Regla de Backup 3-2-1: La Guía Definitiva para Proteger tus Datos
La regla 3-2-1 de copias de seguridad es el estándar de oro para proteger información tanto en hogares como en empresas: mantén al menos 3 copias de tus datos, en al menos 2 tipos de soporte distintos, con al menos 1 copia almacenada fuera de tu ubicación principal. Seguir esta regla elimina prácticamente todos los escenarios de pérdida total de datos.
Qué significa exactamente la regla 3-2-1
El origen de la regla 3-2-1 se atribuye al fotógrafo Peter Krogh, quien la popularizó en su libro sobre gestión de archivos digitales a principios de los años 2000. La simplicidad de sus tres principios es precisamente lo que la ha convertido en el estándar de facto recomendado por organismos como el NIST, el Centro Criptológico Nacional (CCN-CERT) y todos los fabricantes de soluciones de backup empresarial.
Desglosemos cada componente:
- 3 copias de los datos: el original más dos copias de respaldo. El objetivo no es redundancia por redundancia — es que cuando una copia falla (y eventualmente siempre falla), todavía tengas dos más disponibles mientras recuperas la situación.
- 2 tipos de soporte diferentes: no sirve tener tres copias en tres discos duros externos idénticos comprados en el mismo lote. Los fallos por lote de fabricación, por sobretemperatura en un armario o por un mismo virus que ataca todos los discos conectados al mismo ordenador son reales. Combina soportes: disco duro externo + NAS, o disco externo + nube, o cinta + nube.
- 1 copia fuera de la ubicación principal: incendios, robos, inundaciones e incluso errores humanos graves (como formatear el ordenador sin querer) pueden destruir simultáneamente tanto el original como todas las copias locales. Una copia en una segunda ubicación física — la nube, la casa de un familiar, una caja fuerte ignífuga en otra oficina — es el seguro de vida de tus datos.
Por qué el disco duro externo solo no es suficiente
Muchos usuarios creen que copiar sus archivos a un disco duro externo les protege completamente. Esta creencia es peligrosa por varios motivos:
- El disco externo suele estar conectado permanentemente al ordenador. Un ransomware cifra todos los discos accesibles, incluidos los externos conectados por USB. Si tu backup está siempre enchufado, el ransomware lo cifrará junto con el original.
- Disco original y copia en la misma ubicación. Un incendio, una inundación o un robo eliminan ambos simultáneamente.
- Los discos externos fallan. Las estadísticas de Backblaze muestran tasas de fallo del 5-10% anual para discos de consumo. Con el tiempo, la probabilidad de que ese único disco externo falle se acerca al 100%.
- No se verifica si funciona. Un backup que nunca se ha restaurado es un backup cuya validez se desconoce. Los archivos pueden estar corruptos, el disco puede tener sectores defectuosos en las áreas críticas, o la imagen puede estar incompleta.
Por qué la nube sola tampoco es suficiente
El extremo opuesto es igualmente arriesgado: delegar toda la protección de datos a un servicio de nube como Google Drive, OneDrive o Dropbox presenta vulnerabilidades propias:
- Sincronización bidireccional no es backup. Si borras o cifras un archivo por error, los servicios de sincronización propagan ese borrado o cifrado a la nube en cuestión de segundos. Muchos servicios conservan versiones anteriores, pero el periodo suele ser limitado (30-90 días en planes básicos).
- Dependencia del proveedor. Cierres de servicio, cambios de política, cuentas bloqueadas por error o ataques a la infraestructura del proveedor pueden dejarte sin acceso temporalmente o definitivamente.
- Coste a largo plazo. Para volúmenes grandes de datos (fotógrafos, videógrafos, investigadores), el coste mensual de la nube puede superar con creces el de soluciones locales.
- Velocidad de restauración. Restaurar 2 TB desde la nube con una conexión de fibra de 300 Mbps tarda más de 15 horas. Para restauraciones urgentes de grandes volúmenes, el soporte local es imprescindible.
Variantes modernas: 3-2-1-1-0 y 4-3-2
La regla 3-2-1 clásica ha evolucionado para afrontar amenazas que no existían cuando fue formulada, principalmente el ransomware y los ataques dirigidos a sistemas de backup:
Regla 3-2-1-1-0
Esta variante añade dos elementos cruciales:
- +1 copia inmutable (air-gapped u offline): una copia que ningún software puede modificar ni cifrar, ya sea porque está físicamente desconectada (cinta, disco desenchufado) o porque el soporte utiliza almacenamiento con bloqueo WORM (Write Once, Read Many). Esta es la defensa definitiva contra ransomware: aunque el atacante controle todos tus sistemas conectados, no puede alcanzar una cinta guardada en un armario.
- +0 errores verificados en restauración: el cero indica que los backups se prueban regularmente y se confirma que la restauración funciona correctamente. Un backup no verificado es un backup de valor desconocido.
