Regla 3-2-1 de copias de seguridad explicada para gerentes

Si solo hay una copia y está en el mismo edificio, no tienes backup: tienes una ilusión. La frase suena dura, pero es la conversación que un gerente debería poder mantener en diez minutos, sin que el técnico le hable de snapshots, de jobs ni de retenciones. La regla 3-2-1 existe precisamente para eso: traduce un problema técnico en tres números que dirección puede auditar. Tres copias de los datos que importan. Dos tipos de soporte distintos. Una copia fuera, de verdad fuera, no «en el armario del fondo».

En una PYME de Tenerife esa conversación tiene matices que no aparecen en las guías genéricas. El edificio puede estar en Santa Cruz o en el sur, el servidor puede ser un torre debajo de la mesa de administración, y «fuera» puede significar otra isla, la península o un cloud con residencia en la UE. El ferry no es un plan de recuperación. El disco USB que alguien se lleva a casa el viernes tampoco lo es si nadie lo prueba jamás. Este artículo no vende un producto: explica cómo un gerente distingue un backup real de un placebo, qué preguntas hacer al partner y qué fallos rompen la regla aunque el software «esté en verde».

La regla no sustituye a un contrato de copias de seguridad en la nube ni a un plan de ciberseguridad para empresas. Es el criterio con el que se juzgan ambos. Si después de leer esto puedes dibujar en una servilleta dónde están las tres copias, en qué dos medios viven y cuál está fuera del edificio, ya estás por delante de la mayoría de las compañías que nos llaman cuando el disco ya ha muerto.

Por qué un gerente no puede delegar el backup «y ya»

El backup es una de las pocas decisiones IT que no se puede dejar solo en manos del técnico más listo de la oficina. No porque el técnico no sepa, sino porque las consecuencias son de negocio: facturación parada, nóminas que no salen, historial clínico inaccesible, un cierre contable que se retrasa tres semanas. Quien firma el presupuesto tiene que saber qué se está protegiendo, con qué frecuencia y en cuánto tiempo se podría volver a trabajar. Eso no es micromanagement. Es el mismo criterio con el que se pregunta si hay un extintor y si alguien lo ha revisado este año.

En la práctica, el gerente suele enterarse del backup el día que falla. Hasta entonces, la respuesta habitual es «lo tenemos en el NAS» o «está en OneDrive». Esas frases pueden ser ciertas y, aun así, no cumplir la regla 3-2-1. Un NAS en el mismo local es una copia local. OneDrive sin historial de versiones, sin papelera de retención y sin una copia independiente es sincronización, no backup. La diferencia se entiende en el momento en que un ransomware cifra el origen y el destino a la vez, o cuando alguien borra una carpeta compartida y la sincronización replica el borrado a todos los equipos.

Hay otra razón para que dirección se siente a la mesa: el coste de no decidir. Cada mes sin una copia fuera es un mes en el que un incendio, un robo, un escape de agua o un cifrado deja a la empresa con los datos del servidor y nada más. En isla, además, el tiempo de reposición de hardware no es el de Madrid. Un disco de servidor puede tardar días en llegar. Si la única copia vive en ese mismo chasis, el retraso se come el margen de la semana. Un partner local con técnicos propios —el modelo con el que trabajamos en Infofase desde hace más de veinte años— acorta el diagnóstico, pero no inventa datos que no se copiaron.

El gerente no necesita aprender a restaurar un job de Veeam. Necesita tres respuestas por escrito: qué datos entran (correo, gestoría, fotos de obra, base de datos del ERP), cuál es el RPO aceptable (cuántas horas de trabajo estás dispuesto a perder) y cuál es el RTO (cuánto tiempo puedes estar parado). Sin esos tres números, cualquier presupuesto de backup es un acto de fe. Con ellos, puedes comparar ofertas y detectar humo. Si quieres el marco de cumplimiento, el artículo sobre RGPD y backups ante una inspección de la AEPD entra en retención, encargados y cifrado. Aquí nos quedamos en la regla que dirección puede explicar a un auditor o a un inversor.

