Las copias de seguridad son lo último en lo que se piensa y lo primero que se echa en falta. Llevo más de treinta años en el sector tecnológico y he visto perderse datos de todas las maneras posibles: un disco que muere un viernes, un ransomware, un empleado que borra una carpeta compartida, un incendio. En todos los casos hubo una pregunta que se repetía: «¿tenemos copia?». Y casi siempre la que importaba era otra: «¿se puede restaurar, y cuánto tardamos?».
Este artículo explica la regla 3-2-1, qué tienes que copiar (más de lo que crees), qué dicen el RGPD, el Esquema Nacional de Seguridad y la directiva NIS2 sobre las copias de seguridad, y cómo lo planteo yo para pymes y profesionales.
Índice de contenidos
Copias de seguridad: la regla 3-2-1 y su versión moderna
- 3 copias de tus datos: la original y dos más.
- 2 soportes distintos: por ejemplo, un disco o NAS local y la nube.
- 1 copia fuera de tu sede, para que un incendio, un robo o una inundación no se lleven todo.
Con el ransomware actual, esta regla se ha quedado corta y hoy se habla de la 3-2-1-1-0: una copia adicional inmutable o desconectada (que nadie, ni siquiera un administrador comprometido, pueda borrar o cifrar durante un periodo de retención) y cero errores verificados en las pruebas de restauración. Los atacantes buscan primero las copias para destruirlas antes de cifrar el resto, y una copia accesible con las mismas credenciales que el servidor es una copia en riesgo.
Qué copias de seguridad necesitas (y qué se suele olvidar)
- Servidores físicos y virtuales: copia de imagen completa para poder restaurar la máquina entera (bare metal) y también archivos sueltos de forma granular. Es importante cubrir plataformas como VMware, Hyper-V o Proxmox.
- Bases de datos: SQL Server, MySQL o MongoDB necesitan copias coherentes. Copiar los archivos de una base de datos en marcha sin más puede dar una copia inservible.
- Equipos de trabajo: portátiles y sobremesas, que es donde muchos usuarios guardan documentos que no están en ningún otro sitio.
- NAS y almacenamiento compartido: el NAS no es una copia de seguridad, es otro punto donde hay que tenerla.
- Servicios en la nube (SaaS): Microsoft 365, Google Workspace, SharePoint, OneDrive o Dropbox. Este es el gran olvido.
«Mi correo está en Microsoft 365, ya tiene copia»
No exactamente. Microsoft y Google garantizan la disponibilidad del servicio, pero los datos son responsabilidad tuya. Si un empleado borra un buzón, si una cuenta es comprometida o si un ransomware se sincroniza con OneDrive, la papelera y el historial de versiones son limitados. Una copia independiente de la nube a la nube, que no requiere instalar nada en tus equipos, resuelve esto de forma sencilla.
Webs y tiendas online
Archivos y base de datos, con copia diaria si hay pedidos o formularios, y con una copia fuera del propio hosting. Hablo de ello en el artículo de mantenimiento web.
Dos siglas para decidir: RPO y RTO
Antes de elegir herramienta, responde a dos preguntas:
- RPO (punto de recuperación): ¿cuántas horas de trabajo puedes permitirte perder? Si la respuesta es «ninguna», no vale una copia nocturna.
- RTO (tiempo de recuperación): ¿cuánto tiempo puedes estar parado? Restaurar 2 TB desde internet no es lo mismo que levantar una máquina virtual desde una copia de imagen.
También hay que decidir la retención: cuántas versiones y durante cuánto tiempo. Un ransomware puede tardar semanas en detectarse, así que conservar solo la última copia es insuficiente.
Errores en las copias de seguridad que veo una y otra vez
- La copia está en un disco USB conectado siempre al mismo servidor. Si entra un ransomware, cifra ambos.
- Nadie ha restaurado nunca una copia, por lo que nadie sabe si funciona.
- Se sincroniza una carpeta con la nube y se llama a eso «backup». Si borras un archivo, desaparece en todas partes.
- Las alertas de fallo llegan a un correo que nadie lee. La copia lleva semanas sin ejecutarse.
- La copia no incluye la configuración del servidor ni las bases de datos, solo los documentos.
- Las credenciales de la copia son las mismas que las del administrador del dominio.
Cifrado, ubicación y accesos
Una copia contiene todos tus datos, así que tiene que protegerse igual o mejor que el original:
- Cifrado en origen (por ejemplo, AES-256), de modo que los datos viajen y se almacenen cifrados, y quien aloja la copia no pueda leerlos.
- Ubicación en la Unión Europea, en centros de datos con certificaciones reconocidas (ISO 27001, entre otras), alta disponibilidad y vigilancia física permanente.
- Credenciales separadas y verificación en dos pasos para el acceso a la consola de copias.
