Copias de seguridad en una pyme: regla 3-2-1-1-0 y copias inmutables

Qué datos debes copiar

El lunes, recepción enciende PC-RECEP-02 y la carpeta de presupuestos está vacía. La pregunta que necesitas responder es de qué fecha puedes recuperarla y cuánto tardarás. En una oficina de cinco a cuarenta puestos, esa respuesta depende de haber localizado antes los datos, preparado las copias y probado su recuperación.

Empieza por preguntar a administración dónde guarda las facturas, a recepción dónde escanea documentos y a gerencia dónde conserva contratos. Anota ubicación, persona responsable y aplicación necesaria para abrir cada conjunto. Una carpeta llamada «Temporal» puede contener el único contrato firmado de un cliente.

• Servidor o NAS: carpetas compartidas, permisos y configuración necesaria para volver a publicarlas. Si el NAS contiene los originales, necesita su propia copia. Tener varios discos en RAID ayuda ante la avería de un disco, pero no recupera un borrado que se replica entre ellos.
• OneDrive y SharePoint: documentos personales de trabajo, bibliotecas compartidas y archivos de los equipos de Teams. Define qué cuentas y sitios cubre la copia y revisa las altas. Sincronizar una carpeta también puede propagar cambios y borrados; conserva versiones recuperables independientes de esa sincronización.
• Correo: buzones personales y compartidos, como administración o citas. Incluye archivos locales si existen. Un archivo de caché de Outlook no sirve como plan de recuperación del correo de la empresa.
• Programas de gestión: base de datos, documentos adjuntos, configuración y procedimiento de reinstalación. Pide al proveedor el método de copia compatible con su aplicación; copiar una base de datos mientras está escribiendo puede dejarla inconsistente.

Decide cuánto trabajo puedes perder: una mañana de citas puede resultar inaceptable aunque una copia nocturna baste para plantillas internas. Fija también cuánto tiempo puedes trabajar sin cada servicio. Estos dos límites determinan la frecuencia de copia y el orden de recuperación.

La regla 3-2-1-1-0 en una oficina

La regla clásica 3-2-1 propone tres copias de los datos, en dos tipos de soporte y con una fuera de la oficina. El original cuenta como una de las tres. La finalidad es que una avería, un robo o una inundación no se lleven todas las versiones a la vez. Frente al ransomware se amplía con dos cifras más: una copia inmutable o desconectada que el atacante no pueda borrar ni cifrar, y cero errores en la restauración verificada, es decir, que has recuperado datos de esa copia y los has abierto.

Piensa en una gestoría de doce puestos: los expedientes están en el servidor, una tarea nocturna guarda versiones en un disco externo y otra copia se envía a un almacenamiento remoto con bloqueo de borrado. El proveedor debe explicar cómo separa ese destino del servidor, cuánto tiempo conserva versiones y cómo se recuperan. Tres carpetas en el mismo equipo no cumplen esa separación.

Si trabajas íntegramente con Microsoft 365, dibuja el mismo recorrido: datos en el servicio, copia con historial en un destino de respaldo y otra copia exportable o aislada según la solución contratada. Comprueba la cobertura de buzones y sitios por separado. La papelera y el historial de versiones ayudan con errores cotidianos, pero sus límites deben encajar con tus necesidades de recuperación.

Escribe una política sencilla de conservación. Por ejemplo, versiones diarias durante un mes y cierres mensuales durante el periodo que acuerdes con administración. Es un punto de partida operativo, no un plazo legal universal. Calcula el espacio teniendo en cuenta los cambios de archivos y comprueba qué sucede cuando se llena el destino.

Una copia fuera del alcance del ataque

Un disco USB conectado permanentemente al ordenador puede quedar accesible para el mismo ransomware que cifra los documentos. Para conservar una copia desconectada, establece una rotación de discos: conecta el que corresponda, ejecuta la copia, comprueba el resultado, expúlsalo de forma segura y guárdalo. Mantén otro disco fuera de la oficina, en un lugar autorizado y protegido.

