Plan de backup 3-2-1 para empresas: guía de continuidad de negocio

Descubrir que las copias de seguridad no funcionan suele ocurrir en el peor momento posible: después de un ransomware, cuando un disco del servidor muere en pleno cierre trimestral o cuando un empleado borra por error una carpeta compartida con años de histórico comercial. En ese instante, la pregunta no es si teníais "algo de backup", sino si podíais restaurar el negocio en el tiempo que vuestros clientes están dispuestos a esperar.

En Okibit gestionamos copias de seguridad para más de 350 empresas aplicando la regla 3-2-1 como estándar mínimo. Esta guía está pensada para directores y responsables de administración que necesitan entender qué datos proteger, cómo estructurar las copias y — sobre todo — cómo comprobar que el plan funciona antes de depender de él.

Regla 3-2-1 backup empresas tres copias dos medios una offsite

Qué significa la regla 3-2-1 y por qué sigue vigente

La regla 3-2-1 resume una idea sencilla que muchas empresas interpretan mal: no basta con "tener backup". Significa mantener tres copias de los datos importantes — el original más dos respaldos — en dos tipos de soporte distintos — por ejemplo, disco local y almacenamiento cloud — y asegurar que al menos una copia esté fuera de vuestras instalaciones, geográficamente separada de la oficina o la fábrica.

La redundancia responde a escenarios distintos. Un NAS en la oficina permite recuperar un archivo borrado ayer en minutos. Una copia cloud protege ante un incendio, un robo o un ataque que cifra todo lo conectado a la red local. Una copia inmutable — que no puede modificarse ni eliminarse durante un periodo definido — es la red de seguridad cuando el ransomware intenta destruir también los respaldos.

Ninguna copia única sobrevive a todos los desastres. He visto empresas confiar en un disco externo que permanecía conectado al servidor — y el malware lo cifró junto con el resto — o en Google Drive pensando que sincronizar equivale a respaldar, cuando en realidad la sincronización replica también borrados y cifrados. La regla 3-2-1 no es teórica: es la base de cualquier continuidad de negocio creíble.

Qué datos debe respaldar tu empresa (y con qué urgencia)

Antes de elegir herramientas, hace falta un inventario honesto. No todos los datos tienen la misma criticidad. La base de datos del ERP, el servidor de correo, Active Directory si lo usáis, las carpetas compartidas donde se trabaja a diario y las configuraciones de servidores y firewalls suelen ser prioridad crítica: perderlos paraliza la operativa en horas.

Documentación de departamentos, histórico de pedidos, certificados SSL o repositorios de código entran en prioridad alta: su pérdida duele, pero no siempre detiene la facturación el mismo día. Emails antiguos, documentación interna o logs de auditoría pueden tolerar respaldos menos frecuentes, siempre que sepáis qué estáis dispuestos a perder.

Dos conceptos ayudan a traducir esto a decisiones de negocio. El RPO — Recovery Point Objective — responde a cuántos datos podéis permitiros perder: un RPO de una hora implica que, en el peor caso, perderíais como máximo una hora de trabajo. El RTO — Recovery Time Objective — indica cuánto tardáis en volver a operar: un RTO de cuatro horas significa que el negocio puede estar parado ese tiempo como máximo. Un despacho profesional puede aceptar un RPO de cuatro horas; una clínica o un ecommerce con pedidos en tiempo real necesitan ventanas mucho más cortas.

Cómo implementar el plan paso a paso en una PYME real

Empezad documentando qué sistemas tenéis, dónde están, cuánto ocupan y quién depende de ellos. Una tabla sencilla con ERP, correo, archivos compartidos y aplicaciones SaaS críticas ya revela huecos: muchas veces el ERP en la nube tiene su propio respaldo, pero nadie ha verificado si cubre el escenario que necesitáis.

La primera copia suele ser local, habitualmente en un NAS de calidad empresarial. Su ventaja es la velocidad: restaurar un archivo borrado o una carpeta concreta desde la red interna es cuestión de minutos. Configurad snapshots frecuentes para datos críticos, retención de al menos treinta días y alertas automáticas si un job falla. Un NAS con RAID no es backup por sí solo — protege contra fallo de disco, no contra ransomware o borrado masivo — pero es una pieza excelente dentro del conjunto 3-2-1.

La segunda copia debe salir de vuestras instalaciones. Un proveedor cloud con datacenter en la Unión Europea — idealmente España — cumple mejor con expectativas de RGPD que un almacenamiento opaco en jurisdicciones lejanas. Cifrado en travesía y en reposo, copias incrementales diarias, copias completas periódicas y retención alineada con obligaciones fiscales — muchos históricos exigen conservar varios años — son requisitos mínimos, no lujos.

La tercera copia es vuestra defensa específica contra ransomware. Debe ser inaccesible desde la red de producción en condiciones normales: cinta LTO rotada fuera del edificio, cloud con Object Lock o WORM que impide borrar copias durante el periodo de retención, o discos externos que se desconectan tras cada backup y se guardan en lugar seguro. La clave es que un atacante con acceso a vuestros sistemas no pueda eliminar las tres copias a la vez.

Monitorización backup empresas dashboard jobs alertas restauración

Automatización, monitorización y el paso que casi todos olvidan

El backup manual depende de que alguien recuerde hacerlo un viernes a las ocho de la tarde. En la práctica, falla. Los jobs deben ser automáticos, con alertas por email o SMS cuando algo va mal, y con un panel donde dirección o IT puedan ver de un vistazo si anoche se completó la copia del ERP.