- Monitorización: alguien tiene que comprobar a diario que las copias se han realizado, y recibir un aviso inmediato si fallan.
Qué dice la normativa sobre las copias de seguridad
RGPD y LOPDGDD
El artículo 32 del RGPD exige medidas adecuadas al riesgo, entre ellas la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente. También pide la capacidad de garantizar la confidencialidad, integridad y resiliencia de los sistemas. Una copia no probada difícilmente demuestra esa capacidad. Otros puntos a tener en cuenta:
- Si un tercero guarda tus copias, es un encargado del tratamiento y necesitas un contrato conforme al artículo 28.
- Conviene que los datos se alojen en la UE y, si no, que haya garantías para la transferencia internacional.
- Los derechos de supresión también afectan a las copias. En la práctica, la restauración debe hacerse sin recuperar datos que ya se suprimieron, y las copias deben tener una retención limitada y definida.
- Una pérdida de datos personales por falta de copia puede ser una brecha de disponibilidad, con la obligación de notificar a la AEPD en un máximo de 72 horas si hay riesgo para las personas (artículo 33).
Las obligaciones generales de protección de datos de una web las explico en el artículo sobre cookies y RGPD, y la LOPDGDD las completa en España.
Esquema Nacional de Seguridad (ENS)
El Real Decreto 311/2022 regula el ENS. Es obligatorio para el sector público y también para las empresas privadas que prestan servicios a las administraciones, que deben cumplir las medidas que correspondan a la categoría del sistema (básica, media o alta). Entre las medidas de protección del anexo II se encuentra la de copias de seguridad, y el marco operacional exige además un plan de continuidad. Si trabajas para la administración, te lo pedirán en los pliegos y tendrás que acreditar que tu proveedor de copias es compatible con la categoría exigida. Pregunta siempre por escrito. La información oficial está en el portal del ENS del CCN.
Directiva NIS2
La directiva (UE) 2022/2555 (NIS2) incluye entre las medidas de gestión de riesgos de ciberseguridad la continuidad de la actividad, con gestión de copias de seguridad y recuperación en caso de catástrofe, y la seguridad de la cadena de suministro. Afecta a las entidades esenciales e importantes de numerosos sectores (energía, transporte, salud, agua, infraestructura digital, gestión de servicios TIC, fabricación y otros).
Sobre su situación en España: a la fecha en que escribo, la ley española de transposición (el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, aprobado por el Consejo de Ministros en enero de 2025) no está publicada en el BOE y la Comisión Europea ha llevado a España ante el Tribunal de Justicia de la UE por el retraso. Eso no significa que puedas ignorarla; el INCIBE ya publica guías y recursos de ciberseguridad para empresas. Las empresas grandes ya están exigiendo a sus proveedores medidas equivalentes, y tener copias verificadas, inmutables y documentadas es lo primero que se pregunta.
Otras normas y estándares
La ISO 22301 (continuidad de negocio) y la ISO 27001 (seguridad de la información) piden planes de copia y recuperación probados. Si tu empresa o tus clientes trabajan con ellas, el plan de backup debe estar documentado y probado con periodicidad.
Cómo planteo yo las copias de seguridad
En mi servicio de backup cloud cubro lo que de verdad hace falta:
- Equipos y servidores: Windows, Linux y macOS, con copia de archivos, de imagen del sistema y restauración completa de la máquina.
- Virtualización y bases de datos: VMware, Hyper-V y Proxmox, además de SQL Server, MySQL y MongoDB.
- Microsoft 365 y Google Workspace: copia de nube a nube de correo, archivos y SharePoint, sin instalar nada y con restauración a cualquier punto en el tiempo.
- Cifrado AES-256 en origen y almacenamiento en centros de datos europeos con certificaciones de seguridad.
- Seguimiento diario: reviso que las copias se han ejecutado y actúo si hay un fallo, sin esperar a que lo notes tú.
- Pruebas de restauración periódicas y documentación de lo que se hace, útil para el RGPD y para cualquier auditoría que te pidan un cliente o una administración.
Si necesitas más espacio o un destino de almacenamiento propio, tienes también el almacenamiento cloud.
Plan de acción en cinco pasos
- Haz un inventario de qué datos tienes y dónde están, incluida la nube.
- Define el RPO, el RTO y la retención que necesitas por cada sistema.
- Implanta la regla 3-2-1-1-0, con una copia fuera de tu sede y otra inmutable.
- Activa alertas y asigna a una persona concreta la responsabilidad de revisarlas.
- Restaura algo de verdad al menos una vez al trimestre y apunta cuánto tardas.
Si quieres que revise cómo está montada la copia en tu empresa y te diga qué falta, reserva una conversación sin compromiso. Lo habitual es encontrar al menos un punto débil que se arregla en una tarde.