Copias de seguridad: la regla 3-2-1 explicada para pymes

Por qué "tenemos copia de seguridad" no es suficiente

Tener un backup y tener un backup que funciona cuando de verdad lo necesitas son dos cosas distintas. Es habitual descubrir que la última copia válida tiene semanas, que nadie ha probado nunca una restauración completa, o que la copia está conectada permanentemente a la misma red que el resto de sistemas, con lo cual un ransomware que cifra la red principal cifra también la copia. Un backup que no se ha probado no es un plan de recuperación: es una suposición.

La regla 3-2-1, explicada sin rodeos

Es el estándar de referencia en la industria desde hace más de una década, precisamente porque cubre los fallos más habituales:

• 3 copias de cada dato importante: el original y al menos dos copias adicionales. Un único ejemplar, sea cual sea el soporte, es un punto único de fallo.
• 2 soportes distintos: por ejemplo, disco local y almacenamiento en la nube, o disco y cinta. Si ambas copias viven en el mismo tipo de soporte, comparten el mismo tipo de fallo —un fallo de firmware, un error del mismo proveedor— y pueden caer a la vez.
• 1 copia fuera de la red principal ("air-gapped" o al menos con acceso segregado): esta es la que sobrevive cuando un ransomware cifra todo lo que encuentra conectado. Si el atacante que compromete la red también puede alcanzar la copia de seguridad, esa copia no protege de nada frente al escenario más probable.

El error más caro: backups que el ransomware también cifra

El ransomware moderno no se limita a cifrar los archivos que encuentra: busca activamente sistemas de backup conectados a la red y los cifra o borra antes de lanzar el ataque principal, precisamente para eliminar la vía de recuperación gratuita y forzar el pago del rescate. Un backup accesible desde la misma red que protege es, en la práctica, un backup que un atacante con tiempo suficiente también puede alcanzar.

Cómo saber si vuestro backup es fiable de verdad

• ¿Se ha hecho una restauración de prueba completa en los últimos meses, no solo una comprobación de que el archivo de backup existe?
• ¿Cuánto tiempo tardaríais en restaurar los sistemas críticos si tuvierais que hacerlo hoy? A esa cifra se le llama RTO (tiempo objetivo de recuperación).
• ¿Cuántas horas o días de datos podríais permitiros perder en el peor caso? Esa es la RPO (pérdida de datos objetivo), y depende de con qué frecuencia se hace la copia.
• ¿Al menos una copia está realmente aislada de la red principal, con credenciales distintas a las del resto de sistemas?
• ¿Las copias están cifradas, para que una fuga del propio backup no exponga los mismos datos que se intentaba proteger?

El backup no sustituye al resto de la protección

Un buen backup limita el daño de un incidente, pero no lo evita. Reduce drásticamente el poder de negociación de un atacante de ransomware —si puedes restaurar sin pagar, el rescate deja de ser tu única opción— pero no impide el robo previo de datos, ni el tiempo de inactividad mientras se restaura, ni el impacto reputacional de haber sido comprometido. El backup es la última red de seguridad, no la primera línea de defensa: por eso conviene combinarlo siempre con protección de endpoint, monitorización continua y parcheo, que son las capas que evitan que el incidente llegue a producirse.