La mayoría de los negocios solo descubre que sus copias de seguridad no funcionan el día que las necesita. Un disco que falla, un ransomware, un empleado que borra una carpeta por error, un portátil robado, un fallo de una actualización, un incendio o una inundación: son situaciones normales, no excepcionales. Lo que marca la diferencia entre un mal día y un negocio parado semanas es tener preparado cómo recuperarse.
Existe una regla sencilla y muy extendida para organizarlo: la regla 3-2-1. Esta guía te explica qué dice, cómo aplicarla en una pyme sin necesidad de una infraestructura enorme, qué errores son los más comunes, cómo comprobar que tus copias funcionan de verdad y cómo elaborar un plan de recuperación realista. Está pensada para quien dirige el negocio, y también para quien lo administra.
Por qué las copias de seguridad no son un "extra"
Perder datos no es un riesgo teórico. Las causas más habituales, de lejos, no son las espectaculares:
- Errores humanos: borrar una carpeta, sobrescribir un archivo, vaciar una papelera, modificar una hoja de cálculo importante.
- Fallos de hardware: discos que se averían sin avisar, equipos que no arrancan, servidores que se estropean.
- Ransomware y otros programas maliciosos que cifran o destruyen los archivos y piden un rescate.
- Robo o pérdida de portátiles y móviles con información de trabajo.
- Fallos de software o actualizaciones que corrompen datos.
- Empleados descontentos o accesos mal gestionados que borran información.
- Incidentes físicos: incendio, agua, picos de tensión.
- Errores del proveedor en la nube: que tus datos estén "en la nube" no significa que estén a salvo de todo.
- Cuentas comprometidas: alguien entra en tu correo o en tu almacenamiento y elimina contenido.
Y la consecuencia de perder datos no es solo técnica: es parar el negocio. Facturas que no puedes emitir, clientes que no puedes localizar, proyectos que hay que rehacer, obligaciones legales que no puedes demostrar, datos personales perdidos que además pueden suponer una brecha que hay que notificar. Una copia de seguridad es el seguro más barato que existe frente a todo eso.
Qué dice la regla 3-2-1
- 3 copias de tus datos: el original y dos copias más.
- 2 soportes distintos: por ejemplo, un disco externo y la nube. Si falla un tipo de soporte, no caen las dos.
- 1 copia fuera de tu sitio: en otra ubicación o en la nube, para sobrevivir a un incendio, un robo o una inundación.
La lógica es simple: cada una de las tres condiciones protege de una causa distinta de fallo.
| Condición | Te protege de... |
|---|---|
| 3 copias | Que falle una de ellas (o que esté corrupta sin que lo sepas) |
| 2 soportes distintos | Un fallo propio de un tipo de tecnología (un lote de discos defectuoso, un fallo del proveedor) |
| 1 fuera de sitio | Un desastre físico en tu oficina: incendio, robo, agua |
Muchos expertos la amplían hoy con condiciones adicionales, llegando a la regla 3-2-1-1-0:
- +1 copia inmutable o desconectada (air-gapped): que un ransomware no pueda cifrar ni borrar. Puede ser un almacenamiento con bloqueo de escritura, versiones que no se pueden eliminar durante un tiempo, o un disco que está desconectado salvo cuando se hace la copia.
- 0 errores: que las copias se verifiquen y se pruebe la restauración.
La versión mínima razonable para una pyme de hoy es: 3-2-1 más una copia que no se pueda alterar desde los equipos más una prueba de restauración periódica.
Un ejemplo para una pyme de pocos puestos
Imagina una oficina con cinco ordenadores, un archivo compartido y correo en la nube:
- Copia 1, el original: los datos en el equipo o el servidor que se usan cada día.
- Copia 2, local: un NAS o disco externo con copias automáticas cada noche.
- Copia 3, fuera de sitio: una copia en la nube (con un servicio de copia de seguridad específico) con historial de versiones y retención.
Con esto cumples 3 copias, 2 soportes y 1 fuera de tu sitio. Para añadir inmutabilidad, puedes activar el bloqueo de versiones en la copia en la nube o mantener un disco rotatorio que se conecta una vez por semana y se guarda desconectado.
No hace falta una infraestructura enorme: hace falta que sea automático y esté vigilado.
