La regla 3-2-1 de las copias de seguridad en una pyme

La regla 3-2-1 de las copias de seguridad dice que tengas tres copias de tus datos, en dos soportes distintos, y que una de ellas esté fuera de la oficina. En una pyme suele traducirse en los datos originales en el servidor o en la nube, una copia local en un NAS para recuperar rápido y otra copia externa (en la nube o en un soporte que sale de la oficina) para cuando pasa algo grave. Es una norma sencilla que cubre los desastres habituales: un disco que se rompe, un borrado, un robo, un incendio o un ransomware.

Qué significa cada número de la regla 3-2-1

Tres copias

Los datos originales cuentan como una. Es decir, además de lo que usas cada día, necesitas dos copias más. La lógica es de sentido común: que fallen a la vez dos cosas independientes es poco probable, y que fallen tres, mucho menos.

Dos soportes distintos

Si el original y la copia están en el mismo disco, o en dos discos del mismo servidor, un fallo de ese equipo se lleva las dos. Soportes distintos significa, por ejemplo, el servidor y un NAS, o un NAS y un servicio en la nube. Un segundo disco dentro de la misma máquina protege de la avería de un disco, y eso tiene nombre propio: redundancia o RAID. Si alguien borra un archivo, el RAID lo borra en los dos discos a la vez.

Una copia fuera

Un incendio, una inundación, un robo en la oficina o un ransomware que llega a todo lo que está en la red. Para esos casos necesitas una copia que esté físicamente en otro sitio y a la que no se pueda llegar con las mismas credenciales que al resto. Lo más práctico suele ser la nube. Hace años era un disco que alguien se llevaba a casa los viernes, y en empresas muy pequeñas sigue funcionando si alguien lo hace de verdad cada semana.

Cómo quedaría en una pyme: un ejemplo

Supón una empresa de mecanizado en Terrassa con veinte personas, un servidor con el ERP y las carpetas compartidas, y planos de clientes que no se pueden perder. Una forma razonable de aplicar la regla sería esta:

El NAS no debería estar en el mismo armario que el servidor ni compartir la contraseña de administrador del dominio. Y la copia en la nube no debería poder borrarse desde la oficina: si un atacante entra con una cuenta de administrador, lo primero que busca son las copias. Si dudas qué soporte elegir, comparamos las opciones en el artículo NAS o nube para las copias de seguridad. En empresas con planta y maquinaria, como las del sector industrial, conviene incluir también los programas y configuraciones de las máquinas, que a menudo solo existen en un ordenador del taller.

La versión ampliada: 3-2-1-1-0

Con el ransomware, a la regla se le han añadido dos números. El segundo «1» pide que una copia sea inmutable o esté desconectada, es decir, que nadie pueda modificarla ni borrarla durante un tiempo, ni siquiera con la contraseña de administrador. El «0» pide cero errores: que las copias se verifiquen y se restauren de prueba sin fallos.

A nosotros nos parece la versión que hay que aplicar ahora. La regla original se pensó para averías y desastres físicos; la ampliada tiene en cuenta que alguien puede intentar destruir las copias a propósito antes de pedir el rescate.

Qué datos hay que incluir en las copias de seguridad

Las carpetas compartidas son lo evidente. Lo que se olvida más a menudo es esto:

• La base de datos del ERP o del programa de contabilidad, copiada de forma coherente y no copiando los archivos mientras el programa está abierto.
• El correo, OneDrive, SharePoint y Teams de Microsoft 365. Microsoft mantiene el servicio funcionando y guarda papelera y versiones durante un tiempo limitado, pero la copia de tus datos es responsabilidad tuya.
• Los portátiles de quien guarda archivos en el escritorio en lugar de en la carpeta compartida.
• Configuraciones: router, firewall, servidores, máquinas de planta.

Errores frecuentes al aplicar la regla

El más habitual es dar por hecho que las copias funcionan porque nadie ha visto un error. Las tareas de copia fallan en silencio: un disco lleno, una contraseña que cambió, una carpeta que alguien movió. Otro error es tener la copia externa en un disco USB que se queda siempre conectado por comodidad; frente a un ransomware es como no tenerla. Y uno más: guardar copias durante muy poco tiempo. Si un archivo se corrompe y nadie se da cuenta en dos semanas, una retención de siete días ya no sirve.

También vemos a menudo copias que existen pero que nadie sabe restaurar. La persona que montó el sistema se fue, la contraseña de cifrado no está apuntada en ningún sitio, el procedimiento vive en su memoria. Documentarlo lleva una hora y evita un mal rato.

Cómo comprobar que tus copias cumplen la regla

1. Haz una lista de qué datos tienes y dónde están.
2. Para cada uno, anota cuántas copias hay, en qué soporte y dónde están físicamente.
3. Revisa que al menos una copia esté fuera y no se pueda borrar con las credenciales de la oficina.
4. Lee los informes de copia de la última semana, uno por uno.
5. Restaura algo de prueba: un archivo, una carpeta y, una vez al año, un servidor completo en un entorno aparte.

Si en el paso dos encuentras datos con una sola copia, ya sabes por dónde empezar.

En TICB2B montamos y supervisamos copias de seguridad gestionadas siguiendo esta regla, y suministramos el NAS o el servidor de copias cuando hace falta. Si quieres saber si tus copias aguantarían un mal día, pídenos una revisión de tus copias.