Qué significa realmente 3, 2 y 1

Tres copias no son tres carpetas en el mismo disco. Significan el original más dos copias independientes. Si el original es el servidor de la oficina, una copia puede ser un NAS o un repositorio en otro equipo, y la tercera un destino cloud o un rotativo de discos que no duerme en el mismo edificio. Contar mal es el error más frecuente: alguien ve tres volúmenes en el RAID y cree que ya tiene tres copias. No. El RAID es un solo conjunto. Si el controlador falla o un ransomware cifra el volumen, las tres «copias» mueren juntas.

Dos medios (o dos tecnologías) existen para que un mismo defecto no se lleve todo. Disco interno más disco USB es, en la práctica, el mismo tipo de fallo: ambos son almacenamiento magnético o flash local, ambos se pueden cifrar a la vez si están montados, ambos se mojan si hay una gotera. La regla pide diversidad: por ejemplo, un repositorio en disco y una copia en cloud objet storage; o una cinta (sí, todavía tiene sentido en algunos archivos) y un destino fuera de línea. En una PYME canaria lo habitual y razonable es disco local o NAS más un destino cloud con historial. Lo importante no es la marca. Es que un fallo de firmware, un virus o un error humano no pueda tocar los dos a la vez.

Una copia fuera significa fuera del radio de un mismo incidente. El mismo local no vale. El trastero del mismo edificio, en muchos casos, tampoco: un incendio, un corte de luz prolongado o un acceso físico no respetan el pasillo. En Tenerife «fuera» admite tres lecturas útiles, y no son equivalentes.

La otra isla o otro municipio

Una copia en un segundo local de la empresa, o en un partner que aloja un repositorio en otra zona, reduce el riesgo de incendio y de robo. No reduce el riesgo de un ransomware que tenga credenciales de ambos sitios, ni el de un error de configuración replicado. Sirve como segunda ubicación física. No sustituye a un destino que el atacante no pueda alcanzar con las mismas cuentas.

La península

Algunas empresas mandan un disco rotativo a un despacho en Madrid o a un familiar «de confianza». El gesto es comprensible y, a veces, peor que no hacer nada: el disco viaja sin cifrado, nadie documenta la cadena, y a los seis meses el rotativo se ha perdido en un cajón. Si hay un segundo sitio en península, que sea un proceso: cifrado, inventario, fecha de rotación y alguien que confirme que el disco llegó y se puede leer.

El cloud con residencia europea

Para la mayoría de PYMES es la forma más honesta de cumplir el «1». No porque el cloud sea mágico, sino porque está en otra infraestructura, con otro control de acceso y con versionado. Hay que elegir proveedor, región y retención. Hay que saber quién tiene las claves. Hay que probar que se puede bajar y restaurar, no solo que «sube». Un servicio de copias de seguridad cloud bien montado es eso: un destino fuera, no un cajón de archivos sincronizados.

Los tres números se sostienen juntos. Dos copias en dos medios dentro del mismo local fallan el 1. Tres copias en el mismo NAS fallan el 2 y el 1. Una sola copia en cloud, sin original local recuperable con rapidez, puede cumplir el espíritu del «fuera» y romper el RTO: restaurar terabytes por la línea de la oficina un lunes por la mañana no es un plan, es una espera. Por eso la regla se lee completa, no como un eslogan.

Lo que no es una copia de seguridad (aunque lo parezca)

Esta sección es la que más disgustos evita. Hay tecnologías útiles que la gente confunde con backup. No lo son. Usarlas está bien. Confiar solo en ellas no.

RAID no es backup. Un RAID 1 o RAID 5 te salva de un disco muerto. No te salva de un borrado, de un cifrado, de un filesystem corrupto ni de un técnico que formatea el volumen equivocado. Los discos del RAID envejecen juntos: es habitual que el segundo falle durante la reconstrucción. Si tu «plan» es «tenemos RAID», no tienes plan. Tienes tolerancia a un tipo de fallo hardware.

OneDrive, Dropbox o Google Drive sin versión y sin copia independiente no son backup. La sincronización replica el estado actual. Si alguien borra o cifra, el estado actual se propaga. Microsoft 365 sí ofrece papelera, historial de versiones y, en planes adecuados, retención. Eso ayuda. No sustituye una copia fuera del tenant que un atacante con la cuenta de administrador global podría vaciar. Si el correo y los archivos viven en Microsoft 365, el backup del tenant es un capítulo aparte: hay productos que copian Exchange, SharePoint y OneDrive a otro destino. Sin eso, dependes de la retención del propio Microsoft y de que nadie deshabilite las políticas.

