La regla 3-2-1 es el estándar de oro de las copias de seguridad y cabe en una sola frase: tres copias de tus datos, en dos soportes distintos, con al menos una fuera de tu oficina. Nació en el mundo de la fotografía profesional hace más de dos décadas y hoy la recomiendan todas las agencias de ciberseguridad del mundo, porque sigue siendo la forma más simple de sobrevivir a casi cualquier desastre.
Lo interesante no es la regla en sí, sino entender por qué cada número está ahí. Cada uno ataca un riesgo diferente, y quitar cualquiera de los tres te deja expuesto a un escenario concreto.
El tres: sobrevivir al fallo simple
Tres copias significa el original más dos copias adicionales. Puede parecer excesivo hasta que haces las cuentas: si la probabilidad de que un soporte falle en un momento dado es del uno por ciento, con dos copias la probabilidad de perder ambas a la vez baja al 0,01 por ciento.
Pero el fallo de hardware no es el enemigo principal. El enemigo más frecuente es humano: alguien borra una carpeta, sobrescribe un fichero, o ejecuta un script que arrasa una tabla de la base de datos. Con solo una copia, si el borrado ocurrió antes de la última sincronización, ya perdiste los datos en los dos sitios.
El dos: que un mismo defecto no se lo lleve todo
Dos soportes distintos protege de los fallos correlacionados. Dos discos del mismo modelo comprados el mismo día tienen una probabilidad sorprendentemente alta de fallar en fechas próximas, porque comparten lote de fabricación, horas de uso y condiciones térmicas.
Lo mismo aplica a los errores de software. Si tu copia depende del mismo sistema de ficheros o del mismo software que el original, un fallo de ese software puede corromper ambos. Cambiar de tecnología entre el original y la copia rompe esa cadena.
El caso del disco USB permanentemente enchufado
Este es el error más común en pymes, y merece nombrarlo con claridad: un disco USB conectado siempre al mismo servidor no es una copia de seguridad separada. Está en el mismo edificio, en la misma red eléctrica, expuesto a la misma subida de tensión, y sobre todo accesible desde el mismo sistema operativo. Si un ransomware entra en ese servidor, cifrará ese disco también, porque para él es simplemente otra carpeta.
El uno: la copia que te salva de verdad
La copia externa es la que cubre los desastres que afectan a una ubicación completa: incendio, inundación, robo, o un ataque que se propaga por toda tu red local. Es la más incómoda de mantener y la que más gente se salta, y precisamente por eso es la que más veces marca la diferencia entre un susto y el cierre de una empresa.
Para que cuente como copia externa de verdad tiene que cumplir dos condiciones. La primera es obvia: estar físicamente en otro edificio. La segunda es la que casi nadie considera: tus sistemas no deben poder modificarla. Si tu servidor tiene credenciales para escribir en el destino remoto, un atacante que controle tu servidor también las tiene.
La versión moderna: 3-2-1-1-0
La regla ha evolucionado para responder al ransomware. La versión ampliada añade dos condiciones:
- Un copia inmutable o desconectada, que no se puede alterar ni borrar durante un periodo determinado.
- Cero errores en las verificaciones, lo que significa comprobar activamente la integridad de las copias en lugar de asumir que están bien.
Ese cero es el que suele faltar. Una copia corrupta ocupa el mismo espacio que una buena y no avisa de nada hasta el día en que la necesitas.
Cómo se aplica esto en una pyme real
No hace falta un presupuesto de gran empresa. Un esquema perfectamente válido para una pyme sería: los datos en producción, una copia local en un NAS distinto del servidor, y una copia remota en un proveedor externo. Tres copias, dos tecnologías, una fuera.
Lo que sí hace falta es honestidad al auditarlo. Coge un papel y responde: ¿cuántas copias tengo realmente ahora mismo? ¿Están en soportes distintos o todas en el mismo armario? ¿La copia externa es realmente inaccesible desde mis servidores? ¿Cuándo fue la última vez que restauré algo de verdad?
Esa última pregunta es la que suele dejar silencio en la sala.
Nuestro planteamiento
Nuestro servicio de copias de seguridad en Andorra cumple la regla por ti: dos centros de datos propios, la conexión la abrimos siempre nosotros con credenciales de solo lectura, así que tus servidores nunca pueden escribir sobre el histórico, y cada año hacemos una prueba de restauración real que te entregamos firmada. Ese es el cero de la regla ampliada, convertido en documento.
Si tu infraestructura vive en un VPS, el addon de copias diarias te deja el esquema montado sin que tengas que administrar nada.