Qué debes copiar: el mapa de tus datos
Antes de elegir herramientas, responde a una pregunta: ¿qué datos no puedo permitirme perder? Haz una lista, con tu equipo, y recorre estas categorías.
| Categoría | Ejemplos | Dónde suele estar (y se olvida) |
|---|---|---|
| Documentos de trabajo | Contratos, presupuestos, hojas de cálculo, proyectos | Servidor de archivos, carpetas de usuario, escritorio |
| Correo electrónico | Buzones, archivos históricos, contactos y calendarios | Servicio en la nube, clientes locales (PST/OST) |
| Contabilidad y facturación | Programa de gestión, facturas emitidas y recibidas | Programa local, nube del proveedor, gestoría |
| Clientes y ventas | CRM, bases de datos, historial | CRM en la nube, hojas de cálculo |
| Web y tienda online | Archivos, base de datos, pedidos | Hosting, plataforma de comercio |
| Aplicaciones de negocio | ERP, programas sectoriales | Servidor local, nube del proveedor |
| Equipos de usuario | Configuración, datos locales, software | Portátiles, móviles |
| Servidores y configuración | Máquinas virtuales, configuración de red, DNS | Servidor, cortafuegos, router |
| Datos en nube/SaaS | Documentos en Drive/OneDrive, herramientas de equipo | Servicios de terceros |
| Fotografías, planos, material técnico | Archivos pesados | Discos externos, NAS |
Para cada uno, anota: ¿dónde está?, ¿quién es responsable?, ¿cuánto cambia?, ¿cuánto dolería perderlo?
El error más habitual: "eso está en la nube, ya tiene copia"
Los servicios en la nube (correo, almacenamiento, herramientas de gestión) ofrecen alta disponibilidad, que no es lo mismo que copia de seguridad. Si borras algo por error, si una cuenta se ve comprometida o si un ransomware cifra los archivos sincronizados, esos servicios pueden replicar el daño. Muchos proveedores aplican un modelo de responsabilidad compartida: ellos garantizan que el servicio funciona; tú eres responsable de tus datos. Comprueba qué retención de versiones y papelera ofrece tu plan y valora una copia independiente de tus datos críticos en la nube.
Cómo implementarla: opciones y herramientas
No hay una solución única. Estas son las piezas habituales y cuándo encajan.
Copia local
- Disco externo conectado: barato y simple, pero vulnerable (se roba, se rompe, y si está siempre conectado, un ransomware lo cifra también). Útil como complemento, nunca como única copia.
- NAS (almacenamiento en red): un dispositivo con varios discos que centraliza archivos y copias. Buena opción local para oficinas. Hay que mantenerlo actualizado y protegerlo (no exponerlo directamente a internet y usar doble factor).
- Servidor de archivos con copia programada.
Copia en la nube
- Servicios de backup específicos: copian tus equipos, servidores, buzones y aplicaciones en la nube con versiones y retención. Suelen ofrecer cifrado y, en ciertos planes, inmutabilidad.
- Backup de servicios SaaS: servicios que copian tu correo, documentos y herramientas de equipo de forma independiente del proveedor original.
- Almacenamiento de objetos con bloqueo: para usuarios con perfil técnico.
Copia de servidores y máquinas virtuales
Imágenes completas del sistema para recuperar un servidor entero rápidamente, no solo los archivos. Importante para recuperar con poco tiempo de parada.
Copia de la web y de bases de datos
Archivos del sitio y base de datos, con frecuencia adecuada al ritmo de cambios (diaria en una tienda, semanal en una web estática). Muchos hostings ofrecen copias, pero conviene tener una propia y fuera del mismo proveedor.
Qué mirar al elegir una solución
| Criterio | Por qué importa |
|---|---|
| Automatización | Lo manual falla |
| Versiones y retención | Poder volver atrás varios días, semanas o meses |
| Cifrado | Protege los datos en tránsito y almacenados |
| Inmutabilidad / protección anti-ransomware | Que la copia no se pueda borrar o cifrar |
| Velocidad de restauración | Determina cuánto tiempo estás parado |
| Alertas | Saber si una copia falla |
| Ubicación de los datos y cumplimiento | RGPD, contratos, transferencias |
| Coste a medida que crece | Volumen de datos y número de equipos |
| Facilidad de uso | Si nadie sabe usarla, no sirve |
Dos números que ordenan todo: RPO y RTO
Para dimensionar el plan, hazte dos preguntas, con tu equipo:
- RPO (Recovery Point Objective): ¿cuántos datos puedo permitirme perder? Si la respuesta es "un día de trabajo", necesitas una copia diaria. Si son "dos horas", necesitas una frecuencia mucho mayor.