Regla 4-3-2
Diseñada para entornos empresariales con requisitos de alta disponibilidad:
- 4 copias de los datos
- 3 ubicaciones distintas
- 2 copias en servicios de nube independientes (multi-cloud)
Esta variante protege incluso contra la quiebra o el fallo mayor de un proveedor de nube, un escenario que aunque poco probable tiene consecuencias catastróficas para quienes dependen de un único proveedor.
Backups inmutables: la defensa contra ransomware
El ransomware moderno no solo cifra los archivos del sistema principal — busca activamente y cifra o elimina las copias de seguridad accesibles en red. Los grupos como LockBit, Conti o BlackCat dedican tiempo específico a identificar y destruir backups antes de ejecutar el cifrado masivo, precisamente para eliminar la posibilidad de restauración.
La única defensa efectiva es un backup que el ransomware no pueda modificar aunque tenga acceso a todos los sistemas de la red. Las opciones son:
- Cinta magnética (LTO): la cinta es el medio más seguro para backups air-gapped. Una vez escrita y retirada de la unidad, es físicamente inaccesible para cualquier software. Las cintas LTO-8 almacenan hasta 12 TB nativos por cartucho con costes de almacenamiento muy inferiores a la nube para grandes volúmenes.
- Object storage con bloqueo de objetos: servicios como Wasabi, Backblaze B2 o Amazon S3 ofrecen bloqueo de objetos en modo WORM que impide la modificación o eliminación durante el periodo configurado, incluso al administrador. Esta característica, combinada con credenciales de solo escritura en el agente de backup, hace los backups impermeables al ransomware.
- Disco externo rotativo desconectado: varios discos externos que se rotan (uno conectado durante la copia, los demás guardados físicamente desconectados) son una solución económica para hogares y pymes.
Herramientas de backup recomendadas por perfil
Usuarios domésticos — Windows
- Windows Backup (integrado): suficiente para usuarios básicos. Configura la copia en un disco externo y activa el historial de archivos para versiones.
- Macrium Reflect Free: crea imágenes completas del sistema que permiten restauración bare-metal. Gratis para uso personal.
- Backblaze Personal Backup: copia de seguridad continua en nube por unos 9 €/mes. Ilimitado en almacenamiento para un ordenador, con historial de versiones de 1 año.
Usuarios domésticos — Mac
- Time Machine (integrado): excelente solución para backups locales. Combínalo con un servicio de nube para cumplir la regla 3-2-1.
- Backblaze Personal Backup: mismo servicio que en Windows, compatible con Mac.
Pequeñas y medianas empresas
- Veeam Backup & Replication Community Edition: gratis para hasta 10 instancias. Estándar de facto para entornos VMware/Hyper-V. Soporta backups inmutables a object storage compatible S3.
- Acronis Cyber Protect: solución todo en uno con backup, antivirus y protección anti-ransomware integrados. Precio por GB almacenado.
- Synology Hyper Backup: si dispones de un NAS Synology, Hyper Backup permite replicar a múltiples destinos (otro NAS, disco externo, nube Synology C2 o S3) con deduplicación y versiones.
Empresas con grandes volúmenes de datos
- Veeam Backup Enterprise Plus con repositorio de objeto inmutable en Wasabi o Backblaze B2.
- Commvault / Rubrik: soluciones enterprise con gestión centralizada, cumplimiento normativo (GDPR, ENS) y recuperación granular de Active Directory, Exchange y SharePoint.
Cómo implementar la regla 3-2-1 en casa paso a paso
- Identifica qué datos son irreemplazables: fotos de familia, documentos personales, proyectos de trabajo, contraseñas. Haz un inventario y estima el volumen total.
- Copia local automatizada: configura Windows Backup, Time Machine o Macrium Reflect para realizar copias automáticas a un disco externo al menos una vez al día.
- Copia en nube continua: activa Backblaze Personal Backup o similar. El cliente funciona en segundo plano y sube continuamente los archivos nuevos o modificados.
- Verifica la restauración cada 3 meses: elige un archivo al azar de cada copia y comprueba que puedes restaurarlo correctamente. Documenta la prueba.
- Añade una copia air-gapped si manejas datos críticos: compra un segundo disco externo, realiza una copia completa mensual y guárdalo en un lugar separado (oficina, casa de familiar, caja de seguridad).
Errores más comunes en la estrategia de backup
- Solo hacer backup "cuando me acuerdo": los backups manuales siempre son irregulares. La automatización es imprescindible.
- No probar la restauración: hasta un 30% de los backups presentan problemas en la restauración según estudios del sector. Si no lo pruebas, no sabes si funciona.
- Guardar el backup en la misma partición que los datos: si el disco falla, se pierde todo.
- No cifrar los backups en nube o disco externo: si el disco externo se pierde o te roban el portátil con el backup, tus datos quedan expuestos. Activa el cifrado AES-256 en la herramienta de backup.
- No actualizar la estrategia cuando crecen los datos: lo que funcionaba con 100 GB puede ser insuficiente con 2 TB. Revisa capacidades, tiempos de restauración y costes anualmente.
WhatsApp