Guía · Estrategia de copias
La regla 3-2-1-1-0 explicada de forma sencilla
En resumen: mantenga tres copias de sus datos en dos soportes distintos, una de ellas fuera de la empresa y otra inmutable, y compruebe que todas se pueden restaurar sin errores. La regla amplía la conocida regla 3-2-1, que también recomienda la Oficina Federal alemana de Seguridad de la Información (BSI), con la protección frente al ransomware y la restauración comprobada.
Las cinco cifras
| Cifra | Significado | Frente a qué protege |
|---|---|---|
| 3 copias | Los datos originales y al menos dos copias de seguridad | El fallo de una sola copia |
| 2 soportes | Al menos dos tipos de almacenamiento distintos, por ejemplo el disco del servidor y un NAS o servidor de copias | Fallos que afectan a toda una clase de dispositivos |
| 1 fuera de la empresa | Una copia en otro lugar | Incendio, agua, robo, sobretensión |
| 1 inmutable | Una copia sin conexión o bloqueada contra cambios y borrado | Ransomware y atacantes con derechos de administrador |
| 0 errores | Restauración comprobada | Copias que no funcionan cuando se necesitan |
Por qué la regla 3-2-1 ya no basta
La regla 3-2-1 viene de una época en la que los fallos de hardware y los accidentes eran los mayores riesgos. Hoy los atacantes van directamente a por las copias de seguridad: antes de cifrar los datos, el ransomware borra o cifra todas las copias que alcanza. Una copia fuera de la empresa solo sirve si el atacante no puede borrarla con las mismas credenciales. De ahí el 1 adicional para una copia inmutable.
El 0 recoge la experiencia de muchas emergencias: copias que durante años se notificaron como «correctas» no se pudieron restaurar, porque faltaba un disco, un servicio no arrancaba o se había perdido la clave. Solo una prueba demuestra si una copia sirve.
Un ejemplo práctico
Una empresa con un host Hyper-V, un servidor de archivos y Microsoft 365 aplica la regla así:
- Copia 1: cada noche a un NAS en la sala de servidores, para restauraciones rápidas en el día a día.
- Copia 2: en la misma ejecución a un servidor de copias con bloqueo WORM en otro sector de incendio o en una segunda sede, inmutable durante 30 días.
- Fuera de la empresa: por la noche, el servidor de copias replica a un segundo servidor de copias externo o a un almacenamiento en la nube en Alemania; además, cada semana se exporta a un disco USB que se guarda en una caja fuerte.
- Cero errores: cada sábado se restauran a modo de prueba tres copias elegidas al azar, se comprueban los sistemas de archivos y las VM se arrancan en un entorno aislado.
Todo ello se recoge en el plan de copias de seguridad, junto con la conservación, las responsabilidades y el lugar donde se guarda la clave.
El error más frecuente: varias ejecuciones en lugar de una
Muchos entornos cumplen la regla con varias copias separadas: una local, otra a la nube y más tarde un trabajo de copia. Eso consume tiempo de la ventana de copia, carga los sistemas varias veces y produce copias con estados distintos. Es mejor una sola ejecución que lea el origen una vez y escriba a la vez en todos los destinos.
Cómo aplica AegisGrid la regla
AegisGrid lee el origen una vez y escribe en hasta ocho destinos en una sola ejecución: disco USB, NAS, un servidor de copias en la empresa con bloqueo WORM, un servidor de copias externo o el almacenamiento en la nube. Cada destino recibe solo lo que aún le falta. Para el 0, el servidor de copias comprueba todos los datos guardados y restaura copias automáticamente a modo de prueba. Cada copia en un servidor de copias, cada comprobación y cada restauración de comprobación queda anotada en el registro de evidencias firmado.
Preguntas frecuentes sobre la regla 3-2-1-1-0
¿Cuenta la nube como «fuera de la empresa»?
Sí, si la copia está en otro edificio y no se puede borrar con las mismas credenciales que las copias locales. Una segunda sede propia cumple el requisito igual de bien.
¿Basta un disco USB como copia inmutable?
Sí, siempre que se desconecte después de la copia y se guarde en un lugar seguro: así ningún atacante puede alcanzarlo. Más cómodo es un almacenamiento WORM, que bloquea automáticamente las copias contra el borrado hasta una fecha fija.
¿Es la regla 3-2-1-1-0 una obligación legal?
No, es una recomendación probada en la práctica. Leyes como NIS2 y el RGPD exigen copias de seguridad y una recuperación que funcionen; la regla es una buena forma de lograrlo. Más información en el artículo NIS2 y copias de seguridad.
3-2-1-1-0 en una sola ejecución
En un proyecto piloto aplicamos la regla con usted en sus propios sistemas.