Copias de seguridad 3-2-1 para empresas: cómo montarlas para sobrevivir al ransomware

¿Cuándo fue la última vez que restauraste una copia de seguridad completa, de principio a fin y con el reloj en marcha? El día que el servidor de contabilidad amanezca cifrado, la supervivencia de tu empresa se reducirá a una sola pregunta: ¿tienes una copia de seguridad que el atacante no haya podido cifrar ni borrar? Los grupos de extorsión saben que un buen respaldo arruina su negocio, por lo que su primer objetivo siempre es destruir tus copias antes de bloquear los sistemas de producción. En esta guía vamos a ver cómo diseñar una estrategia de copias resistente, qué opciones técnicas tienes para aislar tus datos y cómo asegurar que podrás restaurarlo todo el día que haga falta.

Qué es y por qué importa

La regla 3-2-1 es el estándar histórico de la industria para garantizar que los datos de una organización sobrevivan a casi cualquier desastre. Nació hace décadas pensando en fallos de hardware, incendios o inundaciones. Sin embargo, el panorama de amenazas ha cambiado. Hoy, el principal riesgo para tus datos no es un disco duro roto, sino un atacante humano o un ransomware (secuestro de datos) automatizado que busca activamente tus repositorios de copias para eliminarlos.

Por este motivo, la regla original ha evolucionado hacia la estrategia 3-2-1-1-0, que añade capas de aislamiento lógico y físico para resistir ataques dirigidos. Si un ciberdelincuente compromete tu red y obtiene credenciales de administrador, esta arquitectura garantiza que siempre tendrás un salvavidas intacto.

Imagina una pyme de distribución en Valencia. Tienen su ERP, su base de datos de clientes y su histórico de facturación en un servidor local. Si sufren un ataque de ransomware, el código malicioso cifrará el servidor principal. Si su única copia de seguridad está en un NAS conectado a la misma red y accesible con las mismas contraseñas, el atacante también lo cifrará. La empresa se quedará a cero. Si, por el contrario, aplican una arquitectura 3-2-1-1-0 con un repositorio inmutable en la nube, el atacante no podrá alterar esa copia, por muchos permisos que haya robado en la red local. La empresa podrá formatear sus equipos, restaurar los datos y seguir operando.

Desglose de la regla 3-2-1-1-0

Para construir un sistema de copias robusto, debes entender y aplicar cada uno de los números de esta fórmula. No son sugerencias; son requisitos independientes que se complementan entre sí.

3 copias de los datos

Debes mantener siempre el dato original en producción y, al menos, dos copias de seguridad adicionales. La estadística básica dicta que la probabilidad de que tres sistemas independientes fallen al mismo tiempo es extremadamente baja. Si tu servidor principal se corrompe y tu primera copia de seguridad falla al restaurar, todavía tienes una segunda línea de defensa.

2 soportes o tecnologías distintas

Guardar tres copias en tres discos duros de la misma marca, comprados el mismo día y conectados al mismo servidor, es un riesgo inmenso. Un fallo eléctrico, un defecto de fábrica en esa serie de discos o un error en el controlador de almacenamiento podría destruir todas las copias a la vez. Debes usar tecnologías diferentes: un servidor y un NAS, un disco local y almacenamiento en la nube, o almacenamiento en disco y cintas magnéticas.

1 copia fuera de la oficina

Un incendio, una inundación, un robo físico o una subida de tensión catastrófica pueden arrasar con todo el equipamiento de tu sede principal. Al menos una de las copias debe estar geográficamente separada. Hoy en día, esto suele resolverse enviando una copia cifrada a un proveedor de nube, aunque también es válido llevar físicamente discos o cintas a otra ubicación segura.

1 copia inmutable o desconectada

Este es el añadido fundamental contra el ransomware. Necesitas una copia offline (desconectada físicamente de cualquier red, como un disco en un cajón) o inmutable (protegida por software para que nadie, ni siquiera un administrador, pueda modificarla o borrarla durante un tiempo determinado). Si el atacante no puede acceder al soporte o el sistema rechaza sus comandos de borrado, tus datos están a salvo.

