Regla 3-2-1 de backup: cómo proteger la información de tu empresa

La regla 3-2-1 consiste en tener tres copias de tus datos, en dos tipos de almacenamiento distintos, con una de ellas fuera de la oficina. Es la práctica de respaldo más recomendada porque evita que un solo incidente —un disco que falla, un robo, un incendio o un ataque de ransomware— acabe con toda la información de la empresa.

Qué significa cada número

• 3 copias: los datos originales más dos copias de seguridad. Si una falla, quedan otras dos.
• 2 tipos de almacenamiento: por ejemplo, un servidor o disco local y la nube. Así, una falla propia de un medio no afecta a todas las copias.
• 1 copia fuera de la oficina: en la nube o en otra sede, para que un incendio, una inundación o un robo no destruyan también el respaldo.

Por qué una sola copia no es suficiente

Muchas empresas creen estar protegidas porque copian sus archivos a un disco externo de vez en cuando. El problema es que ese disco suele estar en la misma oficina, conectado al mismo equipo y sin que nadie haya comprobado que la copia sirve. Si un ransomware cifra el computador, puede cifrar también el disco conectado; si hay un robo, se llevan ambos.

El ransomware merece atención especial: cifra la información y exige un pago para devolverla, y con frecuencia busca primero las copias de seguridad accesibles desde la red para inutilizarlas. Por eso hoy se recomienda que al menos una copia sea inmutable o esté desconectada.

La versión actual: 3-2-1-1-0

La regla se ha ampliado para responder a esas amenazas. A las tres condiciones originales se suman dos más:

• 1 copia inmutable o desconectada: no se puede modificar ni borrar durante un periodo definido, ni siquiera con credenciales de administrador.
• 0 errores: las copias se verifican y se prueban restauraciones con regularidad. Un backup que nunca se ha probado no es una garantía.

Cómo aplicar la regla 3-2-1 en tu empresa

• Haz un inventario de lo que debes proteger: servidores, equipos de trabajo, bases de datos, correo y aplicaciones en la nube como Microsoft 365.
• Define cuánta información puedes permitirte perder —una hora, un día de trabajo— y, con eso, la frecuencia de las copias.
• Define en cuánto tiempo necesitas volver a operar después de un incidente.
• Automatiza las copias: las que dependen de que alguien se acuerde terminan por no hacerse.
• Cifra los respaldos y separa sus credenciales de las del resto de sistemas.
• Conserva varias versiones, para poder volver a un punto anterior a un ataque o a un error.
• Prueba la restauración con una periodicidad fija, por ejemplo cada trimestre, y documenta el resultado.

Backup y ciberseguridad, juntos

Un respaldo protege la información después de un incidente; la ciberseguridad busca evitar que ocurra. Las soluciones que integran ambas cosas —como Acronis Cyber Protect, la plataforma con la que trabajamos en In Office— permiten detectar un ataque, detenerlo y recuperar los archivos afectados desde una sola consola.

Proteger los respaldos también es parte del deber de seguridad que la Ley 1581 de 2012 impone a quien trata datos personales: la información debe manejarse con las medidas técnicas, humanas y administrativas necesarias para evitar su adulteración, pérdida, consulta o acceso no autorizado.

Lista de verificación rápida

• ¿Tienes al menos tres copias de la información crítica?
• ¿Están en dos tipos de almacenamiento diferentes?
• ¿Hay una copia fuera de la oficina y otra que no se pueda alterar?
• ¿Las copias se hacen solas, sin depender de una persona?
• ¿Has restaurado archivos de prueba en los últimos tres meses?

Si alguna respuesta es no, tu empresa tiene un punto ciego que conviene cerrar antes de necesitar el respaldo.