Respaldo de información en empresas: guía 3-2-1 en 7 pasos
El respaldo de información en empresas es el plan que te permite recuperar tus datos cuando algo falla: un disco que muere, un empleado que borra una carpeta, un robo o un ransomware. La respuesta corta: aplica la regla 3-2-1 (tres copias, en dos medios distintos, una fuera de la oficina), automatiza los respaldos, guarda al menos una copia que nadie pueda modificar y prueba la restauración cada mes. Un respaldo que nunca has restaurado no es un plan, es una suposición.
En esta guía te explicamos qué respaldar, cada cuánto, dónde guardarlo y cómo comprobar que de verdad funciona. Está pensada para dueños y gerentes que no son técnicos, pero que son quienes pagan el costo cuando un día la información no aparece.
¿Qué es la regla 3-2-1 de respaldo?
Es la referencia más usada para diseñar respaldos. Como lo resume este artículo de CCO sobre backup para empresas, son 3 copias de tu información, en 2 medios diferentes, con 1 copia fuera del sitio.
- 3 copias: el original con el que trabajas todos los días más dos respaldos.
- 2 medios distintos: por ejemplo, un NAS (almacenamiento en red) en la oficina y un servicio en la nube. Así una sola falla no se lleva todo.
- 1 copia fuera de la oficina: un incendio, una inundación o un robo afectan por igual a la computadora y al disco externo que está junto a ella.
La regla no es nueva: según ManageEngine, se popularizó como buena práctica a principios de los 2000. Por eso hoy se habla de su evolución, la regla 3-2-1-1, que añade una copia inmutable: una versión de los datos que no se puede alterar ni eliminar. Algunos proveedores usan además la variante 3-2-1-1-0, donde el cero significa cero errores al verificar los respaldos.
¿Por qué la regla 3-2-1 ya no basta sola?
Porque el ransomware no ataca solo el servidor: busca también los respaldos que están conectados a la misma red. OS4IT lo describe como un caso cotidiano: un ransomware que cifra el servidor de producción y, al mismo tiempo, la unidad de respaldo conectada a esa red.
Hay un segundo error frecuente: confundir sincronización con respaldo. Si tu carpeta en la nube se sincroniza con tu computadora y un virus cifra los archivos, la nube recibe los archivos cifrados. Lo que te salva es el historial de versiones: poder volver a cómo estaban los archivos hace tres días, antes del ataque.
¿Qué información debe respaldar una empresa?
No hace falta respaldar todo el disco. Hay que respaldar lo que no puedes reconstruir. Los programas se reinstalan; tus datos, no. Esta tabla sirve como punto de partida para hacer tu inventario:
| Información | Dónde suele vivir | Qué revisar |
|---|---|---|
| Contabilidad y facturación (en México, incluidos los XML del SAT) | Sistema contable, portal del proveedor de facturación, carpetas compartidas | Que exista una exportación completa y periódica, no solo lo que se ve en pantalla |
| Ventas, clientes y pedidos | CRM, punto de venta, tienda en línea | Que puedas descargar la base de datos completa, no solo reportes |
| Contratos, expedientes y documentos legales | Drive, SharePoint, servidor de archivos | Historial de versiones activo y permisos limitados para borrar |
| Correo electrónico | Google Workspace, Microsoft 365 | Qué cubre tu plan del proveedor y por cuánto tiempo conserva lo eliminado |
| Bases de datos de software propio | Servidor o nube del proveedor | Respaldos automáticos, copia en otra cuenta y prueba de restauración |
| Sitio web y tienda | Hosting, plataforma de e-commerce | Archivos, base de datos y configuración del dominio documentados |
| Configuraciones y accesos | Repartidos entre personas y herramientas | Un inventario de sistemas, cuentas administradoras y quién tiene cada acceso |
Ojo con las aplicaciones en la nube. Que tu CRM o tu tienda estén en la nube no significa que tengas un respaldo que tú controles. Revisa en los términos de cada proveedor qué protege él (su infraestructura) y qué te toca a ti (tus datos, lo que un usuario borra por error). Si el sistema es tuyo, como un software a la medida, el plan de respaldo debe estar escrito en el contrato y en la documentación de entrega.
Cómo hacer un plan de respaldo de información en 7 pasos
- Haz el inventario. Lista cada sistema donde vive información importante, quién es el responsable y qué pasaría si mañana desapareciera. Este paso suele revelar datos críticos en la laptop de una sola persona.
- Define cuánto puedes perder y cuánto puedes esperar. Para cada sistema, decide cuántas horas de trabajo puedes perder (RPO) y cuánto tiempo puedes operar sin él (RTO). Más abajo lo explicamos.
- Aplica 3-2-1-1. Original, copia local para restaurar rápido, copia fuera de la oficina y, de preferencia, una copia inmutable o desconectada.
- Automatiza. El respaldo manual se deja de hacer tarde o temprano. Programa los respaldos y quita de la ecuación la memoria de las personas.
