Tener varias copias no garantiza que puedas recuperar tus datos. El ransomware puede cifrar el servidor, las carpetas compartidas y los repositorios de backup conectados con las mismas credenciales. También puedes descubrir, demasiado tarde, que una copia estaba incompleta o que nadie conoce el procedimiento de restauración.
La regla 3-2-1-1-0 intenta evitar precisamente eso. Su objetivo no es acumular ficheros, sino mantener copias independientes, protegidas y verificadas que permitan recuperar la actividad cuando el sistema principal deja de estar disponible.
Qué significa la regla 3-2-1-1-0
| Número | Requisito | Qué protege |
|---|---|---|
| 3 | Tres copias de los datos en total | Evita depender de un único ejemplar |
| 2 | Dos tipos de soporte o sistemas de almacenamiento | Reduce el riesgo de un fallo común |
| 1 | Una copia fuera de la ubicación principal | Protege frente a incendios, robos y averías del centro de trabajo |
| 1 | Una copia offline, aislada o inmutable | Impide que un atacante pueda modificarla o borrarla |
| 0 | Cero errores después de verificar y probar la recuperación | Confirma que los datos pueden restaurarse de verdad |
Los tres ejemplares incluyen los datos de producción. Por ejemplo: los documentos utilizados a diario en el servidor, una copia en un repositorio local y otra en un almacenamiento remoto. No hacen falta tres backups adicionales.
3: conserva tres copias de los datos
Si un fichero solo existe en el ordenador de una persona, tienes una única copia. Si se sincroniza con otro servicio, puedes disponer de una réplica, pero la sincronización no siempre equivale a un backup: un borrado accidental o un cifrado puede propagarse inmediatamente.
Una aplicación correcta mantiene:
- Los datos de producción.
- Una copia de seguridad accesible para recuperaciones rápidas.
- Otra copia independiente para incidentes graves.
Cada copia debe tener historial suficiente para volver a un punto anterior. Si las tres reflejan inmediatamente el mismo fichero cifrado, la cantidad no sirve de mucho.
2: utiliza dos soportes o sistemas diferentes
Guardar dos copias en carpetas distintas del mismo disco no cumple la regla. Tampoco lo hace duplicar datos dentro del mismo servidor si una avería, una credencial comprometida o una orden de borrado puede afectar a todo.
Una pyme podría combinar los discos del servidor con un repositorio de backup en un NAS y almacenamiento de objetos remoto. También puede usar disco y cinta. Lo importante es separar tecnologías y dominios de fallo, no comprar dispositivos diferentes que terminen dependiendo del mismo equipo.
1: guarda una copia fuera de la oficina
La copia externa debe sobrevivir a un incidente que afecte a la ubicación principal: incendio, robo, inundación, sobretensión o pérdida completa del servidor. Un disco USB guardado junto al equipo no cumple este propósito.
Esta copia puede estar en otra sede o en infraestructura remota. Debe viajar cifrada y quedar almacenada con controles de acceso independientes. Conviene comprobar además que la restauración no depende de documentación o contraseñas que solo existan dentro de la oficina afectada.
1: añade una copia offline, aislada o inmutable
La regla 3-2-1 original se diseñó pensando principalmente en averías físicas y pérdida de ubicaciones. El ransomware añadió otro problema: el atacante puede permanecer dentro de la red, obtener privilegios y cifrar o borrar también los backups conectados.
Por eso se incorporó un segundo “1”. Esta copia debe quedar fuera del alcance de una cuenta administrativa comprometida:
- Offline: el soporte se desconecta físicamente después de escribir la copia.
- Aislada: el repositorio utiliza una red, identidad y administración separadas.
- Inmutable: los datos no pueden modificarse ni eliminarse durante el periodo de conservación configurado.
La protección debe incluir las credenciales. Utiliza una cuenta exclusiva para el backup, autenticación multifactor cuando esté disponible y evita que sus secretos queden almacenados en el servidor de producción. La consola de copias tampoco debería utilizar las mismas credenciales administrativas que el resto del entorno.
