La estrategia de copias de seguridad 3-2-1-1-0: la mejor defensa frente al ransomware

Si preguntáramos a cualquier empresa si realiza copias de seguridad, la mayoría respondería que sí. La pregunta realmente importante es otra: ¿serían capaces de recuperar toda su información si mañana sufrieran un ataque de ransomware?

En los últimos años el ransomware ha evolucionado enormemente. Los atacantes ya no se limitan a cifrar los servidores principales: su objetivo es impedir completamente la recuperación de la información, y para conseguirlo buscan y destruyen las copias de seguridad antes de lanzar el ataque definitivo. Por este motivo, la clásica estrategia 3-2-1 ha evolucionado hacia la regla 3-2-1-1-0, considerada actualmente una de las mejores prácticas para proteger los datos críticos de una organización.

En esta guía explicamos qué significa cada uno de estos números, cómo aplicarlos correctamente y qué errores siguen cometiendo muchas empresas.

¿Por qué las copias tradicionales ya no son suficientes?

Hace unos años era habitual encontrar un servidor, un NAS conectado permanentemente, copias nocturnas y quizá un disco USB enchufado al propio servidor. Parecía suficiente, pero hoy ya no lo es.

Los grupos de ransomware permanecen días o incluso semanas dentro de la red antes de ejecutar el cifrado. Durante ese tiempo localizan los servidores de backup, obtienen privilegios administrativos, eliminan instantáneas, borran repositorios de copias, cifran los NAS y desactivan el software de backup. Cuando finalmente ejecutan el ataque, la empresa descubre que sus copias también han desaparecido.

Por eso la recuperación depende cada vez más de la calidad de la estrategia de copias, y no únicamente del software utilizado. Es la otra cara de la moneda de preparar a la empresa frente a un ataque de ransomware: la prevención reduce el riesgo, pero la copia bien diseñada es la última línea de defensa.

La regla 3-2-1-1-0 explicada

3 copias de la información

La primera regla es sencilla: siempre deben existir tres versiones de los datos — los originales, una primera copia de seguridad y una segunda copia de seguridad. La redundancia reduce enormemente el riesgo de pérdida definitiva.

2 soportes distintos

No conviene almacenar todas las copias utilizando el mismo sistema. Un NAS, almacenamiento en la nube, un disco externo, una biblioteca de cintas o almacenamiento de objetos son soportes válidos; lo importante es combinar al menos dos de naturaleza distinta. Si un soporte presenta un fallo, los demás continúan disponibles.

1 copia fuera de las instalaciones

Los desastres físicos siguen existiendo: incendios, robos, inundaciones, sobretensiones eléctricas. Una copia ubicada en otra localización garantiza la continuidad del negocio incluso cuando la oficina queda completamente inutilizada. Actualmente esta copia suele almacenarse en servicios como Azure, AWS, Backblaze o Wasabi, o en un centro de datos secundario.

1 copia inmutable (o desconectada)

Aquí aparece una de las mayores diferencias respecto a la estrategia tradicional. Una copia inmutable no puede modificarse ni eliminarse durante un periodo determinado: correctamente configurada, ni siquiera un administrador con permisos elevados puede borrarla. La alternativa clásica con el mismo efecto es una copia desconectada (air gap), sin conexión con la red, como una cinta o un disco que se guarda fuera de línea.

En ambos casos el objetivo es el mismo: evitar que el ransomware destruya el último recurso disponible para recuperar la información. Las soluciones modernas de backup incorporan almacenamiento inmutable precisamente por este motivo.

0 errores

La mayoría de empresas realiza copias; muy pocas comprueban que funcionan. Una copia nunca verificada no ofrece ninguna garantía, y la última cifra representa precisamente eso: cero errores tras comprobar la restauración. La única forma de saber si una copia es válida consiste en restaurarla periódicamente.

Un ejemplo práctico

Imaginemos una empresa con un servidor de archivos, Microsoft 365, un ERP y un servidor virtualizado. Su política podría ser la siguiente: copias incrementales cada hora, copia completa diaria, almacenamiento en un NAS local, replicación automática a la nube, repositorio inmutable durante 30 días, verificación automática de cada trabajo y una restauración de prueba una vez al mes.

En caso de ataque, el servidor puede resultar cifrado y el NAS puede verse comprometido, pero la copia inmutable seguirá estando disponible. La empresa podrá recuperar la información sin depender del pago de un rescate.

Los errores más frecuentes

Pensar que OneDrive es una copia de seguridad

No lo es. OneDrive sincroniza información: si un ransomware cifra los documentos y la sincronización continúa funcionando, el problema puede propagarse automáticamente a la nube.

Tener un único NAS

Muchísimas empresas confían únicamente en un NAS. Si ese NAS resulta cifrado o presenta un fallo físico, toda la estrategia desaparece.

No revisar los trabajos de backup

Las copias pueden estar fallando durante semanas sin que nadie lo detecte. La supervisión diaria de los resultados debería ser parte de la rutina.

No probar restauraciones

El peor momento para descubrir que una copia no funciona es durante un incidente real.

No documentar el procedimiento

En una emergencia cada minuto cuenta. Toda empresa debería disponer de un procedimiento claro de recuperación, accesible incluso si los sistemas habituales no están disponibles.

Cómo implantar una política profesional

Una estrategia moderna debería incluir, como mínimo, un inventario de activos, la clasificación de la información, la planificación de RPO y RTO (cuánta información puede permitirse perder la empresa y en cuánto tiempo debe estar recuperada), almacenamiento inmutable, una copia externa, monitorización, pruebas de restauración y una revisión periódica del conjunto.

La copia de seguridad debe formar parte del plan de continuidad del negocio, no ser un elemento aislado.

Buenas prácticas

• Automatiza todas las copias.
• Supervisa diariamente los resultados.
• Cifra los repositorios.
• Mantén versiones históricas.
• Utiliza almacenamiento inmutable.
• Comprueba periódicamente la restauración.
• Documenta el procedimiento.

Preguntas frecuentes

¿La regla 3-2-1 sigue siendo válida?

Sí, pero la mayoría de fabricantes recomienda actualmente evolucionar hacia la estrategia 3-2-1-1-0, especialmente frente al ransomware.

¿Qué significa una copia inmutable?

Es una copia protegida frente a modificaciones o eliminaciones durante un periodo determinado, incluso frente a cuentas con privilegios de administrador.

¿Cada cuánto debería comprobar las restauraciones?

Depende de la criticidad del negocio, aunque una verificación mensual suele ser una buena práctica para muchas organizaciones.

¿Las copias en la nube son suficientes?

No necesariamente. Deben formar parte de una estrategia global que contemple redundancia, almacenamiento inmutable y pruebas periódicas.

Conclusión

La pregunta ya no es si una empresa realiza copias de seguridad; la verdadera pregunta es si podrá recuperar su información cuando realmente la necesite. La estrategia 3-2-1-1-0 proporciona un enfoque sólido para minimizar el impacto de un incidente, reducir el tiempo de recuperación y garantizar la continuidad del negocio.

En un escenario donde el ransomware continúa siendo una de las principales amenazas para las organizaciones, disponer de una política de backup moderna deja de ser una recomendación para convertirse en una necesidad.

¿Tus copias de seguridad resistirían un ataque de ransomware?

En TecnoSolucions ayudamos a empresas a diseñar estrategias de backup seguras, revisar su infraestructura y aplicar las mejores prácticas actuales en materia de seguridad informática. Solicita una revisión de tu estrategia de copias de seguridad.