La estrategia de backup 3-2-1 se resume en tres cifras: tres copias de tus datos, en dos tipos de soporte distintos, con una fuera de casa. Punto. Esa es toda la teoría de la copia de seguridad que necesitas memorizar antes de seguir leyendo. El resto de este artículo es cómo montarla sin arruinarte ni dedicarle los domingos. Porque el problema no es que la gente desconozca cómo respaldar archivos: es que lo posterga hasta que el disco hace ese ruidito. Un buen backup en nube y local es lo único que separa un ransomware de un mal martes. Sin él, un cifrado masivo pasa de incidente a defunción digital. Vamos con los detalles, que aquí hay más matices de los que cabe en tres números.
Qué significa realmente 3-2-1 (y por qué esos números)
La regla la popularizó el fotógrafo Peter Krogh en su libro The DAM Book (2005), pensando en archivos fotográficos. Se filtró al mundo de la seguridad informática y ahí se quedó, hasta el punto de que agencias como CISA y el INCIBE la recomiendan en sus guías básicas.
Desglosemos:
- 3 copias: el original más dos respaldos. No es paranoia, es estadística. La probabilidad de que fallen tres cosas a la vez el mismo día es baja; la de que fallen dos, no tanto.
- 2 soportes diferentes: disco interno + disco externo, o NAS + nube. La idea es no compartir modo de fallo. Dos discos del mismo lote comprado el mismo día tienen una desagradable tendencia a morir con poca diferencia.
- 1 copia fuera de la ubicación: porque un incendio, una inundación o un ladrón con prisa no distinguen entre tu portátil y el disco externo que tienes al lado.
La versión moderna añade dos dígitos más: 3-2-1-1-0. El primer 1 extra es una copia inmutable o desconectada (air-gapped), y el 0 significa cero errores en la verificación de restauración. Veeam empezó a divulgar esta variante precisamente porque el ransomware aprendió a buscar y cifrar los backups conectados a la red antes de atacar los datos primarios.
El error que arruina casi todos los backups: no probarlos nunca
Un respaldo que no has restaurado nunca no es un respaldo. Es una hipótesis.
Casos habituales que te destrozan el día: el disco externo lleva ocho meses sin montarse correctamente y el software fallaba en silencio; la copia estaba cifrada con una contraseña que apuntaste en el ordenador que se murió; el backup incluía la carpeta equivocada porque cambiaste la estructura hace un año.
Marca en el calendario una prueba de restauración trimestral. No hace falta restaurar todo: coge tres archivos al azar de fechas distintas, recupéralos en una carpeta temporal y ábrelos. Cinco minutos. Si algo falla, mejor descubrirlo un martes tranquilo que con el equipo cifrado y un contador regresivo en pantalla.
Montaje práctico: del portátil de un autónomo al servidor de una pyme
Nivel particular (coste bajo, 30 minutos de setup)
La configuración mínima decente:
- Copia local automática: Time Machine en macOS, Historial de archivos en Windows, o Restic / BorgBackup si te llevas bien con la terminal. Disco externo dedicado, no el mismo donde guardas películas.
- Copia en nube cifrada: aquí la palabra clave es cifrado de conocimiento cero. Servicios como Proton Drive, Tresorit o Backblaze B2 combinado con Restic te dan cifrado del lado del cliente. Google Drive y OneDrive sincronizan, pero sincronizar no es respaldar: si borras un archivo o te lo cifra un troyano, el cambio se propaga.
- Versionado activado: sin histórico de versiones, un ransomware que cifre tus archivos verá cómo tu backup replica obedientemente la basura cifrada.
Nivel pyme o freelance con datos de clientes
Aquí entra el RGPD. El artículo 32 del Reglamento (UE) 2016/679 exige explícitamente "la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico". Traducido: si gestionas datos de terceros, tener backups no es una buena práctica, es una obligación legal. Y la copia externa debe estar cifrada, porque un disco perdido con datos personales en claro es una brecha notificable a la AEPD en 72 horas.
| Escenario | Copia 1 (local) | Copia 2 (soporte distinto) | Copia 3 (externa) |
|---|---|---|---|
| Particular | Disco interno | Disco externo USB | Nube cifrada |
| Freelance | Portátil | NAS en casa | Backblaze B2 / Wasabi |
| Pyme | Servidor | NAS con snapshots | Nube + cinta o disco offline rotativo |
Ransomware: por qué el 3-2-1 clásico ya no basta
Los grupos de ransomware modernos no cifran y corren. Pasan días dentro de la red haciendo reconocimiento, y la primera tarea de la lista es localizar y destruir los backups. Buscan credenciales de las consolas de respaldo, borran shadow copies de Windows con vssadmin y cifran cualquier unidad de red montada.