0: verifica que no haya errores
El cero significa que la cadena termina sin errores conocidos. No basta con que el programa muestre una tarea en verde. Hay que verificar la integridad, revisar alertas y ejecutar restauraciones periódicas.
Una copia puede completarse y seguir siendo inútil porque faltaba una carpeta, la base de datos se copió en un estado inconsistente, la clave de cifrado se perdió o el procedimiento necesita un componente que ya no está disponible.
Por eso, un backup que nunca se ha restaurado es solo una posibilidad de recuperación. Se convierte en una copia fiable cuando has demostrado que puedes extraer los datos, abrirlos y reconstruir el servicio dentro de unas condiciones aceptables.
Ejemplo de implementación en una pyme
Imagina una empresa con 20 puestos, un servidor de archivos, una aplicación de gestión y Microsoft 365. Una implementación razonable podría organizarse así:
| Elemento | Configuración de ejemplo | Función |
|---|---|---|
| Producción | Servidor de archivos y aplicación de gestión | Primera copia: datos en uso |
| Repositorio local | NAS dedicado con una cuenta exclusiva | Segunda copia y restauraciones rápidas |
| Repositorio remoto | Almacenamiento externo cifrado | Tercera copia y separación geográfica |
| Protección adicional | Inmutabilidad durante el periodo de retención o disco desconectado y rotado | Defensa frente a ransomware y borrados administrativos |
| Verificación | Revisión diaria de tareas y restauración de prueba mensual | Detección de errores y validación del proceso |
La empresa puede ejecutar copias incrementales cada cuatro horas para los archivos y una copia diaria de la aplicación, siempre que ese intervalo responda a su RPO. Una copia completa semanal puede facilitar la conservación, pero la frecuencia y la retención deben decidirse según el volumen de cambios, el tiempo de recuperación y las obligaciones legales.
La prueba mensual puede consistir en restaurar una selección de documentos, una carpeta completa y una copia de la base de datos dentro de una red aislada. Cada trimestre conviene simular la pérdida total del servidor: preparar una máquina limpia, recuperar la aplicación, conectar los datos y documentar cuánto se tarda.
Para comprobar que un fichero restaurado coincide con el original en Windows, puedes calcular su huella SHA-256 con PowerShell:
Get-FileHash "C:\Datos\contrato.pdf" -Algorithm SHA256
Get-FileHash "D:\Restauracion\contrato.pdf" -Algorithm SHA256Si ambas huellas coinciden, el contenido de esos dos ficheros es idéntico. Esto no sustituye una prueba funcional: una base de datos debe abrirse y validarse con sus propias herramientas, y una aplicación debe arrancar en un entorno de prueba.
También deben protegerse los datos en la nube. Microsoft 365 incorpora mecanismos de disponibilidad y retención, pero la estrategia de la empresa debe contemplar borrados, permisos, conservación y recuperación de correo, OneDrive y SharePoint. Un servicio de Microsoft 365 gestionado puede ayudar a coordinar estas políticas con el backup.
RPO y RTO explicados en cristiano
RPO significa objetivo de punto de recuperación. Responde a esta pregunta: ¿cuánto trabajo puedes permitirte perder?
Si haces una copia cada cuatro horas, un incidente ocurrido justo antes de la siguiente tarea podría obligarte a volver al estado de cuatro horas antes. Tu RPO sería, como máximo teórico, de cuatro horas. Si solo puedes perder 15 minutos de pedidos, una copia nocturna no encaja con el negocio.
RTO significa objetivo de tiempo de recuperación. Responde a otra pregunta: ¿cuánto tiempo puede estar parado el servicio?