- Separa accesos. La cuenta que administra los respaldos debe ser distinta de las cuentas de uso diario, con verificación en dos pasos. Si un atacante entra con la cuenta de un empleado, no debe poder borrar los respaldos.
- Monitorea. Alguien tiene que recibir un aviso cuando un respaldo falla. Lo común es enterarse el día del desastre, cuando ya es tarde.
- Prueba la restauración. Restaura un archivo al azar cada mes y, al menos una vez al año, un sistema completo. Mide cuánto tardas: ese es tu RTO real, no el que está en el papel.
¿Cada cuánto hacer respaldos? RPO y RTO explicados
La regla 3-2-1 no fija una frecuencia. Como explica OS4IT, la frecuencia la define el RPO (Recovery Point Objective) de cada sistema: si tu base de datos se respalda una vez al día y el incidente ocurre a las 23:59, puedes perder casi 24 horas de operaciones.
- RPO: cuánta información puedes perder, medida en tiempo. Una carpeta de presentaciones puede tolerar un día; los pedidos de una tienda en línea, quizá minutos.
- RTO: cuánto tiempo puede estar detenida la operación mientras restauras. Restaurar desde un disco en la oficina suele ser más rápido que descargar todo desde la nube.
La pregunta útil para el dueño no es técnica: "si esto se pierde a las 6 de la tarde, ¿cuánto trabajo tenemos que rehacer y cuánto nos cuesta?". Con esa respuesta, el equipo técnico elige la frecuencia y la herramienta.
Respaldo en la nube, NAS o disco externo: ¿cuál conviene?
No es uno u otro. Cada medio cubre un riesgo distinto, y la regla 3-2-1 existe justamente para combinarlos.
| Medio | A favor | En contra | Mejor uso |
|---|---|---|---|
| Disco externo | Simple y se puede desconectar | Depende de que alguien lo conecte, se pierde o se daña | Copia desconectada en negocios muy pequeños, rotando discos |
| NAS en la oficina | Restauración rápida y automatizable | Comparte el riesgo físico y de red con la oficina | Copia local para recuperar archivos y equipos rápido |
| Nube | Fuera del sitio, versiones, sin hardware que mantener | Restaurar mucho volumen puede tardar; depende del internet | Copia fuera de la oficina, idealmente con bloqueo contra cambios |
Errores comunes al respaldar la información de una empresa
- Creer que sincronizar es respaldar. Sin historial de versiones, los errores y el ransomware se copian igual que los archivos buenos.
- Dejar el respaldo conectado siempre a la misma red. Si el atacante llega al servidor, llega también al respaldo.
- Nunca probar la restauración. Muchos equipos descubren que el respaldo estaba incompleto justo cuando lo necesitan.
- Olvidar el sitio web y las apps en la nube. Tu página web, tu tienda y tu CRM también son información del negocio.
- Depender de una sola persona. Si solo una persona sabe dónde están los respaldos y cómo se restauran, el riesgo sigue ahí. Documenta el procedimiento.
Checklist rápido de respaldo para tu empresa
- Tengo un inventario de sistemas y datos críticos con un responsable para cada uno.
- Cada sistema tiene un RPO y un RTO acordados con el negocio.
- Existen tres copias, en dos medios, con una fuera de la oficina.
- Al menos una copia es inmutable o está desconectada.
- Los respaldos son automáticos y alguien recibe alertas cuando fallan.
- Las credenciales de respaldo están separadas y con verificación en dos pasos.
- Este mes restauramos un archivo de prueba y anotamos cuánto tardó.
Si al revisar esta lista descubres que tus datos viven repartidos en hojas de cálculo, laptops y herramientas sueltas, el problema no es solo el respaldo: es la arquitectura. En Disruptive diseñamos sistemas con respaldos, accesos y documentación desde el inicio; si quieres revisar tu caso, escríbenos.
Preguntas frecuentes
¿Qué es la regla 3-2-1 de respaldo?
Es una práctica que recomienda tener tres copias de la información (el original y dos respaldos), en dos tipos de medio distintos, con una copia fuera de la oficina. Su objetivo es que un solo incidente no alcance a la vez los datos y todas sus copias.
¿Cada cuánto debe respaldar su información una empresa?
Depende de cuánta información puede perder cada área sin afectar la operación (RPO). Los sistemas con movimiento constante, como pedidos o facturación, necesitan respaldos más frecuentes que los documentos que cambian poco.
¿Es suficiente con tener mis archivos en Google Drive o OneDrive?
Sincronizar no es lo mismo que respaldar. Si un archivo se borra o se cifra, el cambio se replica; necesitas historial de versiones, una copia independiente y revisar qué cubre tu plan del proveedor.
¿Qué es un respaldo inmutable?
Es una copia que no se puede modificar ni eliminar durante un periodo definido, ni siquiera con una cuenta comprometida. Es la defensa más directa contra un ransomware que intenta borrar los respaldos antes de cifrar la información.
