Casi todas las empresas “hacen copias”. Muchas descubren el día que las necesitan que la copia estaba en el mismo disco, que el ransomware también la cifró o que nadie había probado nunca a restaurarla.
La regla 3-2-1 existe para evitar exactamente eso.
La regla
- 3 copias de los datos: la original y dos copias.
- 2 soportes distintos: por ejemplo, el servidor y un NAS, o un NAS y la nube.
- 1 copia fuera de la oficina.
Si se quema la oficina, queda la copia externa. Si falla un disco, queda el otro soporte. Si alguien borra algo por error, hay versiones anteriores.
La versión actualizada: 3-2-1-1-0
El ransomware moderno busca y cifra también las copias accesibles desde la red. Por eso hoy se recomienda ampliar la regla:
- 1 copia inmutable o desconectada: que no se pueda modificar ni borrar durante un tiempo, aunque el atacante tenga credenciales de administrador. Por ejemplo, almacenamiento de objetos con bloqueo de objetos o un disco que se desconecta físicamente.
- 0 errores al verificar: las copias se comprueban y se restauran de prueba periódicamente.
Una copia que nunca se ha restaurado es solo una hipótesis.
Qué copiar
Antes de elegir herramienta, haz inventario:
- Carpetas compartidas y documentos.
- Bases de datos (con un volcado coherente, no copiando los archivos en caliente).
- Correo, si no está en la nube.
- Configuración de servidores, cortafuegos y equipos de red.
- Y algo que suele olvidarse: las instrucciones para restaurar, guardadas fuera del sistema que protegen.
Ejemplo práctico con restic
restic es una herramienta libre que cifra, deduplica y versiona las copias. Funciona con discos locales, servidores SFTP y almacenamiento compatible con S3.
Crear el repositorio (pedirá una contraseña; guárdala en un gestor de contraseñas, sin ella la copia es irrecuperable):
restic -r /mnt/nas/backup initHacer una copia:
restic -r /mnt/nas/backup backup /srv/compartido /etcVer las copias existentes:
restic -r /mnt/nas/backup snapshotsMantener una política de retención (7 diarias, 4 semanales y 6 mensuales) y liberar espacio:
restic -r /mnt/nas/backup forget --keep-daily 7 --keep-weekly 4 --keep-monthly 6 --pruneVerificar la integridad del repositorio:
restic -r /mnt/nas/backup checkY la parte más importante, restaurar de prueba en una carpeta temporal:
restic -r /mnt/nas/backup restore latest --target /tmp/prueba-restauracionRepite lo mismo contra un segundo repositorio externo (otro NAS en otra sede o un almacenamiento S3) y tendrás las tres copias en dos soportes y una fuera.
Plan mínimo para una pyme
| Qué | Cada cuánto |
|---|---|
| Copia local automática | Diaria |
| Copia externa automática | Diaria o semanal |
| Revisar que las copias terminan sin errores | Semanal |
| Restauración de prueba de algunos archivos | Mensual |
| Simulacro de restauración completa | Anual |
Automatizar la copia es fácil. Lo que de verdad protege a la empresa es la disciplina de comprobar que se puede restaurar.