Puedes conservar todos los datos y tardar dos días en descargar, preparar y restaurar el sistema. La pérdida de información sería pequeña, pero la interrupción sería larga. Por eso RPO y RTO se definen por separado.
| Concepto | Pregunta sencilla | Ejemplo |
|---|---|---|
| RPO | ¿Cuántos datos recientes puedo perder? | Hasta cuatro horas de cambios |
| RTO | ¿Cuánto puedo tardar en volver a trabajar? | Servicio operativo en ocho horas |
Estos valores no deben elegirse por intuición técnica. Administración, dirección y responsables de cada servicio tienen que indicar qué consecuencias tendría perder una mañana de trabajo o permanecer un día sin acceso. Cuanto más exigentes sean los objetivos, más recursos y automatización necesitará la solución.
Backup y disaster recovery no son lo mismo
El backup conserva datos recuperables. El disaster recovery o recuperación ante desastres define cómo se restablece la actividad completa: servidores, aplicaciones, redes, identidades, dependencias, responsables y orden de arranque.
Una carpeta con copias puede permitir recuperar documentos, pero no explica cómo desplegar el sistema operativo, dónde encontrar las licencias, qué reglas de red necesita la aplicación o quién autoriza la vuelta a producción. Eso pertenece al plan de recuperación.
Un plan práctico debe incluir:
- Inventario de servicios y dependencias.
- Prioridad de recuperación de cada sistema.
- RPO y RTO acordados.
- Ubicación de copias, claves y documentación.
- Personas responsables y forma alternativa de contacto.
- Procedimiento de restauración y criterios de validación.
- Registro de pruebas, errores encontrados y correcciones.
Las soluciones de backup y disaster recovery con Veeam y Acronis permiten abordar ambas necesidades, pero la herramienta no sustituye las decisiones, la documentación ni los simulacros.
Lista de comprobación para aplicar la regla
- Identifica datos, aplicaciones y configuraciones críticas.
- Confirma que existen tres ejemplares reales.
- Separa las copias entre al menos dos sistemas de almacenamiento.
- Mantén una copia fuera de la ubicación principal.
- Protege una copia mediante desconexión, aislamiento o inmutabilidad.
- Usa cuentas exclusivas y separadas de producción.
- Define RPO y RTO para cada servicio importante.
- Configura alertas y asigna a alguien la revisión de resultados.
- Prueba restauraciones de ficheros, aplicaciones y sistemas completos.
- Documenta cada prueba y corrige cualquier error antes de darla por válida.
Preguntas frecuentes
¿Un disco USB conectado permanentemente cuenta como copia offline?
No. Mientras esté conectado y accesible, un ransomware o una cuenta comprometida puede cifrarlo o borrarlo. Para considerarlo offline debes desconectarlo tras la copia y controlar su rotación y almacenamiento.
¿La sincronización con la nube sustituye al backup?
No necesariamente. La sincronización facilita el acceso y replica cambios, incluidos algunos borrados o ficheros cifrados. Solo puede formar parte de la estrategia si ofrece versiones, retención, controles independientes y una recuperación probada.
¿Cada cuánto hay que probar una restauración?
Depende de la criticidad y del ritmo de cambios. Como punto de partida operativo, puedes probar mensualmente una muestra de datos y realizar simulacros completos con menor frecuencia. Repite la prueba después de cambios relevantes en aplicaciones, infraestructura o credenciales.
¿Una copia inmutable también debe estar fuera de la oficina?
Es recomendable separar ambos riesgos. Una copia remota puede ser además inmutable, siempre que la configuración impida que las credenciales comprometidas de producción la alteren. Si todo depende del mismo proveedor, cuenta o consola, revisa ese posible punto común de fallo.
¿Por dónde empiezo si no sé si mis copias cumplen la regla?
Empieza con un inventario, localiza cada copia y solicita una restauración de prueba. El resultado mostrará las carencias reales. Si necesitas revisar la arquitectura, la retención o el plan de recuperación, Overclock Host puede ayudarte a evaluar el entorno a través de su formulario de contacto.