Durante mucho tiempo, muchas empresas trataron la regla de backup 3-2-1 como un dogma: tres copias de los datos, dos tipos de soporte y una copia fuera de las instalaciones. Sencilla, lógica, eficaz… hasta que dejó de serlo.
Sin embargo, los riesgos actuales son otros: ransomware diseñado para atacar las copias de seguridad, errores humanos que se propagan al instante, infraestructuras híbridas y datos dispersos entre la nube, los servidores locales y las aplicaciones SaaS. Por lo tanto, seguir ciegamente la 3-2-1 crea una peligrosa sensación de seguridad.
Por eso surge la regla 3-2-1-1-0: no como moda técnica, sino como respuesta directa a incidentes reales.
El límite de la regla de backup 3-2-1 tradicional
La 3-2-1 sigue siendo válida como base. Sin embargo, el problema está en lo que no cubre:
Backups cifrados por el propio ransomware
Eliminaciones accidentales sincronizadas en todas las copias
Falta de pruebas de recuperación
Ausencia de evidencias auditables
En efecto, tener varias copias no significa que alguna sea recuperable. Es precisamente aquí donde empieza la evolución.
Qué significa, en realidad, la regla de backup 3-2-1-1-0
La regla 3-2-1-1-0 mantiene la lógica original y añade dos capas críticas de resiliencia.
3: Tres copias de los datos
Incluye los datos originales y, al menos, dos copias de backup.
2: Dos tipos de soporte diferentes
Por ejemplo, disco y almacenamiento de objetos, o almacenamiento local y nube.
1: Una copia fuera de las instalaciones
Protege frente a fallos físicos, incendios o incidentes locales.
1: Una copia inmutable u offline
Aquí está el gran cambio: una copia que no se puede modificar ni borrar, ni siquiera por los administradores o por malware.
0: Cero errores verificados en las pruebas de recuperación
Sin pruebas satisfactorias, el backup no cuenta, porque nada garantiza que la recuperación sea posible.
Por qué la copia inmutable lo cambió todo
El ransomware moderno no ataca solo los sistemas de producción: también busca, cifra y elimina los backups. Así, si todas las copias son regrabables, todas son vulnerables.
La copia inmutable resuelve este punto ciego:
No se puede modificar durante un periodo definido
No responde a órdenes de eliminación
Mantiene versiones íntegras incluso después de un ataque
Es decir, no se trata de redundancia adicional, sino de aislamiento lógico.
Eficiencia operativa: Menos caos, más control
Sin una estrategia 3-2-1-1-0, cada incidente se trata como una excepción. Como resultado, los equipos van detrás del problema, prueban los backups de forma improvisada y toman decisiones bajo presión.
Con este enfoque, por el contrario:
Los puntos de recuperación son conocidos
Los tiempos de restauración son previsibles
Las responsabilidades están definidas
Las pruebas forman parte de la rutina
De este modo, la operación deja de reaccionar y pasa a ejecutar un plan.
Cumplimiento legal y auditabilidad: Del discurso a la prueba
Hoy en día, los reguladores y los auditores ya no aceptan respuestas vagas. Por eso, preguntan:
¿Dónde están los backups?
¿Están protegidos frente a modificaciones?
¿Cuándo fue la última prueba de recuperación?
¿Existen evidencias documentadas?
Así, la regla 3-2-1-1-0 responde a todas estas preguntas. El “0” (cero errores en las pruebas) es el eslabón que convierte el backup en un control de cumplimiento.
Es decir, sin pruebas documentadas, no hay evidencia. Sin evidencia, no hay un cumplimiento defendible.
Reducción de costes: El impacto invisible de un backup mal diseñado
Cada vez que la recuperación falla, los costes aparecen rápidamente:
Horas o días de parada
Pérdida de datos críticos
Consultores externos de emergencia
Daño reputacional
Por eso, invertir en una copia inmutable y en pruebas periódicas cuesta, por regla general, menos que un solo incidente mal gestionado. Por lo tanto, la regla 3-2-1-1-0 no es un exceso, sino una forma de optimizar el riesgo.
Cómo aplicar la regla 3-2-1-1-0 en el mundo real
Implantar esta estrategia no exige revoluciones, pero sí disciplina.
1. Clasificar datos y sistemas
No todo necesita el mismo nivel de protección. Por eso, conviene identificar los datos críticos, legales y operativos.
2. Definir dónde reside cada copia
Producción, backup primario, copia externa y copia inmutable deben tener funciones claras.
3. Activar la inmutabilidad con plazos definidos
No obstante, la inmutabilidad no es eterna: su plazo debe ajustarse a los requisitos legales y operativos.
4. Probar la recuperación de forma recurrente
Restaurar archivos, bases de datos y aplicaciones y, además, validar la integridad y el funcionamiento.
5. Documentarlo todo
Resultados, fallos, tiempos y correcciones. Al fin y al cabo, sin documentación, el “0” no existe.
El papel de la gestión documental en esta estrategia
Una plataforma de gestión documental bien integrada:
Centraliza los informes de backup y restauración
Garantiza el control de versiones y el historial
Mantiene evidencias auditables
Automatiza aprobaciones y revisiones
La estrategia 3-2-1-1-0 vive o muere en la capacidad de demostrar lo que se ha hecho. Y esa prueba es documental.
Errores comunes que anulan la regla de backup
Tener una copia “inmutable” mal configurada
No probar nunca la restauración
Dar por hecho que la nube es automáticamente segura
No alinear TI con los requisitos legales
Tratar el backup como una tarea técnica aislada
Por consiguiente, la regla solo funciona cuando se entiende como un proceso de negocio, y no como una lista de verificación técnica.