Una imagen del sistema en el mismo disco no es backup. Guardar el .vbk o el .tib en D: cuando C: es el sistema es un clásico. El ransomware los encuentra. El disco que muere se los lleva. La imagen tiene que salir a otro medio y, mejor, a otro sitio.

El historial de archivos de Windows no es un 3-2-1. Es una red de seguridad cómoda para un documento de ayer. No cubre un servidor, no cubre un incendio y no cubre un cifrado masivo si el destino está montado y accesible.

El correo reenviado a un Gmail personal no es archivo corporativo. Lo vemos más de lo que debería. Además de ser un agujero de RGPD, no es restaurable de forma ordenada ni auditable.

El snapshot del hipervisor, solo, no es backup. Un snapshot es un estado para volver atrás en una ventana corta. Consumir snapshots como si fueran copias históricas llena el datastore y no te da un destino fuera. El snapshot más la copia del job a otro repositorio sí encaja. El snapshot solo, no.

Si algo de la lista anterior es «lo que tenemos», no estás solo. Es el punto de partida de casi todas las auditorías rápidas que hacemos. El siguiente paso no es comprar el software más caro. Es nombrar el original, nombrar la segunda copia y nombrar la de fuera. Luego se elige la herramienta. En un incidente de cifrado, el orden correcto de actuación está en la guía de respuesta a ransomware para PYMES: aislar, no pagar a ciegas y restaurar desde una copia que el atacante no haya tocado. Sin esa copia, el plan se queda en el título.

Cómo se prueba un restore (y por qué importa más que el software)

Un backup que no se ha restaurado es una hipótesis. El software puede pintar un check verde durante meses y, el día D, el job no tiene los buzones que pensabas, la base de datos está inconsistente o la contraseña del repositorio la tenía una persona que ya no está. La prueba de restore es el único antídoto. No hace falta restaurar la empresa entera cada viernes. Hace falta un ritual pequeño, documentado y firmado.

Una prueba útil cabe en una hora al mes o al trimestre, según el volumen. Se elige un objeto representativo: un buzón, una carpeta de proyectos, una máquina virtual de un puesto, la base del programa de facturación. Se restaura en un destino aislado —otro equipo, un datastore de pruebas, una carpeta temporal— y se abre. Se comprueba la fecha, se abre un archivo, se arranca la aplicación. Se anota quién lo hizo, cuánto tardó y qué falló. Si falló, se corrige el job antes de que el fallo sea real. Ese papel, o esa fila en una hoja, es lo que un auditor o un cliente grande te puede pedir. Es también lo que te permite dormir.

Hay restauraciones que solo se descubren en el simulacro. Permisos de SharePoint que no vuelven. Un SQL que restaura pero no arranca porque faltaba el log. Un NAS cuyo share está cifrado con una clave que nadie guardó fuera. Un cloud cuyo usuario de servicio caducó y el job «iba bien» porque nadie miró el log, solo el icono. Las pruebas no son desconfianza hacia el técnico. Son el equivalente a evacuar el edificio una vez al año: incómodo, barato comparado con el incendio.

El gerente puede exigir tres cosas sin saber de software. Primera: calendario de pruebas (mensual o trimestral, no «cuando se pueda»). Segunda: un resultado escrito, aunque sea un correo interno con fecha y objeto restaurado. Tercera: que la prueba la pueda hacer más de una persona. El bus factor de un backup es un riesgo de negocio. Si solo Ana sabe restaurar y Ana está de vacaciones en agosto, el RTO se va a septiembre.

Cuando el original ya no existe —disco muerto, SSD que no enumera, servidor ahogado— no estás en modo prueba, estás en modo recuperación de datos. Ahí el orden cambia: no se formatea, no se repara a ciegas, no se «prueba a ver». Lo contamos con detalle en qué hacer cuando se rompe un disco o un SSD. La moraleja para dirección es simple: la recuperación de laboratorio es el plan B caro. El 3-2-1 es el plan A. Las empresas que tienen el plan A casi nunca pagan el B.

Un 3-2-1 realista para una PYME en isla

No hace falta un datacenter. Hace falta honestidad sobre qué duele perder. Una gestoría no es un taller. Una clínica no es una tienda. El esquema, sin embargo, se parece.

