¿Qué es la regla 3-2-1-1-0?
La regla 3-2-1 ha sido durante años la base de cualquier buena estrategia de respaldo, y su versión actualizada —3-2-1-1-0— le añade dos defensas pensadas para la amenaza dominante de hoy: el ransomware. Cada número representa un principio concreto, y la fuerza de la regla está en cumplirlos todos a la vez, no en elegir algunos. Vista en conjunto, describe un sistema en el que ni un fallo de hardware, ni un desastre, ni un ataque dirigido pueden dejarte sin datos. Así se desglosa:
| Número | Significa | Por qué importa |
|---|---|---|
| 3 | Tres copias de los datos | El original más dos respaldos: si una falla, quedan otras |
| 2 | En dos tipos de medios | No depender de una sola tecnología que puede fallar igual |
| 1 | Una copia fuera del sitio | Sobrevive a incendio, robo o inundación en la oficina |
| 1 | Una copia inmutable o aislada | El ransomware no puede cifrarla ni borrarla |
| 0 | Cero errores de verificación | Las copias se prueban: restauran de verdad |
¿Por qué el 3-2-1 ya no basta?
El 3-2-1 clásico se diseñó en una época en la que las amenazas eran accidentales: un disco que muere, un borrado por error, un incendio. Asumía que el problema no tenía intención. El ransomware cambió esa premisa, porque es un adversario inteligente que persigue justamente tus respaldos. Antes de cifrar nada, los operadores modernos dedican tiempo a localizar y destruir la infraestructura de copias: comprometen el servidor de backup si está en la misma red, borran las copias externas si consiguen las credenciales de la nube, y a veces corrompen los respaldos poco a poco durante semanas antes de atacar. Las cifras lo confirman: según Veeam, alrededor del 93% de los ataques de ransomware intentan destruir los repositorios de respaldo. Frente a eso, tres copias conectadas no sirven de mucho si el atacante puede alcanzarlas todas; de ahí los dos añadidos de la regla moderna.
El "1" inmutable: tu seguro contra el ransomware
El primer añadido es el más decisivo: al menos una copia inmutable o aislada. Una copia inmutable no se puede modificar, cifrar ni eliminar durante un periodo de retención definido, y el detalle técnico que la hace fiable es dónde se aplica esa protección: en la capa de almacenamiento —mediante tecnologías como WORM o el bloqueo de objetos de S3—, no en el software de respaldo. Eso significa que ni siquiera unas credenciales de administrador de toda la red pueden alterarla. Es la copia que sobrevive al peor escenario, la que te permite reconstruir sin pagar un rescate. La alternativa clásica, igual de válida, es el "air gap": una copia físicamente desconectada de la red, que el atacante no puede tocar porque, sencillamente, no está conectada. Profundizamos en ambas en copias inmutables y air gap.
El "0": una copia que no se prueba no cuenta
El último número parece el menos llamativo y es, en la práctica, donde más empresas fallan. "Cero errores" quiere decir que la restauración de tus copias se prueba y se verifica, en lugar de asumir que funcionará el día que la necesites. Es muy común descubrir, justo durante una crisis, que el respaldo en el que se confiaba estaba corrupto, incompleto o cifrado por un malware que llevaba semanas latente. La verificación moderna llega a arrancar la copia en un entorno aislado para confirmar que de verdad enciende y restaura, y de paso detecta cargas maliciosas escondidas antes de reintroducirlas. Sin esa comprobación, un respaldo es una promesa, no una garantía. Es la misma idea que defendemos en un backup que no se prueba no es un backup.
¿Cómo la aplica una pyme sin gran presupuesto?
La buena noticia es que la regla describe principios, no productos caros, y una pequeña empresa puede cumplirla con sentido común. Un ejemplo realista: los datos viven en el servidor o las computadoras de trabajo (esa es la copia 1); un respaldo local en un disco o NAS distinto cubre la copia 2 en otro medio; una copia en la nube aporta la tercera y, a la vez, el requisito de estar fuera del sitio. Si esa copia en la nube se configura como inmutable, ya tienes el "1" extra cubierto sin comprar nada nuevo. Y el "0" se logra con disciplina: programar la verificación y hacer una restauración de prueba cada cierto tiempo. La nube ayuda, pero conviene recordar que sincronizar archivos no es lo mismo que respaldar, como explicamos en por qué la nube no es un backup. Lo esencial es cubrir cada principio; la herramienta concreta es secundaria.
Errores comunes que rompen la regla
Vale la pena nombrar las trampas que dejan una estrategia coja aunque parezca completa. La más peligrosa es tener todas las copias en línea y accesibles desde la misma red: si el ransomware entra, las alcanza todas a la vez. Le sigue de cerca no probar nunca la restauración, confiar en una copia que resulta ser inservible. También es frecuente usar un solo tipo de medio —dos discos de la misma tanda que pueden fallar igual—, guardar la copia "externa" en el mismo edificio, o compartir las credenciales del sistema de respaldo con cuentas que un atacante podría secuestrar. Revisar tu esquema contra estos puntos suele revelar el eslabón débil. Si quieres montar un respaldo que cubra de verdad la regla 3-2-1-1-0, en Data Recovery Panama ayudamos a diseñarlo según tus datos y tu nivel de riesgo, porque el laboratorio que recupera también protege.
Preguntas frecuentes
Significa mantener 3 copias de tus datos, en 2 tipos de medios distintos, con 1 copia fuera del sitio, más 1 copia aislada o inmutable que el ransomware no pueda alterar, y 0 errores de verificación, es decir, copias cuya restauración se ha probado. Es la versión moderna de la regla 3-2-1, ampliada para resistir ataques de ransomware.
Porque el 3-2-1 se pensó para fallos accidentales —hardware, desastres, errores humanos—, no para un atacante que busca tus copias a propósito. El ransomware moderno ataca primero los respaldos: compromete el servidor de backup si está en la misma red o borra las copias externas con credenciales robadas. Por eso se añaden una copia inmutable y la verificación.
Es una copia que no se puede modificar, cifrar ni borrar durante un periodo definido, ni siquiera con credenciales de administrador, porque la inmutabilidad se aplica en la capa de almacenamiento y no en el software de respaldo. Es la copia que sobrevive aunque el atacante tome control de toda la red, y por eso es la pieza clave contra el ransomware.
Cero errores: que la restauración de tus copias se prueba y se verifica, idealmente de forma automática, en lugar de asumir que funcionará. Un respaldo que nunca se prueba puede estar corrupto o llevar malware latente sin que lo sepas. El 0 evita descubrir, justo durante una crisis, que la copia en la que confiabas no sirve.
Sí. No exige herramientas caras, sino método: por ejemplo, los datos en el servidor (copia 1), un respaldo local en otro medio (copia 2), una copia en la nube fuera del sitio (copia 3), que esa copia en la nube sea inmutable (el 1 extra), y probar la restauración cada cierto tiempo (el 0). Lo importante es cubrir cada principio, no la marca del software.