La regla 3-2-1 de las copias de seguridad explicada para negocios

Un disco duro que falla, un portátil robado, un empleado que borra una carpeta por error o un ransomware que cifra todos los archivos. Son situaciones distintas con un mismo final: si no tienes una buena copia de seguridad, pierdes tus datos. La regla 3-2-1 es la forma más sencilla y fiable de evitarlo, y cualquier negocio puede aplicarla.

Qué es la regla 3-2-1

La regla 3-2-1 resume en tres números cómo deben organizarse las copias de seguridad de una empresa:

• 3 copias de tus datos: los datos originales con los que trabajas y, además, dos copias de seguridad.
• 2 soportes distintos: las copias no pueden estar todas en el mismo tipo de dispositivo. Por ejemplo, un disco o NAS en la oficina y un servicio en la nube.
• 1 copia fuera de la oficina: al menos una copia tiene que estar en otro lugar, normalmente en la nube, para que un incendio, una inundación o un robo no se lleven todo a la vez.

La idea de fondo es sencilla: que ningún problema, por grave que sea, pueda destruir a la vez todas las copias.

Un ejemplo práctico en una pequeña oficina

Imagina una asesoría de cinco personas con sus documentos en un servidor o en un ordenador principal:

1. Copia 1, los datos originales: los archivos del servidor con los que se trabaja cada día.
2. Copia 2, local: una copia automática cada noche en un NAS de la propia oficina. Si alguien borra un archivo, se recupera en minutos.
3. Copia 3, en la nube: una copia diaria en un servicio de backup en la nube, cifrada. Si el problema afecta a toda la oficina, los datos siguen a salvo fuera.

Así se cumplen las tres condiciones: tres copias, dos soportes y una fuera de la oficina.

Por qué el ransomware cambia las reglas

El ransomware no solo cifra los archivos del ordenador infectado. Busca también las unidades de red conectadas y, si puede, también cifra o borra las copias de seguridad. Un disco USB que se queda siempre enchufado al servidor no es una copia segura: el ransomware lo cifrará igual que el resto.

Por eso hoy se habla de la regla 3-2-1-1-0, una versión reforzada:

• Un 1 más: una de las copias debe ser inmutable o estar desconectada, es decir, que nadie, ni siquiera un atacante con tus contraseñas, pueda modificarla o borrarla durante un tiempo.
• Un 0 final: cero errores al comprobar que las copias se pueden restaurar.

El error más común: no probar nunca la restauración

Muchas empresas descubren que sus copias no funcionan justo el día en que las necesitan: el programa dejó de copiar hace meses, faltaban carpetas o la copia estaba dañada. Una copia que nunca se ha probado no es una copia, es una esperanza.

Estos son los fallos que más encontramos en las auditorías:

• Copias que dependen de alguien: un disco que alguien tiene que conectar «cuando se acuerda».
• Sin copia de Microsoft 365 o del correo: que los datos estén en la nube no significa que estén copiados.
• Portátiles fuera de la copia: documentos importantes que solo existen en el equipo de un empleado.
• Nadie revisa los avisos: el programa de copias avisa de errores y nadie lee esos correos.

Cómo aplicar la regla 3-2-1 en tu negocio

1. Haz inventario: qué datos son críticos y dónde están (servidor, equipos, correo, programas de gestión).
2. Automatiza: las copias tienen que hacerse solas, cada día, sin depender de nadie.
3. Separa: una copia local para recuperar rápido y otra en la nube, cifrada, fuera de la oficina.
4. Protege las copias: con contraseñas distintas y, si es posible, con copias inmutables.
5. Comprueba: revisa los avisos y haz pruebas de restauración de forma periódica.

Si no tienes tiempo para ocuparte de todo esto, la solución es un backup gestionado: un proveedor se encarga de configurar las copias, vigilar que se hacen y probar que se pueden restaurar. Es lo que hacemos con nuestras copias de seguridad gestionadas para empresas, incluidas en los planes Pro y Premium.

Las copias son la última línea de defensa. Para no tener que usarlas, revisa también esta checklist de seguridad informática para autónomos y la diferencia entre un antivirus y un EDR.