Cada componente de la regla y el riesgo que cubre
| Componente | Riesgo que cubre | Pregunta de verificación |
|---|---|---|
| 3 copias | Fallo de una copia aislada | ¿Existen, al menos, dos copias además de los datos originales? |
| 2 soportes | Fallo de un tipo de tecnología | ¿Están las copias en soportes o servicios diferentes? |
| 1 fuera de las instalaciones | Incendio, inundación o incidente físico | ¿Hay una copia en una ubicación independiente? |
| 1 inmutable u offline | Ransomware y eliminación maliciosa o accidental | ¿Existe una copia que nadie pueda modificar durante el plazo definido? |
| 0 errores | Copias que existen, pero no funcionan | ¿La última prueba de restauración se completó sin errores y está documentada? |
RPO y RTO: Las dos cifras que la dirección debe conocer
La regla de backup define cómo proteger las copias. Sin embargo, la dirección necesita saber dos cosas más: cuántos datos puede perder y cuánto tiempo puede estar parada. El RPO, u objetivo de punto de recuperación, indica la pérdida máxima aceptable, medida en tiempo. Por ejemplo, un RPO de cuatro horas significa que, en el peor de los casos, se pierden las últimas cuatro horas de trabajo. Por otro lado, el RTO, u objetivo de tiempo de recuperación, indica cuánto tiempo puede tardar en restablecerse el servicio.
Así, estas dos cifras orientan todas las decisiones técnicas: la frecuencia de las copias, la ubicación, el tipo de soporte y la inversión. Además, deben definirse por sistema, porque una plataforma de gestión documental crítica no tiene las mismas exigencias que un archivo histórico.
Ejemplo: Un ataque un viernes por la noche
Un viernes por la noche, un ransomware cifra los servidores de una empresa y, a continuación, borra las copias de seguridad a las que consigue acceder. El lunes, el equipo descubre que todas las copias regrabables están comprometidas. Sin embargo, la copia inmutable, configurada con un periodo de retención de treinta días, permanece intacta. Como las pruebas de restauración se hacían mensualmente, el equipo sabe exactamente qué pasos seguir y cuánto tiempo llevan. De este modo, la empresa recupera los sistemas críticos en pocas horas, con una pérdida de datos limitada al intervalo desde la última copia.
Sin la copia inmutable y sin pruebas, el mismo ataque habría dejado a la empresa ante dos malas opciones: perder los datos o negociar con los atacantes.
Además, la recuperación no termina con la restauración técnica. La organización necesita confirmar la integridad de los datos recuperados, entender cómo entró el ataque y corregir esa vulnerabilidad antes de volver a la operación normal. Por eso, el plan de recuperación debe incluir estas etapas, con responsables definidos.
Indicadores que conviene seguir
- porcentaje de sistemas críticos con copia inmutable;
- fecha y resultado de la última prueba de restauración, por sistema;
- tiempo real de restauración frente al RTO definido;
- copias fallidas o incompletas en el último mes.
Preguntas frecuentes sobre la regla de backup 3-2-1-1-0
¿Una plataforma en la nube hace innecesaria esta regla?
No. Al contrario, conviene confirmar en el contrato qué protege el proveedor, durante cuánto tiempo y cómo puede la organización recuperar sus datos. En muchos servicios, la responsabilidad sobre las copias es compartida, y la organización debe garantizar su parte.
¿Con qué frecuencia debemos probar la restauración?
En general, los sistemas críticos deben someterse a pruebas periódicas, por ejemplo mensuales o trimestrales, y siempre que haya cambios relevantes en la infraestructura. Además, al menos una vez al año, conviene probar la recuperación completa de un sistema, y no solo de archivos aislados.
¿Quién debe aprobar la estrategia de backup?
La dirección, a partir de una propuesta del área de sistemas. Al fin y al cabo, los valores de RPO y RTO son decisiones de negocio, porque reflejan el impacto que la organización está dispuesta a aceptar.
Cuestiones para la alta dirección
- ¿Conocemos el RPO y el RTO definidos para nuestros sistemas críticos?
- ¿Cuándo probamos por última vez la recuperación completa de un sistema?
- ¿Existe alguna copia que un atacante con acceso de administrador no pueda borrar?
En resumen, la regla 3-2-1-1-0 es tan útil como la disciplina con la que se aplica. Por eso, las copias inmutables, las pruebas periódicas y las evidencias documentadas deben formar parte de la rutina, y no solo de la documentación del proyecto inicial.
El verdadero valor de la regla de backup 3-2-1-1-0
La evolución de la regla no se produjo por sofisticación tecnológica. Se produjo porque los fallos se volvieron más caros y los ataques, más inteligentes.
Sin embargo, las empresas resilientes no se preguntan cuántos backups tienen. En cambio, se preguntan:
¿Qué backup es inmutable?
¿Cuál se ha probado?
¿Cuál puedo recuperar hoy?
La regla 3-2-1-1-0 no promete invulnerabilidad. En cambio, promete algo más valioso: el control consciente del riesgo. Eso es lo que separa a las organizaciones preparadas de las que solo esperan que nada salga mal.
Lea también: Ransomware y backups: Cómo garantizar que la recuperación es realmente posible y Backups en plataformas SaaS.
Para recomendaciones nacionales de ciberseguridad y prevención del ransomware en Portugal, consulte el CNCS.