Vulnerabilidades en el propio software de backup lo han facilitado. La CVE-2023-27350 en PaperCut o la CVE-2023-27532 en Veeam Backup & Replication —que permitía extraer credenciales cifradas de la base de datos de configuración— fueron explotadas activamente por grupos afiliados a ransomware. Tu servidor de copias es un objetivo de alto valor, trátalo como tal.
Defensas concretas:
- Inmutabilidad: buckets S3 con Object Lock, o snapshots de NAS que no se puedan borrar sin una segunda credencial.
- Air gap real: un disco que conectas, sincronizas y desconectas. Primitivo y eficaz.
- Credenciales separadas: la cuenta que hace backups no debe ser tu administrador de dominio. Y protégela con autenticación de dos factores, que es la barrera más barata que existe contra el robo de credenciales.
- Vigilar el vector de entrada: la mayoría de incidentes empiezan por correo. Un adjunto malicioso disfrazado, del tipo que analizamos en la guía sobre facturas falsas por email, sigue siendo la puerta de acceso preferida.
Qué respaldar exactamente (spoiler: no todo)
Copiar 4 TB de series descargadas a la nube es tirar dinero. Prioriza por criterio de irreemplazabilidad:
- Irreemplazable: fotos, documentos personales, contabilidad, código propio, contratos. Backup completo, las tres copias.
- Costoso de rehacer: configuraciones, bases de datos de proyectos, bibliotecas de diseño. Al menos dos copias.
- Redescargable: sistema operativo, aplicaciones, contenido multimedia comprado. Una copia o ninguna.
Y no olvides lo que no vive en tu disco: exportaciones de tu gestor de contraseñas, códigos de recuperación 2FA, claves SSH, facturas de proveedores en la nube. Si tu web o tu aplicación son parte del negocio, incluye también sus backups en el inventario —cuando trabajas con un equipo que desarrolla páginas web profesionales, esa política de copias debería estar acordada por escrito desde el primer día.
Automatizar o no hacerlo
Un backup manual es un backup que dejarás de hacer en marzo. La automatización no es lujo, es el único formato que sobrevive al contacto con la vida real.
Configura la copia local diaria y la remota semanal, y activa notificaciones de fallo. Casi todas las herramientas serias permiten enviar un aviso si el trabajo falla. Sin esa alerta, un backup roto puede pasar meses inadvertido —y volvemos al punto de la hipótesis.
Si quieres complementar el sistema con más capas de protección sin gastar, tienes opciones sólidas en nuestra recopilación de herramientas de ciberseguridad gratuitas. Y si te da pereza montar todo esto tú, en guías paso a paso para no técnicos encontrarás versiones aún más masticadas del proceso.
Preguntas frecuentes
¿La sincronización con Google Drive o Dropbox cuenta como copia de seguridad?
No por sí sola. La sincronización replica cambios en ambas direcciones: si borras o cifras un archivo, la nube copia esa versión dañada. Solo cuenta como respaldo si activas el versionado y sabes recuperar estados anteriores, y aun así no sustituye a una copia independiente.
¿Cada cuánto debo hacer una copia de seguridad?
Depende de cuánto trabajo estés dispuesto a perder. Si generas documentos a diario, copia diaria; si tocas los archivos una vez por semana, semanal basta. La pregunta correcta no es "cada cuánto" sino "cuántas horas de trabajo puedo rehacer sin llorar".
¿Es seguro guardar mis datos en la nube?
Con cifrado del lado del cliente, sí. Ese modelo implica que el proveedor almacena bloques cifrados y no tiene la clave, así que ni una filtración en su infraestructura ni una petición de terceros expone tu contenido. Sin ese cifrado, dependes por completo de la seguridad del proveedor.
¿Cuánto duran los discos duros externos?
Según los informes trimestrales de fiabilidad que publica Backblaze desde 2013, las tasas de fallo anualizadas de discos en centros de datos suelen situarse en un dígito bajo, pero crecen con la antigüedad. Para uso doméstico, plantea sustituir el disco de backup en torno a los cuatro o cinco años, aunque siga funcionando.
¿Debo cifrar mis copias de seguridad?
Siempre que salgan de tu control físico, sí. Un disco externo perdido o una cuenta en la nube comprometida convierten tu respaldo en una filtración. Si contiene datos personales de terceros, además es una exigencia práctica del artículo 32 del RGPD.
El siguiente paso
Coge ahora mismo tres archivos de tu último backup —uno reciente, uno de hace seis meses y uno antiguo— y restáuralos en una carpeta temporal. Ábrelos. Si los tres funcionan, tienes un sistema de respaldo. Si alguno falla, acabas de descubrir gratis lo que un ransomware te habría cobrado carísimo.
