | Debe mantenerse separado de las cuentas de administración habituales |
| Nube de almacenamiento de datos tipo Backblaze B2 | Copia del sitio web hors con Object Lock | 6,95 $/To/mes a precio al público de 2026 | Comprobar los costes de sortie y los tiempos de restauración |
| Azure Backup | Infraestructura de Microsoft, máquinas virtuales, servidores, nube híbrida | Varía en función del almacenamiento, la retención y la replicación | Configurar correctamente la inmutabilidad, la eliminación temporal, las alertas y las regiones |
| Veeam Community Edition | Parques pequeños, hasta 10 workloads | Se ha anunciado una licencia gratuita para 10 workloads | Tiempo de administración y almacenamiento previsto |
| Banda o support hors línea | Archivado a largo plazo, copia sin conexión | Órdenes de magnitud bajas en To, material para amortir | Un procedimiento riguroso y humano, imprescindible |
¿Cómo se pueden probar las copias de seguridad sin interrumpir la actividad?
Probar una copia de seguridad no consiste en comprobar que un archivo existe. Consiste en restaurar los datos en un entorno independiente, abrirlos, comprobar su fecha y, a continuación, verificar que las aplicaciones se reinician. El NIST recuerda en 2020 y en sus publicaciones recientes que las copias de seguridad deben realizarse, mantenerse y someterse a pruebas. La CISA también hace hincapié en la disponibilidad y la integridad en un escenario de recuperación.
Una prueba sencilla puede durar medio día en el caso de una estructura pequeña: restaurar una carpeta crítica, una base de datos y una cuenta de usuario. Para un sistema empresarial más complejo, hay que prever entre uno y dos días, sobre todo si intervienen varios proveedores. El coste no es insignificante, pero a menudo pone de manifiesto problemas ocultos: contraseñas perdidas, licencias caducadas, dependencia de un servidor sin copia de seguridad o falta de documentación.
La frecuencia adecuada depende de tu nivel de riesgo. Una copia de seguridad diaria que no se haya probado en dos años no inspira confianza. Para una pyme, una prueba trimestral de los datos críticos y una prueba anual más exhaustiva ya constituyen una base sólida. Tras una migración, un cambio de proveedor de alojamiento o una renovación de la aplicación, hay que volver a realizar las pruebas.
Por parte de la agencia, lo habitual es solicitar una restauración antes de hablar de herramientas. Si nadie puede decir en cuánto tiempo volverán a estar operativos la página web, la base de datos de clientes o los archivos de facturación, el proyecto de copia de seguridad no está terminado.
Los errores típicos que hacen que falle una copia de seguridad 3-2-1
El primer error consiste en confundir la sincronización con la copia de seguridad. OneDrive, Google Drive o una carpeta compartida en red sincronizada son muy prácticas, pero si un archivo cifrado o eliminado se replica en todas partes, el problema se traslada con él. Una copia de seguridad debe conservar versiones utilizables a lo largo del tiempo.
Otra trampa: utilizar la misma cuenta de administrador en todas partes. Si el atacante se hace con esta cuenta, puede acceder a los servidores, a las copias de seguridad y, en ocasiones, a las consolas en la nube. Microsoft recomienda, en sus prácticas recomendadas de Azure Backup, medidas de protección como la autenticación multiusuario, la eliminación temporal (supresión recuperable), el cifrado, las alertas de seguridad, la replicación del almacenamiento y la supervisión.
- No permitas que se pueda acceder a la consola de copia de seguridad desde todos los puestos.
- Aplica la autenticación multifactorial a las cuentas de administrador.
- Separa los derechos entre la producción y la copia de seguridad.
- Establece un plazo de conservación adecuado a los ciclos de nómina, facturación y cierre contable.
- Documenta el proceso de restauración ordre: directorio, archivos, aplicaciones, bases de datos y sitio web.
La seguridad de las copias de seguridad también debe abarcar las aplicaciones expuestas. Una página web, una API o una aplicación móvil Si no están bien protegidos, pueden convertirse en el punto de entrada del incidente. Los controles descritos en una Lista de comprobación de seguridad antes de publicar una aplicación móvil o en el análisis de los vulnerabilidades de seguridad de la API complementan la estrategia de recuperación, ya que las copias de seguridad no impiden las intrusiones.
¿Qué presupuesto hay que prever para una pyme francesa?