Original: el servidor o el tenant de Microsoft 365, más los equipos que aún guardan cosas «porque siempre se ha hecho así». Segunda copia: un repositorio en la oficina —NAS decente, no un USB de oferta— con retenciones diarias y semanales, no montado a la vista de todos los usuarios. Tercera copia: destino cloud cifrado, con inmutabilidad o retención que un ransomware no pueda borrar con las mismas credenciales del job. Frecuencia: lo que el RPO pida. Un despacho que factura cada hora no puede copiar solo los viernes. Un archivo fotográfico que crece de noche puede vivir con una ventana nocturna.

El correo y los archivos de Microsoft 365 merecen mención propia. Migrar bien el tenant no es lo mismo que respaldarlo. Si el correo es el sistema nervioso de la empresa, una copia del tenant a otro destino cierra el hueco que la sincronización deja abierto. El servidor on-premise, si existe, necesita su propio job: no solo los ficheros, también el estado del sistema y, si hay Active Directory, un segundo controlador o al menos una copia recuperable del AD. Mezclar «ya está en la nube» con «el servidor no se toca» es cómo se quedan agujeros.

El presupuesto se discute mejor en capas. Capa 1: que exista el 3-2-1 para lo crítico. Capa 2: que se pruebe. Capa 3: inmutabilidad, copias de buzones, cifrado de discos rotativos. Comprar la capa 3 sin la 1 es coleccionismo. Un catálogo de servicios informáticos sirve para encajar backup con mantenimiento, red y licencias, no para apilar productos. En proyectos grandes, el orden que vimos al desplegar infraestructura para Canary Islands Consulting se sostiene: red e identidades primero, copias que se puedan restaurar después, no al revés.

Un gerente puede cerrar la reunión con una lista corta. Inventario de datos críticos en una página. Dibujo de las tres copias. Nombre de los dos medios. Ubicación de la copia fuera. Fecha de la última prueba de restore. Personas que saben restaurar. Encargado de tratamiento si el destino es de un proveedor. Con eso, el 3-2-1 deja de ser un meme de Twitter y pasa a ser una decisión de tesorería y de continuidad. El resto es ejecución, y la ejecución se puede contratar. El criterio, no.

Preguntas frecuentes

¿Cuántas copias necesita una empresa pequeña en Tenerife?

Las mismas tres de la regla, escaladas al volumen. Una clínica con un servidor y diez puestos no necesita un robot de cintas. Necesita original, repositorio local y destino fuera —habitualmente cloud europeo— más una prueba de restore. El tamaño cambia el hardware, no el número.

¿Un NAS en la oficina cuenta como la copia de fuera?

No. Cuenta como segundo medio local, y solo si no es el mismo disco del servidor. La copia de fuera tiene que sobrevivir a un incendio, un robo o un acceso físico al local. El NAS del cuarto de servidores no cumple ese punto.

¿OneDrive con historial de versiones ya es suficiente?

Es mejor que no tener nada, y no es un 3-2-1. El historial vive en el mismo tenant. Un error de administrador, una retención mal configurada o un ataque con privilegios altos pueden vaciarlo. Úsalo como red cotidiana y mantén una copia independiente del tenant si el correo y los archivos son críticos.

¿Cada cuánto hay que probar una restauración?

Como mínimo una vez al trimestre sobre un objeto representativo, y siempre después de un cambio gordo: migración de servidor, cambio de proveedor cloud, rotación de credenciales. Si facturas cada día sobre esos datos, acércalo a una vez al mes. El indicador no es el software en verde: es un documento con fecha y resultado.

¿Qué pasa si el disco ya ha muerto y no hay copia fuera?

Se para cualquier intento casero y se valora un laboratorio de recuperación. No se formatea, no se ejecutan reparadores milagrosos y no se mete el disco en el congelador. Cuanto antes se evite el daño adicional, más opciones hay. Aun así, la recuperación no sustituye al 3-2-1: es más lenta, más cara y no siempre completa.

¿El cloud cumple el RGPD por el hecho de estar «en Europa»?

La región ayuda, no cierra el expediente. Hace falta contrato de encargado, cifrado, control de accesos y una retención coherente con el tratamiento. La Agencia no pregunta solo dónde está el datacenter: pregunta si puedes restaurar y quién puede borrar.