Copia 3-2-1 para autónomos sin infraestructura compleja

Qué significa realmente 3-2-1

La regla propone tres copias de la información importante: los datos de trabajo y dos copias; conservarlas en dos tipos o sistemas de almacenamiento y mantener una fuera de la ubicación principal. CISA la resume de ese modo en su documento de opciones de copia de seguridad.

Es un punto de partida, no un producto. Dos carpetas en el mismo disco no son dos copias útiles. Un espejo RAID mejora disponibilidad frente al fallo de una unidad, pero replica borrados. Sincronizar puede propagar una eliminación o archivos cifrados. Para ser independientes, los destinos deben evitar que un único accidente, robo, credencial o programa destructivo alcance todo.

Paso 1: inventaría lo que mantiene tu actividad

Lista datos por procesos, no por extensiones:

• Facturación, impuestos y contabilidad.
• Contratos, presupuestos y documentación de clientes.
• Correo, contactos y calendarios si no pueden reconstruirse.
• Proyectos en curso y entregables finales.
• Configuración de aplicaciones, certificados y licencias.
• Sitios web, bases de datos y servicios alojados.

Para cada grupo asigna propietario, ubicación, sensibilidad y periodo legal o contractual de conservación. No copies indefinidamente datos personales que ya deberías eliminar; la copia debe seguir una política de retención.

Define dos objetivos:

• RPO: cuánto trabajo puedes perder, por ejemplo una jornada o una hora.
• RTO: cuánto tiempo puede estar detenido el proceso antes de recuperarlo.

Si facturas una vez a la semana, una copia nocturna quizá baste; para archivos que cambian cada pocos minutos puede no hacerlo. El objetivo decide frecuencia y coste.

Paso 2: elige dos fallos diferentes

Una arquitectura sencilla para un autónomo puede ser:

1. Datos activos en el ordenador.
2. Copia automática local en una unidad externa o NAS con historial.
3. Copia remota en un servicio diseñado para copias de seguridad, con versiones y cuenta separada.

Otra opción es rotar dos unidades cifradas y guardar una fuera. La elección depende de volumen, conexión, movilidad y capacidad para cambiar soportes. No necesitas que todo sea de marcas distintas; necesitas que no comparta el mismo punto de fallo.

La guía de INCIBE para empresas incluye selección de información, frecuencia, soportes, ubicación, retención, cifrado, registro y pruebas. Usa esos campos como hoja de diseño.

Paso 3: separa copia y sincronización

Una carpeta sincronizada es útil para trabajar entre equipos y puede conservar versiones, pero comprueba:

• Cuánto tiempo retiene versiones y elementos eliminados.
• Si un administrador o atacante puede borrarlas inmediatamente.
• Si existe recuperación masiva.
• Si la cuenta de trabajo puede modificar también el repositorio.
• Cómo exportar los datos si termina el servicio.

El NCSC recomienda no depender solo de mecanismos de un único servicio y conservar una copia independiente. También señala que los atacantes pueden buscar credenciales y servidores de copias de seguridad en su guía de seguridad de datos.

Un NAS con instantáneas tampoco es automáticamente aislado. Comprueba si el usuario habitual puede eliminar instantáneas, si hay replicación externa y si la consola administrativa usa credenciales distintas.

Paso 4: protege las copias

Cifra los soportes que salgan del lugar de trabajo y conserva las claves de recuperación fuera del propio soporte. Para nube, activa autenticación multifactor y evita que la sesión de administración permanezca abierta en todos los equipos.

La cuenta que escribe copias no debería poder destruir fácilmente todo el historial. Busca retención bloqueada, inmutabilidad o una papelera protegida según el riesgo. El NCSC publica principios específicos para que servicios locales y en la nube resistan acciones destructivas.

Desconecta las unidades extraíbles cuando no se estén usando. Guardar una junto al ordenador no protege frente a robo, incendio o daño del local. La copia exterior debe respetar confidencialidad y condiciones de conservación.

Paso 5: calcula capacidad y retención

Mide el conjunto inicial y cuánto crece al mes. La capacidad necesaria no es simplemente «datos por número de copias», porque las versiones incrementales pueden reutilizar bloques, pero tampoco es igual al tamaño actual.

Diseña niveles:

• Versiones diarias durante un periodo corto.
• Versiones semanales durante varios meses.
• Cierres mensuales o anuales cuando exista obligación.

Documenta exclusiones. Cachés y descargas reconstruibles pueden omitirse; bases de datos abiertas quizá necesiten un método consistente de exportación. Una copia que contiene archivos incompletos no mejora por ejecutarse cada hora.

Paso 6: automatiza y vigila

Programa copias según el RPO y configura alertas por fallo, no solo mensajes de éxito. Revisa capacidad libre, última ejecución correcta y edad de la última copia exterior. Una tarea que lleva meses fallando en silencio no es un sistema.

Mantén una tabla:

Conjunto	Destino local	Destino exterior	Frecuencia	Retención	Última prueba
facturación	definido	definido	diaria	según política	fecha
proyectos	definido	definido	según RPO	según política	fecha
configuración	definido	definido	tras cambios	varias versiones	fecha

Paso 7: prueba restauraciones

Cada trimestre, selecciona una muestra y restáurala en una carpeta vacía o equipo de prueba. Verifica que abre, que corresponde a la fecha y que permisos y nombres se conservan. Al menos una vez al año, simula la pérdida del equipo principal y mide el RTO.

No sobrescribas los datos de trabajo durante una prueba. El tutorial de cifrar y verificar una restauración ofrece una secuencia reversible. Registra duración, errores, claves necesarias y cambio correctivo.

Para un incidente real, no conectes copias a un equipo posiblemente comprometido. Los principios del NCSC explican que una copia local o en nube no es resistente a ransomware por defecto; la recuperación debe realizarse en sistemas conocidos como limpios y con ayuda especializada cuando proceda.

Qué comprar y qué no

Compra capacidad después de completar el inventario. Una unidad externa puede servir como copia local rotada; un NAS aporta automatización e historial; un servicio remoto cubre ubicación y puede ofrecer retención protegida. La comparativa NAS frente a nube ayuda a repartir responsabilidades.

No compres dos unidades idénticas para dejarlas siempre conectadas y llamarlo 3-2-1. Tampoco uses un SSD elegido para ampliar juegos como única copia de seguridad; la guía de compatibilidad de SSD explica que almacenamiento y función deben validarse por separado.

Criterio de aceptación

El sistema está listo cuando puedes señalar tres copias, dos destinos con fallos diferentes y una copia aislada o exterior; las tareas generan alertas; otra persona autorizada encuentra las claves; y una restauración de muestra cumple el tiempo acordado.

Esta guía no sustituye un plan de continuidad ni asesoramiento de protección de datos. No hemos operado servicios o soportes físicos para tu empresa; revisa contratos, ubicación y obligaciones con un profesional cuando los datos sean sensibles.