Los precios varían considerablemente en función del volumen, el número de servidores, el periodo de retención y el nivel de gestión externalizada. Para una pequeña pyme con unos cientos de gigabytes críticos, una primera arquitectura sólida puede costar entre unas decenas y unos cientos de euros al mes, una vez implantada. Para varios terabytes, máquinas virtuales, bases de datos y pruebas periódicas, el presupuesto mensual puede alcanzar varios cientos de euros, a veces incluso más.
A menudo se subestima la puesta en marcha inicial. El inventario, la selección de prioridades, la configuración de permisos, el cifrado, la inmutabilidad, la documentación y la primera prueba llevan tiempo. Según los proveedores, suele hacer falta contar con unos días de trabajo para un ámbito de aplicación razonable en el caso de una pyme. Lo que más cuesta al principio no es el almacenamiento, sino el diseño de un sistema que realmente se pueda utilizar en caso de crisis.
También hay que distinguir entre copia de seguridad y archivo. El archivo conserva los datos por motivos legales, contables o históricos; la copia de seguridad sirve para restablecer la actividad. Ambos pueden coexistir, pero con normas diferentes. Para los archivos que deben conservarse durante mucho tiempo, un sistema dearchivo profesional y seguro evita aumentar innecesariamente el tamaño de las copias de seguridad diarias.
Casos en los que la solución obvia es errónea: guardarlo todo en la nube con un periodo de retención muy largo y sin ningún procedimiento de restauración local. Sobre el papel, resulta tranquilizador. Sin embargo, el día que se produzca un incidente, descargar varios terabytes puede llevar demasiado tiempo para tu negocio. Una copia local rápida y una copia inmutable en la nube se complementan mejor de lo que se sustituyen.
Un plan sencillo para pasar a un sistema de copias de seguridad 3-2-1 fiable
Empieza por hacer un inventario. ¿Qué datos supondrían una pérdida de dinero desde el primer día? ¿Dónde se encuentran? ¿Quién se encarga de su gestión? Este paso puede parecer una mera tarea administrativa, pero evita que se guarden volúmenes innecesarios y, al mismo tiempo, se pase por alto una base de producción.
A continuación, establece dos objetivos: el RPO, es decir, la pérdida de datos aceptable en el tiempo, y el RTO, es decir, el plazo aceptable para volver a poner en marcha el sistema. Un departamento de contabilidad puede aceptar 24 horas de pérdida en algunos casos; una tienda online, mucho menos. Estas cifras determinan la frecuencia de las copias de seguridad y el presupuesto.
La solución práctica para una pyme suele ser la siguiente: copia de seguridad local diaria para poder restaurar rápidamente, copia en la nube hors con inmutabilidad, cuentas separadas, cifrado, supervisión y, por último, pruebas de restauración programadas. Añade una copia hors en línea para los datos más sensibles si el riesgo de ransomware es elevado o si tu negocio no puede permitirse una interrupción del servicio.
Planificar este tipo de proyecto con antelación evita la mayoría de las sorpresas desagradables: volúmenes olvidados, costes de almacenamiento mal calculados, plazos de recuperación poco realistas. Una perspectiva externa ayuda, sobre todo, a distinguir entre lo que realmente protege la actividad y lo que solo ofrece tranquilidad sobre el papel.
Preguntas frecuentes sobre la copia de seguridad 3-2-1
¿La estrategia de copias de seguridad 3-2-1 sigue protegiendo contra el ransomware?
Ofrece protección total si hay al menos una copia en el sitio, ya sea aislada o inmutable, y si se comprueban las restauraciones. Un copia de seguridad conectada con los mismos derechos que el entorno de producción puede ser eliminada por el atacante.
¿Cuál es la diferencia entre una copia de seguridad inmutable y una copia de seguridad en línea hors?
Una copia de seguridad inmutable permanece conectada, pero no se puede modificar ni eliminar durante un periodo de tiempo determinado. Una copia de seguridad hors en línea se desconecta de la red, por lo que no es accesible de forma remota mientras permanezca aislada.
¿Con qué frecuencia hay que comprobar las copias de seguridad?
Para una pyme, una prueba trimestral de los datos críticos es una medida razonable. Se recomienda realizar una prueba completa anual, así como después de cualquier migración, rediseño o cambio de alojamiento.
¿Cuánto tiempo se tarda en recuperarse tras un ciberataque?
Puede durar desde unas horas hasta varios días, dependiendo del volumen, las dependencias de las aplicaciones y la calidad de la documentación. La única cifra fiable es la que se obtiene de una prueba real de restauración.