Desconectado y fuera de la oficina son condiciones distintas. El disco del cajón resiste un ataque remoto mientras está desconectado, pero comparte el riesgo de incendio del despacho. Cifra los discos que transportes y guarda la contraseña de recuperación en un lugar seguro al que también pueda acceder una persona autorizada si falta el responsable.

Si usas almacenamiento con copias inmutables, la sección siguiente explica cómo configurarlo. La inmutabilidad es otra forma de proteger la copia, pero debe estar configurada y comprobada.

Ante un ataque sospechado, no conectes el disco de reserva al equipo afectado. Aísla ese equipo de la red y contacta con soporte. La recuperación debe hacerse en un entorno limpio, conservando las versiones anteriores hasta comprobar qué datos siguen siendo utilizables.

Copias inmutables: qué son y cómo se configuran

Una copia inmutable no se puede modificar ni borrar durante un periodo de retención fijado de antemano, ni siquiera con una cuenta de administrador. Si un atacante llega a las credenciales del servidor de copias, puede borrar las versiones que estén abiertas a escritura; las inmutables siguen ahí hasta que vence el plazo. Por eso son la parte del «1» adicional de la regla.

Hay dos caminos habituales. En un NAS con instantáneas protegidas (por ejemplo, snapshots bloqueados frente a borrado, según el modelo) o con copia a un disco que solo se monta durante la tarea. En la nube, con almacenamiento de objetos que admita bloqueo de objetos (modo «WORM», escribir una vez y leer muchas) y versionado: al guardar cada copia se le asigna una fecha de retención y hasta entonces nadie puede cambiarla. Comprueba en la documentación de tu proveedor cómo se llama y qué modo ofrece, porque el nombre y las opciones varían.

• Retención: fija un plazo que cubra el tiempo que tardarías en darte cuenta de un ataque. Si el cifrado pasa inadvertido dos semanas, treinta días de versiones inmutables son más útiles que siete.
• Credenciales separadas: la cuenta que escribe las copias no debe ser la que administra el destino, ni compartir contraseña con el dominio de la oficina. Activa verificación en dos pasos en la cuenta del destino y guarda las claves de recuperación fuera del servidor.
• Quién puede cambiar la política: limita ese permiso a una persona y una suplente, y conserva el registro de cualquier cambio de retención.
• Prueba: intenta borrar una copia protegida y comprueba que el sistema lo rechaza. Registra el resultado junto con la fecha.

Una copia inmutable protege la integridad de lo guardado, no su contenido: si guardas ficheros ya infectados, los recuperarás infectados. Para ver cómo encaja con un ataque real tienes la guía de copias inmutables contra el ransomware.

Historial de archivos y Time Machine

Estas herramientas sirven para proteger datos locales de un puesto. No sustituyen la copia del servidor, los buzones o la base de datos de gestión. Empieza con un equipo, como PC-RECEP-02, y comprueba qué carpetas entran realmente en la copia antes de extender la configuración.

Windows 11: Historial de archivos

Conecta una unidad destinada a las copias. Abre Panel de control → Sistema y seguridad → Historial de archivos, selecciona la unidad y activa la función. Revisa las bibliotecas incluidas, las exclusiones y la configuración avanzada de frecuencia y conservación. Para recuperar un documento, entra en Restaurar archivos personales y busca una versión anterior. Microsoft detalla el recorrido en su ayuda de Historial de archivos.

No des por incluidos los archivos que solo están disponibles en la nube. Comprueba una restauración real de las carpetas de trabajo y conserva una copia específica de Microsoft 365. Si administración guarda documentos fuera de las ubicaciones protegidas, corrige primero esa organización.

macOS: Time Machine

Conecta un disco dedicado y abre menú Apple → Ajustes del Sistema → General → Time Machine → Añadir disco de copia de seguridad. Selecciona el disco y configura el cifrado. Si pide borrarlo, revisa antes su contenido. Ejecuta una copia inicial y verifica la fecha de finalización. Puedes consultar el procedimiento en la guía de Time Machine de Apple.

Programa cuándo se conectará el disco de los portátiles que salen de la oficina. Una copia automática no se ejecuta sobre un disco que lleva tres semanas guardado. Las versiones locales del propio Mac tampoco sustituyen una copia externa si se pierde el equipo.

