Copias 3-2-1 e inmutables: cómo comprobar que vuestras copias sirven

Casi todas las empresas dicen tener copias de seguridad. Muchas menos han intentado restaurarlas. Y es en ese momento, con un disco roto o con los archivos cifrados por un ransomware, cuando se descubre que la copia llevaba meses fallando, que no incluía la base de datos o que estaba en el mismo NAS que se ha cifrado. Esta guía explica cómo montar las copias para que sobrevivan a lo peor y, sobre todo, cómo comprobar que sirven.

La regla 3-2-1, explicada

Es una recomendación clásica y sigue vigente:

• 3 copias de los datos: los originales y dos copias.
• 2 soportes distintos: por ejemplo, un NAS y la nube, o un NAS y discos externos rotativos.
• 1 copia fuera de la oficina: si hay un robo, un incendio o una inundación, la copia no puede estar en el mismo sitio.

Hoy se habla a menudo de 3-2-1-1-0: lo mismo, más una copia inmutable o desconectada y cero errores en las verificaciones. Es la versión pensada para el ransomware.

Por qué el ransomware cambió las copias

Los ataques de ransomware no se limitan a cifrar los ordenadores: buscan las copias accesibles desde la red (el NAS, la carpeta de copias, el servidor de backup) y las cifran o borran antes. Si vuestra única copia está montada como unidad de red en los equipos, es tan vulnerable como los originales.

Por eso hace falta al menos una copia que el atacante no pueda tocar:

• Inmutable: almacenamiento con bloqueo de objetos (object lock) en la nube, o repositorios con retención bloqueada, donde ni el administrador puede borrar antes de tiempo.
• Desconectada (air gap): discos que se conectan solo para hacer la copia y se guardan fuera, o cintas.
• Credenciales separadas: el sistema de copias no debe usar la misma cuenta de administrador del dominio.

Qué hay que copiar (y se suele olvidar)

• Servidores y máquinas virtuales, incluida su configuración, no solo los archivos.
• Bases de datos con un volcado coherente, no copiando los archivos en caliente.
• Microsoft 365 o Google Workspace: el proveedor mantiene el servicio, pero la protección de vuestros datos frente a borrados o a una cuenta comprometida es responsabilidad vuestra. Las papeleras y retenciones tienen límites.
• Portátiles con documentos que no están sincronizados.
• Configuración del firewall, los switches y las aplicaciones.
• Documentación de cómo restaurar, guardada fuera de los propios sistemas.

Cómo comprobar que vuestras copias sirven

Esta es la parte que marca la diferencia. Una comprobación básica, que podéis repetir periódicamente:

1. Revisad los avisos. Que el sistema de copias envíe un correo o una alerta si una copia falla, y que alguien lo lea.
2. Elegid algo concreto que restaurar: una carpeta, un buzón, una base de datos o una máquina virtual completa, rotando cada vez.
3. Restaurad en un sitio aparte, nunca encima de los datos en producción.
4. Comprobad que funciona: que el archivo abre, que la base de datos arranca y tiene datos recientes, que la máquina virtual inicia.
5. Medid cuánto ha tardado. Esa cifra es vuestro tiempo real de recuperación, y quizá no sea el que imaginabais.
6. Anotadlo: fecha, qué se restauró, resultado y tiempo. Ese registro también sirve para demostrar diligencia si hay un incidente.

Cuando llevé como SRE la infraestructura de una fábrica alimentaria, la consistencia de los datos del ERP era lo primero; por eso no me basta con que la copia termine: hay que abrir lo restaurado y comprobar que los datos cuadran.

Dos preguntas que debéis poder responder

• ¿Cuántos datos puedo permitirme perder? Si la copia es nocturna y el fallo es a las seis de la tarde, perdéis el día. Es el objetivo de punto de recuperación (RPO).
• ¿Cuánto tiempo puedo estar parado? Restaurar varios terabytes desde la nube puede llevar mucho tiempo con una conexión normal. Es el objetivo de tiempo de recuperación (RTO).

Las respuestas deciden la frecuencia de las copias y si conviene tener una copia local para restaurar rápido además de la remota.

En SRE como servicio explico cómo monto las copias y cada cuánto las restauro de prueba, y en la auditoría de fiabilidad y seguridad cómo reviso las de una plataforma que ya existe. Si queréis saber si las vuestras aguantarían, empezad por una llamada gratuita de 20 minutos.

Preguntas frecuentes

¿Sincronizar con OneDrive o Google Drive es una copia de seguridad?

No del todo. La sincronización replica también los borrados y los archivos cifrados. Ayuda, y las versiones y la papelera dan algo de margen, pero no sustituye a una copia independiente con retención propia.

¿Cada cuánto debo hacer una restauración de prueba?

Lo razonable es tenerla en el calendario de forma periódica y después de cada cambio importante (un servidor nuevo, una migración). Cuanto más críticos sean los datos, más a menudo.

¿Cuánto tiempo guardo las copias?

Depende del negocio y de las obligaciones legales de conservación de cada tipo de documento. Un esquema habitual combina copias diarias recientes, semanales y mensuales durante más tiempo. Tened en cuenta que guardar datos personales más de lo necesario también tiene implicaciones de protección de datos.

¿El RAID me protege?

Solo del fallo de un disco (o de dos, según el nivel). No protege de borrados, ransomware, errores de software ni de la pérdida del equipo entero. Es disponibilidad, no copia de seguridad.

Referencias

• INCIBE: Copias de seguridad, una guía de aproximación para el empresario, que presenta la estrategia 3-2-1.
• INCIBE: Ransomware (temática para empresas): cómo se propaga, cómo prevenirlo con copias periódicas y cómo recuperarse.