- RTO (Recovery Time Objective): ¿cuánto tiempo puedo estar parado? Si la respuesta es "medio día", una copia en la nube de bajada lenta puede no valer; necesitas una restauración local rápida o una réplica.
Un ejemplo ilustrativo (los plazos son inventados):
| Sistema | RPO (pérdida tolerable) | RTO (parada tolerable) | Estrategia |
|---|---|---|---|
| Tienda online | 1 hora | 2 horas | Copias frecuentes de base de datos + copia completa diaria + plan de restauración probado |
| Facturación y contabilidad | 1 día | 1 día | Copia nocturna + copia en la nube |
| Archivos de proyectos | 1 día | 1 día | Copia nocturna con versiones |
| Correo | 1 día | medio día | Copia independiente del proveedor |
| Web corporativa | 1 semana | 1 día | Copia semanal + copia tras cada cambio |
| Portátiles de usuario | 1 semana | 1–2 días | Copia de documentos + imagen base |
Esta tabla es tu mapa de decisiones: lo que cuesta más rápido de recuperar cuesta más; no todo necesita lo mismo.
Errores frecuentes
Confundir sincronizar con hacer copia
Si una carpeta se sincroniza con la nube y alguien la borra, la modifica por error o un virus la cifra, el cambio se replica en todas partes. Una copia de verdad guarda versiones anteriores y no se altera por lo que ocurra en el original. Sincronizar es cómodo; no es proteger.
Copias manuales
"Me acuerdo de hacerlo los viernes" dura hasta el primer viernes con prisa. Las copias deben ser automáticas, programadas y con aviso de fallo.
Dejar el disco de copia siempre conectado y accesible
Si el equipo se infecta, la copia se infecta con él. Una copia debe estar protegida de lo que le pase al original: desconectada, en otra red, con credenciales distintas o inmutable.
No copiar el correo y las aplicaciones en la nube
El correo corporativo es, para muchos negocios, el mayor archivo de conocimiento y compromisos que existe. Y a menudo no tiene una copia independiente.
No cifrar las copias
Especialmente las que salen de tu oficina o viajan por internet. Un disco robado o un servicio comprometido con datos personales sin cifrar puede ser una brecha de datos.
Nunca probar la restauración
La copia que no se ha probado es una hipótesis. Fallos comunes: la copia no incluye lo que se pensaba, está corrupta, tarda días en bajar, falta la clave de cifrado o nadie sabe cómo se restaura.
Guardar las claves y accesos solo en el mismo sitio
Si la clave de cifrado de la copia está en el equipo que se ha perdido, la copia no se puede abrir. Las credenciales del servicio de copias deben estar en un lugar seguro y accesible para al menos dos personas de confianza.
Creer que "como lo tengo en el RAID, estoy a salvo"
RAID protege frente al fallo de un disco, no frente a borrado, ransomware, robo o incendio. Es disponibilidad, no copia.
Que sea una única persona la que sabe cómo funciona
Si esa persona falta, nadie sabe restaurar. Documenta el procedimiento y comparte el conocimiento.
Copiar solo los archivos y no el sistema
Para un servidor o un equipo crítico, tener los archivos no basta: reinstalar y reconfigurar puede llevar días. Valora copiar también la imagen del sistema.
Descuidar los datos "pequeños" pero vitales
Configuración de la red, registros DNS, claves de licencias, certificados, configuración del cortafuegos. Parecen detalles hasta que hay que reconstruirlos de memoria.
Una copia que no se ha probado es una esperanza
La parte más descuidada es restaurar. Conviene hacer pruebas con periodicidad:
Prueba rápida (cada trimestre)
- Elige un archivo y una carpeta al azar.
- Restáuralos en otro lugar (no sobre el original).
- Comprueba que se abren y están completos.
- Anota cuánto has tardado.
Prueba completa (al menos una vez al año)
- Elige un sistema crítico (un servidor, un equipo clave, la web y su base de datos).
- Restáuralo completo en un entorno de pruebas.
- Comprueba que funciona: aplicación arranca, datos al día, accesos.