0 errores en las pruebas

Una copia de seguridad que nunca has intentado restaurar no es una copia, es una esperanza. El “cero” exige que realices pruebas de restauración periódicas y que el resultado sea impecable. Debes comprobar que los datos son consistentes, que las bases de datos arrancan sin corrupción y que el tiempo que tardas en recuperar la información es asumible para el negocio.

Opciones para conseguir la inmutabilidad y el aislamiento

Lograr que una copia sea intocable para un atacante requiere elegir la tecnología adecuada según tu presupuesto y tus necesidades operativas.

Almacenamiento inmutable en la nube

Es la opción más popular hoy en día. Utiliza la función de bloqueo de objetos (object lock) o modo WORM (Write Once Read Many, escribir una vez y leer muchas) en servicios compatibles con el protocolo S3. Una vez que el software de backup sube el fichero a la nube, este queda bloqueado. Si un atacante intenta borrarlo, el proveedor de nube rechaza la orden hasta que expire el periodo de retención configurado (por ejemplo, 30 días).

Esta tecnología protege los datos sin necesidad de mantener un entorno físico separado. Sin embargo, debes usarla con precaución: un almacenamiento inmutable mal configurado puede generar costes altísimos si bloqueas terabytes de datos por error durante años, y en algunos sectores muy regulados puede entrar en conflicto con normativas que exigen el derecho a la supresión de datos (como el RGPD).

Para comprobar si un bucket (contenedor de almacenamiento) de AWS S3 tiene el bloqueo de objetos activado, puedes usar este comando de solo lectura en tu terminal:

aws s3api get-object-lock-configuration --bucket nombre-de-tu-bucket

Estrategia multinube

Para evitar la dependencia de un solo proveedor (vendor lock-in), es muy recomendable utilizar soluciones multinube. Si envías tus copias a dos proveedores de nube distintos, te proteges ante la posibilidad de que todas las cuentas de un mismo proveedor se vean comprometidas por un ciberataque masivo, un fallo global del servicio o un problema administrativo con tu facturación.

Repositorios endurecidos locales

Muchos fabricantes de software de backup permiten configurar servidores Linux locales como repositorios inmutables. Se configuran con permisos muy restrictivos, se desactiva el acceso remoto por SSH y se utilizan atributos del sistema de archivos para impedir el borrado. Es una opción excelente para tener inmutabilidad local y restaurar a gran velocidad, sin depender del ancho de banda de internet.

Cintas magnéticas y discos externos

La cinta magnética (LTO) sigue siendo una de las mejores defensas contra el ransomware. Una vez que la cinta sale de la unidad lectora y se guarda en un armario, está completamente offline. Es imposible hackear un trozo de plástico aislado en una estantería. Los discos externos rotativos cumplen la misma función para empresas más pequeñas, siempre que exista la disciplina estricta de conectarlos, hacer la copia y desconectarlos físicamente cada día.

Proteger la infraestructura de copias

El sistema que gestiona tus copias de seguridad es el objetivo número uno de cualquier intrusión. Debes protegerlo como si fuera la joya de la corona de tu empresa.

Separación absoluta de identidades

El error más letal es unir el servidor de copias de seguridad al mismo directorio activo (Active Directory) que el resto de la empresa. Si un atacante consigue privilegios de administrador del dominio, automáticamente tendrá control sobre el servidor de copias. El entorno de backup debe estar en un grupo de trabajo independiente o en un dominio de gestión aislado, con usuarios y contraseñas completamente distintos que no se usen en ningún otro equipo.

Autenticación multifactor (MFA)

El acceso a la consola de administración del software de backup y al panel de control de tu proveedor de nube debe requerir MFA obligatoriamente. Si un atacante roba la contraseña del administrador de copias, el segundo factor de autenticación bloqueará su intento de acceso.