La prueba de restauración mensual

Reserva una cita mensual con soporte y una persona que conozca los documentos. Recupera una muestra en una carpeta separada, sin sobrescribir originales: un contrato, una hoja de cálculo y un mensaje con adjunto. Alterna fechas recientes y antiguas, y utiliza también la copia externa o desconectada.

Abre los archivos con su aplicación y comprueba contenido, fechas y permisos. Para el programa de gestión, acuerda una restauración en un entorno de prueba compatible con el proveedor. Ver que existe un fichero de copia no demuestra que puedas consultar las facturas que contiene. El «cero» de la regla significa que cualquier fallo se corrige y se repite la prueba hasta que sale limpia.

Anota el tiempo desde que solicitas la recuperación hasta que alguien puede trabajar con el documento. Si necesitas volver en dos horas y la descarga tarda una jornada, ajusta el plan. Borra la muestra recuperada cuando termine la validación, siguiendo el procedimiento interno para no dejar datos de clientes dispersos.

Quién vigila los avisos de fallo

Asigna una persona responsable y una suplente, con nombre y horario de revisión. En una oficina pequeña puede ser administración quien compruebe cada mañana el informe y soporte quien resuelva los fallos. Gerencia debe conocer los periodos sin cobertura y decidir las medidas cuando no se puede recuperar el servicio previsto.

Revisa tres cosas: última copia correcta, antigüedad de los datos protegidos y destinos disponibles. Un estado verde de hace diez días merece atención. Configura avisos tanto para fallos como para tareas que no se han ejecutado, y comprueba que llegan al destinatario y a su suplente.

Cuando falle una tarea, registra el equipo, la hora, el mensaje y la última copia válida. Tras resolver la causa, ejecuta de nuevo la copia y confirma el resultado. Revisa la cobertura al incorporar empleados, abrir un sitio de SharePoint o cambiar el programa contable. Deja el procedimiento accesible también si el servidor está caído.

Qué piden la ISO 27001 y el ENS sobre las copias

El Anexo A de la ISO/IEC 27001:2022 recoge el control 8.13, copias de seguridad de la información: las copias de la información, el software y los sistemas deben mantenerse y probarse con regularidad según una política acordada de copias. Un auditor no se conforma con ver la herramienta; pide la política, el registro de las ejecuciones y la prueba de que se ha restaurado algo. La guía ISO/IEC 27002:2022 detalla el control y añade que las copias deben protegerse frente a modificación y borrado, lo que enlaza con las copias inmutables.

El Esquema Nacional de Seguridad (Real Decreto 311/2022) pide en la medida mp.info.6, copias de seguridad, que se realicen copias que permitan recuperar información perdida, accidental o intencionadamente, con una antigüedad determinada. Se aplica al sector público y a las empresas privadas que le prestan servicios o soluciones; si trabajas con una administración, tus copias entran en el alcance. La medida op.cont sobre continuidad del servicio completa el cuadro cuando la copia debe permitir volver a trabajar en un plazo concreto.

El RGPD, en su artículo 32, exige medidas técnicas que garanticen un nivel de seguridad adecuado, entre ellas la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente. Una copia que nunca se ha restaurado difícilmente demuestra esa capacidad.

La ficha de la prueba mensual de esta guía sirve como registro: fecha, muestra, tiempo empleado, resultado y persona que valida. La certificación la emite una entidad acreditada; lo que preparamos son las evidencias técnicas.

Fuentes oficiales

• INCIBE, ciberseguridad para empresas
• ISO/IEC 27001
• Real Decreto 311/2022, Esquema Nacional de Seguridad

Cómo lo hacemos en Inventariamos

En Inventariamos configuramos copias inmutables frente al ransomware y la regla 3-2-1-1-0 dentro del servicio de sistemas y redes, según el alcance acordado: revisamos contigo dónde están los datos, definimos los responsables de los avisos y dejamos preparadas las pruebas de recuperación y sus registros. Si quieres entender antes el riesgo, lee la guía de copias inmutables contra el ransomware. Trabajamos desde Salamanca con soporte de lunes a viernes, de 8:00 a 22:00. Cuéntanos cómo trabaja tu oficina para concretar el alcance que necesitas.