- Anota el tiempo total: ese es tu RTO real.
- Anota lo que ha fallado o ha requerido ayuda y corrígelo.
Simulacro de desastre (cada uno o dos años)
Simula que se pierde algo importante (un servidor, la oficina) y ensaya el plan: quién hace qué, en qué orden, con qué herramientas, a quién se avisa. Descubrirás huecos que ningún papel muestra.
Ransomware: por qué cambia las reglas
El ransomware es un programa malicioso que cifra los archivos y exige un pago para devolverlos. Lo que lo hace tan dañino es que ataca también las copias de seguridad: los atacantes buscan discos conectados, recursos de red, y credenciales del sistema de copias para borrarlas o cifrarlas antes de mostrar el mensaje de rescate.
Por eso las copias modernas deben resistir:
- Inmutabilidad: versiones que no se pueden modificar ni borrar durante un periodo, ni siquiera con credenciales de administrador.
- Separación de credenciales: la cuenta que gestiona las copias no es la misma que se usa a diario, y está protegida con doble factor.
- Aislamiento: al menos una copia desconectada o en una red distinta.
- Retención suficiente: el malware puede estar días o semanas antes de actuar; si solo guardas las últimas 24 horas, copiarás archivos ya cifrados. Conserva varias versiones en el tiempo.
- Monitorización: alertas ante cambios masivos de archivos o borrados inusuales.
Y recuerda: la mejor defensa es evitar la entrada. Tienes una guía de cómo reconocer los ataques más comunes en phishing en la pyme.
RGPD y copias de seguridad
Las copias contienen datos personales, y por tanto están sujetas a las mismas obligaciones:
- Seguridad: cifrado, accesos controlados, registros.
- Encargados del tratamiento: si usas un servicio de copias en la nube, es un encargado: necesitas contrato y comprobar dónde se almacenan los datos.
- Conservación: define cuánto tiempo guardas las copias. Conservarlas indefinidamente mantiene datos que quizá ya deberías haber borrado.
- Derecho de supresión: cuando alguien pide que borres sus datos, ¿qué ocurre con las copias? La práctica habitual es que los datos se eliminan de los sistemas activos y desaparecen de las copias cuando estas caducan según el ciclo de retención, con garantías de que no se restauran para usos no permitidos. Conviene que tu política lo explique.
- Brechas: una copia perdida o robada sin cifrar puede ser una brecha de datos personales.
Más detalles en RGPD en la web.
Un plan de recuperación de una página
No necesitas un documento largo. Basta una hoja que cualquiera pueda seguir en un mal día:
| Pregunta | Respuesta (a rellenar) |
|---|---|
| ¿Qué sistemas son críticos y en qué orden se recuperan? | 1. Correo, 2. Facturación, 3. Archivos, 4. Web |
| ¿Dónde están las copias de cada uno? | Lista con ubicación y responsable |
| ¿Quién restaura y quién es su suplente? | Nombres y teléfonos |
| ¿Dónde están las credenciales y las claves de cifrado? | Gestor de contraseñas / sobre cerrado |
| ¿A quién avisamos (proveedor, banco, aseguradora, clientes)? | Lista de contactos de emergencia |
| ¿Cuánto tiempo tardamos en cada uno? | Resultado de la última prueba |
| ¿Cómo trabajamos mientras tanto? | Procedimiento alternativo (papel, correo temporal) |
| ¿Cuándo fue la última prueba? | Fecha y resultado |
Impresa y guardada en un lugar accesible (no solo en el servidor que puede estar caído), es más útil que cualquier plan perfecto que nadie recuerda.
Cuánto cuesta y de qué depende
No damos cifras porque cambian mucho, pero estos son los factores:
- Volumen de datos a copiar y cuánto crece.
- Número de equipos, servidores y buzones.
- Frecuencia y retención (cada cuánto se copia y cuánto tiempo se guardan las versiones).
- Nivel de protección (cifrado, inmutabilidad, aislamiento).
- Velocidad de recuperación necesaria (RTO).
- Servicios SaaS que quieras proteger.
- Soporte y supervisión: quién vigila que las copias funcionen y quién restaura.
- Cumplimiento (ubicación de datos, contratos).
Una idea para valorar la inversión: calcula cuánto te costaría un día (o una semana) de parada y de pérdida de datos, y compáralo con el coste anual de una buena estrategia de copias. Casi siempre, la comparación es abrumadora.