Imágenes doradas y código fuente

No basta con respaldar los datos de los usuarios; también debes poder reconstruir la infraestructura rápidamente. Mantén y actualiza regularmente “imágenes doradas” (golden images), que son plantillas preconfiguradas con el sistema operativo y las aplicaciones base de tu empresa.

Además, almacena de forma offline el código fuente de tus aplicaciones propias, los ejecutables de instalación de tu software crítico y los acuerdos de licencia. Si utilizas la nube, usa infraestructura como código (IaC) para desplegar tus recursos y guarda copias offline de esas plantillas. Reconstruir desde imágenes es rápido, pero a veces las imágenes fallan al instalarse en hardware diferente; tener los instaladores originales te salvará en esos casos.

Conservación de hardware de respaldo

Si un ataque destruye tus servidores físicos o te obliga a precintarlos para una investigación forense, tendrás que restaurar tus copias en máquinas nuevas. Conserva hardware de respaldo o reemplaza el hardware obsoleto de forma planificada. Intentar restaurar una imagen de un servidor de hace diez años en un equipo moderno suele generar graves problemas de compatibilidad de controladores que retrasarán tu recuperación durante días.

RPO y RTO: Criterios para decidir

Antes de comprar discos o contratar almacenamiento en la nube, debes sentarte con la dirección de la empresa y definir dos métricas críticas para cada sistema. No todos los datos valen lo mismo ni requieren la misma urgencia.

• RPO (Recovery Point Objective, objetivo de punto de recuperación): ¿Cuántos datos puedes permitirte perder? Se mide en tiempo. Si haces una copia diaria a las 22:00 y sufres un ataque a las 16:00 del día siguiente, perderás todas las horas de trabajo de esa jornada. Si el negocio no puede tolerar eso, necesitas un RPO menor (por ejemplo, copias cada hora o replicación continua).
• RTO (Recovery Time Objective, objetivo de tiempo de recuperación): ¿Cuánto tiempo puedes estar con el sistema caído hasta que se restaure? Descargar 5 terabytes desde la nube con una conexión estándar puede tardar varios días. Si tu RTO es de 4 horas, necesitas una copia local rápida, además de la copia en la nube.

Sistema crítico	RPO (Pérdida aceptable)	RTO (Tiempo de caída)	Estrategia recomendada
ERP / Base de datos	1 hora	4 horas	Replicación continua local + Copia inmutable diaria en nube.
Servidor de ficheros (trabajo actual)	4 horas	8 horas	Copias incrementales cada 4 horas a NAS + Copia diaria a nube.
Archivo histórico (solo lectura)	24 horas	48 horas	Copia diaria a NAS + Copia semanal a cinta o nube fría.
Correo electrónico (M365/Google)	12 horas	24 horas	Backup cloud-to-cloud (de nube a nube) con retención de 1 año.

Errores habituales

Incluso conociendo la teoría, las empresas suelen caer en trampas operativas que invalidan su estrategia de copias en el peor momento posible.

1. Confundir sincronización con copia de seguridad: Herramientas como OneDrive, Dropbox o Google Drive sincronizan los cambios en tiempo real. Si el ransomware cifra un archivo en tu ordenador, el cliente de sincronización subirá inmediatamente la versión cifrada a la nube, sobrescribiendo el archivo original. Cómo evitarlo: Usa software de backup real que cree puntos de restauración independientes, no herramientas de sincronización.
2. Ignorar los datos en plataformas SaaS: Existe el falso mito de que Microsoft 365 o Google Workspace no necesitan copias porque “están en la nube de gigantes tecnológicos”. Estas plataformas SaaS (Software as a Service, software como servicio) garantizan la disponibilidad del servicio, pero los datos son tu responsabilidad. Si un empleado borra correos por error o un atacante vacía los buzones, las papeleras de reciclaje tienen un límite de retención muy corto. Cómo evitarlo: Contrata una solución de backup específica para tus entornos SaaS.
3. No segmentar la red del repositorio: Si cualquier equipo de la red de ofimática puede hacer ping o intentar conectarse por red al servidor de copias, estás facilitando el trabajo al atacante. Cómo evitarlo: Coloca el almacenamiento de backup en una VLAN (red de área local virtual) aislada, permitiendo únicamente el tráfico estrictamente necesario desde los servidores de producción hacia el repositorio.
4. Dejar los discos externos conectados: Un disco duro USB que se usa para copias pero se queda conectado permanentemente al servidor es, a efectos prácticos, un disco interno más. El ransomware lo encontrará y lo cifrará. Cómo evitarlo: Establece un procedimiento estricto para desconectar físicamente el disco tras cada copia y rotarlo con otros discos.