Pero la automatización sin verificación genera falsa tranquilidad. El dato incómodo del sector es que una proporción significativa de empresas con backup nunca ha probado restaurar. Implementad pruebas mensuales automáticas — recuperar un archivo aleatorio, verificar checksums — y pruebas trimestrales manuales más exigentes: levantar un servidor en entorno aislado, comprobar que la aplicación arranca y medir el tiempo real frente al RTO objetivo. Una vez al año, un simulacro de desastre completo — aunque sea en horario controlado — revela si vuestro plan de continuidad es un documento o una capacidad real.

Backup frente a ransomware: requisitos que no negociar

El ransomware moderno no se limita a cifrar el servidor principal. Busca copias conectadas, elimina shadow copies de Windows con comandos automatizados e incluso puede esperar días o semanas antes de activarse para cifrar también backups recientes. Por eso la inmutabilidad importa: copias que nadie — ni siquiera un administrador comprometido — pueda borrar durante la ventana de retención.

Usad credenciales de backup separadas de las cuentas de administrador del día a día. Retened al menos treinta días; noventa es preferible en entornos expuestos. Y activad alertas si detectáis cambios masivos anómalos en los repositorios de copia. Combinado con segmentación de red y MFA, un buen esquema de backup convierte un ataque devastador en un incidente doloroso pero recuperable.

Local versus cloud: por qué la respuesta sensata suele ser "ambos"

El backup local gana en velocidad de restauración para incidencias cotidianas: un archivo borrado, una carpeta dañada, un error humano puntual. El cloud gana en protección ante desastre físico y en escalabilidad cuando crecéis sin comprar hardware cada trimestre. El cloud mal configurado puede ser vulnerable si comparte credenciales con producción; el local sin copia externa no os salva de un incendio.

Para la mayoría de PYMES españolas, la combinación NAS más cloud inmutable ofrece el mejor equilibrio entre coste, velocidad de recuperación y resiliencia. Herramientas como Veeam con cloud connect, Acronis Cyber Backup o servicios gestionados como Okibit Backup Online permiten implementar ese modelo sin montar un departamento dedicado.

Continuidad de negocio: el backup es una pieza, no el plan entero

Tener copias fiables es indispensable, pero no sustituye un plan de recuperación documentado. Hemos visto empresas con copias impecables que, aun así, tardaron días en volver a facturar porque nadie había definido el orden de restauración ni quién autorizaba parar un servicio para recuperar otro. El backup responde a "¿podemos recuperar los datos?"; el plan de continuidad responde a "¿podemos seguir operando mientras lo hacemos?". Quién decide activar el plan, cómo se avisa a empleados y clientes, dónde trabajáis mientras restauráis servidores, qué sistemas se recuperan primero y cómo se coordina con vuestro seguro de ciberriesgo son preguntas de negocio tanto como técnicas.

Revisad el plan cada vez que cambie la infraestructura: nueva sede, migración a cloud, implantación de ERP, crecimiento de plantilla. Un DRP — plan de recuperación ante desastres — desactualizado es casi tan inútil como no tenerlo. La buena noticia es que, una vez definidos RPO y RTO por sistema, las decisiones de inversión dejan de ser abstractas: sabéis qué estáis comprando y qué riesgo estáis reduciendo.

¿Vuestras copias de seguridad resistirían un incidente real?

En Okibit gestionamos backup online con regla 3-2-1 para empresas: copias automáticas, cifrado AES-256, almacenamiento en España, verificación periódica de restauración y monitorización continua. Empezamos con una auditoría de vuestro esquema actual — qué copiáis, dónde, con qué retención y si alguna vez lo habéis probado — y proponemos un plan ejecutable por fases.

Solicita tu auditoría de backup gratuita →

Preguntas frecuentes

¿Cuánto cuesta un backup empresarial profesional en España?

Depende del volumen y del nivel de servicio, pero como referencia orientativa una microempresa con unos 100 GB puede partir de 50 euros al mes, mientras que una mediana empresa con varios terabytes y múltiples servidores puede situarse en varios cientos. Lo relevante es que el coste incluya monitorización, alertas y pruebas de restauración, no solo almacenamiento.

¿Google Drive u OneDrive sustituyen a un backup empresarial?

No. Son herramientas de sincronización y colaboración. Si un usuario borra un archivo o un ransomware lo cifra, la sincronización puede replicar ese daño a la nube. Un backup profesional mantiene versiones históricas, retención configurable e inmutabilidad que la sincronización no ofrece por diseño.

¿Con qué frecuencia debemos copiar cada sistema?

La frecuencia la marca el RPO. Datos críticos como bases de datos de ERP suelen necesitar copias cada una a cuatro horas; archivos compartidos pueden ser diarios; documentación menos sensible, semanal. Lo importante es que sea automático y monitorizado, nunca dependiente de que alguien lo recuerde.

¿El RAID del servidor ya nos protege?

No sustituye al backup. RAID tolera el fallo de uno o más discos, pero no protege contra borrado malicioso, ransomware, incendio, robo del equipo ni errores lógicos que corrompen datos replicados en todos los discos. RAID y backup cumplen funciones complementarias.

¿Cuánto espacio de almacenamiento de backup necesitamos?

Como regla orientativa, calculad entre dos y tres veces el tamaño de vuestros datos de producción para cubrir retención de versiones históricas. Si tenéis 500 GB de datos activos, planteados entre 1 y 1,5 TB de capacidad de backup según políticas de retención.

¿Qué hacemos si nunca hemos probado restaurar y tenemos miedo de que falle?

Pedid una prueba controlada cuanto antes, idealmente con ayuda externa. Restaurar un servidor de prueba o una base de datos en entorno aislado no interrumpe la operativa diaria y os da una foto real de vuestra situación. Es mucho mejor descubrir un problema en una prueba planificada que durante una crisis.