Una lista de comprobación rápida
Marca lo que ya cumples. Si no puedes marcar la mayoría, no es motivo de alarma, sino un buen punto de partida.
- Sé qué datos son críticos (facturación, clientes, documentos, correo).
- Hay copia automática, no manual.
- Hay al menos una copia fuera de la oficina.
- Al menos una copia no se puede borrar ni cifrar desde los equipos.
- Las copias están cifradas.
- He probado una restauración en los últimos seis meses.
- Alguien recibe un aviso si una copia falla.
- Las cuentas del servicio de copias están a nombre de la empresa.
Y estas otras, para ir un paso más allá:
- Tengo definido cuántos datos puedo perder (RPO) y cuánto tiempo puedo estar parado (RTO) para cada sistema.
- El correo y las aplicaciones en la nube tienen copia independiente.
- Las claves de cifrado y credenciales del sistema de copias están guardadas fuera del propio sistema, y al menos dos personas pueden acceder a ellas.
- Hay un plan de recuperación por escrito.
- Hay un periodo de retención definido que respeta el RGPD.
- Más de una persona sabe restaurar.
Preguntas frecuentes
¿Cada cuánto debo hacer copias?
Depende de cuántos datos puedas permitirte perder. Para la mayoría de pymes, una copia diaria (nocturna) de los datos de trabajo es el mínimo razonable. Los sistemas que cambian constantemente (tienda online, base de datos de pedidos) necesitan copias más frecuentes.
¿Basta con el disco duro externo?
Como complemento, sí; como única solución, no. Se rompe, se roba y, si está conectado, lo puede cifrar un ransomware. La regla 3-2-1 pide, además, una copia fuera de tu sitio.
¿Google Drive, OneDrive o Dropbox son una copia de seguridad?
Son servicios de almacenamiento y sincronización, con funciones de versiones y papelera que ayudan, pero no sustituyen a una copia independiente: los borrados y los cifrados por ransomware pueden replicarse, y las versiones tienen plazos limitados. Para datos críticos, añade una copia independiente.
¿Con qué frecuencia debo probar la restauración?
Una prueba rápida de un archivo cada trimestre y una restauración completa de un sistema crítico al menos una vez al año. Y siempre que cambies la solución de copias.
¿Cuánto tiempo debo conservar las copias?
Depende del negocio y de las obligaciones legales. Un esquema habitual: copias diarias durante unas semanas, semanales durante unos meses y mensuales durante un año o más para ciertos datos. Define el criterio por escrito y aplícalo, teniendo en cuenta el RGPD.
¿Qué hago con las copias antiguas de empleados que se fueron?
Define una política: qué se conserva, cuánto tiempo y quién puede acceder. Los datos personales no deben guardarse indefinidamente sin motivo.
¿Necesito una copia del correo si uso Microsoft 365 o Google Workspace?
Esos servicios incluyen papelera y retención limitadas, y funcionan bajo un modelo de responsabilidad compartida. Si el correo es crítico para tu negocio, una copia independiente es una protección razonable frente a borrados, cuentas comprometidas o errores.
¿Y si tengo un servidor de archivos en la oficina?
Es el caso más clásico: necesita copia local rápida (para restaurar con rapidez), copia fuera de la oficina y, si es posible, una versión inmutable. También conviene copiar la imagen del servidor si quieres recuperarlo rápido tras una avería.
En resumen
La regla 3-2-1 —tres copias, dos soportes, una fuera de tu sitio, con una extra inmutable— es una forma sencilla y probada de reducir el riesgo de perder lo que tu negocio no puede permitirse perder. Pero una regla es solo la mitad del trabajo: la otra mitad es automatizar, vigilar, cifrar y, sobre todo, probar que se puede restaurar.
Empieza por lo más simple: haz la lista de lo crítico, comprueba qué copias existen hoy, restaura un archivo de prueba y anota cuánto tardas. Con esa información, ya sabes por dónde empezar.
En Trewik revisamos cómo estás protegido hoy, diseñamos un plan de copias proporcionado a tu negocio y comprobamos que se puede restaurar. Puedes ver cómo lo abordamos en backup y continuidad y en Cloud e infraestructura. Y si quieres un primer vistazo sin compromiso, pide tu diagnóstico gratuito.