Lista de comprobación

Usa esta lista para auditar el estado actual de los respaldos en tu organización. Si marcas todas las casillas, estarás preparado para sobrevivir a un incidente grave.

• Mantenemos al menos tres copias de nuestros datos críticos (producción + dos respaldos).
• Utilizamos dos tecnologías o soportes de almacenamiento diferentes para evitar fallos sistémicos.
• Tenemos al menos una copia almacenada fuera de nuestras instalaciones físicas.
• Contamos con una copia inmutable o completamente desconectada de la red (offline).
• El servidor de copias no está unido al dominio principal y usa credenciales exclusivas.
• El acceso a la consola de backup y a los repositorios en la nube exige autenticación multifactor (MFA).
• Guardamos copias offline de nuestras imágenes doradas, código fuente y ejecutables clave.
• Hemos definido por escrito el RPO y el RTO para cada servicio crítico con la dirección de la empresa.
• Realizamos simulacros de restauración en un entorno aislado al menos una vez al trimestre.
• Comprobamos regularmente que conservamos hardware compatible para restaurar nuestras imágenes antiguas.

Preguntas frecuentes

¿Cuánto cuesta implementar una arquitectura 3-2-1-1-0?

El coste varía enormemente según el volumen de datos. El software de backup profesional se suele licenciar por servidor o por usuario. El almacenamiento inmutable en la nube se paga por gigabyte almacenado al mes, más los costes de transferencia de datos; como las tarifas cambian según el proveedor y la región, calcula tu caso con la calculadora de precios de cada servicio antes de decidir. A esto hay que sumar el hardware local (NAS o servidor).

¿Es suficiente con hacer copias de máquinas virtuales completas?

No siempre. Para servidores de ficheros básicos puede servir, pero si tienes bases de datos (SQL, Oracle) o servidores de correo, necesitas que la copia sea “consistente con la aplicación” (application-aware). Si haces una copia bruta de la máquina virtual mientras la base de datos está escribiendo, al restaurarla es muy probable que los datos estén corruptos.

¿Debo cifrar las copias de seguridad?

Sí, siempre. Especialmente las copias que salen de tu oficina hacia la nube o en discos físicos. Si el proveedor de nube sufre una brecha o el mensajero pierde el disco duro externo, un backup sin cifrar expone toda la información confidencial de tu empresa. Asegúrate de guardar la clave de descifrado en un gestor de contraseñas seguro, totalmente separado del sistema de copias.

¿Cada cuánto tiempo debo guardar las copias históricas?

Depende de tus obligaciones legales (fiscales, sanitarias, etc.) y de las necesidades del negocio. Una política de retención estándar muy utilizada en pymes es la regla GFS (Grandfather-Father-Son, Abuelo-Padre-Hijo): copias diarias retenidas durante 30 días, copias semanales retenidas durante 3 meses, y copias mensuales retenidas durante 1 a 5 años.

En resumen

• La regla 3-2-1-1-0 es el estándar innegociable hoy en día para garantizar que siempre tendrás una copia limpia tras un ciberataque.
• La inmutabilidad en la nube o el aislamiento físico (offline) son las únicas barreras reales contra un ransomware diseñado para buscar y destruir respaldos.
• Proteger la infraestructura de copias separando identidades, segmentando la red y forzando el uso de MFA es tan importante como la propia copia.
• Sin pruebas periódicas de restauración que demuestren que cumples tus tiempos de recuperación (RTO), tu estrategia de copias es solo una teoría sobre el papel.