Copias de seguridad en una empresa pequeña: la regla 3-2-1 y la prueba que nadie hace
Tener copia no es lo mismo que poder restaurar. Qué copiar, dónde, cada cuánto, por qué sincronizar no es copiar y cómo hacer la única prueba que demuestra que tu copia sirve.
· Seguridad
Casi todas las empresas pequeñas creen que tienen copias de seguridad. Muy pocas han comprobado alguna vez que se pueden restaurar. Y esa es toda la diferencia: una copia que no se ha restaurado nunca no es una copia, es una suposición.
Este artículo va de convertir esa suposición en un hecho comprobado, sin comprar nada caro.
Sincronizar no es copiar
Empecemos por el malentendido más extendido y más peligroso. Tener los archivos en un disco en la nube —del tipo que sea— no es una copia de seguridad. Es una sincronización, y la sincronización propaga los desastres:
- Si borras una carpeta por error, se borra en todas partes.
- Si un archivo se corrompe, se sube corrupto.
- Si entra un cifrado por ransomware, los archivos cifrados se sincronizan encima de los buenos.
Lo que salva en esos tres casos es el versionado y el histórico: poder volver a cómo estaba la carpeta el martes pasado. Comprueba hoy cuántos días de histórico guarda tu servicio y si incluye los archivos eliminados. Es un dato concreto, está en la configuración, y mucha gente descubre que son siete días cuando el problema se detectó a las tres semanas.
La regla 3-2-1
Es el estándar sencillo y sigue siendo el correcto:
- 3 copias de los datos (el original y dos copias).
- 2 soportes distintos (por ejemplo, disco local y nube).
- 1 copia fuera del sitio, y desconectada.
Ese «desconectada» es la clave contra el ransomware moderno, que busca activamente las unidades de red y las copias accesibles para cifrarlas también. Una copia que el equipo infectado puede escribir no cuenta como copia. Un disco externo que se conecta una vez a la semana y se guarda en otro sitio, sí.
Qué hay que copiar (y qué se olvida siempre)
La lista obvia: documentos, contabilidad, facturas, base de datos del programa de gestión, correo.
La lista que se olvida y que duele tanto o más:
- Los certificados digitales, exportados con contraseña. Sin ellos no se presenta nada ante la Administración.
- El sitio web: ficheros y base de datos. Muchos alojamientos guardan copias, pero pocos días.
- Las claves y accesos, en un gestor de contraseñas con copia propia.
- La configuración del programa de gestión, no solo los datos.
- Los archivos que viven en el correo: si toda tu operativa está en adjuntos de una cuenta y esa cuenta se pierde, se pierde con ella.
Las dos preguntas que definen tu plan
Antes de elegir herramienta, respóndelas con un número:
¿Cuántas horas de trabajo puedes permitirte perder? Si la respuesta es «un día», la copia diaria sirve. Si es «una hora», necesitas copias continuas. Esa cifra decide la frecuencia y el coste.
¿Cuánto tiempo puedes estar parado? Restaurar dos terabytes desde la nube por una conexión doméstica lleva días. Si tu negocio no puede estar dos días parado, necesitas además una copia local rápida. La copia remota protege del incendio; la local protege del tiempo.
La prueba de restauración
Y llegamos a lo único que convierte todo lo anterior en algo real. Una vez al trimestre, restaura de verdad. No mires el panel verde: elige un archivo cualquiera de hace tres semanas, restáuralo en una carpeta aparte y ábrelo.
Los fallos que aparecen en esa prueba y en ningún otro momento:
- La copia lleva meses fallando y el aviso iba a un correo que ya nadie lee.
- Se copiaba una carpeta que dejó de usarse hace un año, y la nueva no.
- La copia está cifrada y la contraseña la sabía alguien que ya no está.
- El archivo se restaura, pero el programa que lo abre ya no existe en ninguna máquina.
Apunta la fecha de la última prueba en algún sitio visible. Si esa fecha tiene más de tres meses, no sabes si tienes copias.
Lo mínimo razonable para una empresa pequeña
- Copia automática diaria a un servicio con histórico de al menos 30 días.
- Copia semanal a un disco externo desconectado, guardado en otro edificio.
- Certificados y contraseñas incluidos y comprobados.
- Aviso de fallo a un correo que alguien lee de verdad.
- Prueba de restauración trimestral, con fecha anotada.
Nada de eso requiere una inversión seria. Requiere que alguien sea responsable de que se haga.
Si esto es tu caso
Las copias son la mitad de la seguridad de una empresa pequeña; la otra mitad —accesos, correo, segundo factor— la tratamos en lo mínimo que hay que tener en ciberseguridad. Montarlo y dejarlo funcionando, con la prueba de restauración incluida, es seguridad y cumplimiento.
Y si además tratas datos de clientes, la copia deja de ser solo una buena práctica: la disponibilidad de los datos es una obligación legal, y lo contamos en usar IA con datos de clientes sin saltarse la ley.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Puedes ver qué hacemos y a qué precio.
Fuentes: INCIBE, guías de copias de seguridad y respuesta ante ransomware para pymes. Guía informativa; el plan concreto depende del volumen de datos y del tiempo de parada asumible.