La regla 3-2-1 dice que debes tener tres copias de tu información, en dos tipos de almacenamiento distintos y una de ellas fuera de tu oficina. Hoy se recomienda además que una copia sea inmutable o esté desconectada, para que un ransomware no pueda cifrarla, y probar la restauración con regularidad. Respalda contabilidad y XML de facturas, bases de datos de tus sistemas, archivos de trabajo, tu sitio web y las cuentas en la nube.
- Tres copias, dos medios distintos, una fuera de la oficina.
- Agrega una copia inmutable o desconectada para protegerte del ransomware.
- Sincronizar no es respaldar: si borras en Drive, se borra en todos lados.
- Un respaldo que nunca se ha restaurado es solo una esperanza.
- Define cuánta información puedes perder y cuánto tiempo puedes estar detenido.
- La contabilidad electrónica debe conservarse por los plazos que marca el Código Fiscal.
Por qué los respaldos fallan justo cuando los necesitas
Las historias se repiten. La computadora de la contadora se descompone y el último respaldo de CONTPAQi o Aspel es de hace cuatro meses. Un ransomware cifra el servidor y también el disco externo que estaba conectado. Alguien borra una carpeta compartida en Google Drive y el borrado se sincroniza en todas las computadoras. El proveedor del sitio web desaparece con las únicas copias.
En todos los casos el negocio "tenía respaldos". Lo que no tenía era un sistema: copias separadas, automáticas, protegidas y probadas. Eso es lo que resuelve la regla 3-2-1.
No hace falta un departamento de sistemas. Una pyme de cinco a cincuenta personas puede tener un esquema sólido con herramientas comunes y una revisión mensual de 30 minutos.
La regla 3-2-1, y su versión actual 3-2-1-1-0
| Número | Significa | Ejemplo en una pyme |
|---|---|---|
| 3 copias | El original más dos respaldos | Los archivos en la computadora, un respaldo local y uno en la nube |
| 2 medios distintos | No todo en el mismo tipo de equipo | Disco externo o NAS, más almacenamiento en la nube |
| 1 fuera de la oficina | A salvo de robo, incendio o inundación | Nube o un disco que se guarda en otro domicilio |
| 1 inmutable o desconectado | Que nadie, ni un virus, pueda borrarlo o cifrarlo | Almacenamiento con bloqueo de objetos o un disco que se desconecta después de respaldar |
| 0 errores | Restauraciones probadas sin fallas | Prueba mensual de recuperar archivos y una base de datos |
La versión ampliada surgió por el ransomware: los atacantes buscan y cifran también los respaldos conectados a la red. Una copia inmutable, que no se puede modificar durante un periodo definido, o una desconectada físicamente, es la que te salva.
Qué respaldar en un negocio
- Contabilidad y facturación: bases de datos del sistema contable, XML y PDF de los CFDI emitidos y recibidos, declaraciones y acuses. El Código Fiscal de la Federación obliga a conservar la contabilidad, por regla general, durante cinco años.
- Bases de datos de tus sistemas: punto de venta, CRM, inventario, nómina, checador de asistencia.
- Archivos de trabajo: cotizaciones, contratos, planos, diseños, expedientes.
- Correo: sobre todo si contiene acuerdos con clientes y proveedores.
- Sitio web y tienda en línea: archivos y base de datos, más allá de lo que haga tu hosting.
- Cuentas en la nube: Google Workspace o Microsoft 365, hojas de cálculo críticas, como un inventario en Google Sheets.
- Configuraciones: flujos de automatización, plantillas, accesos documentados en tu gestor de contraseñas.
Un buen ejercicio es preguntarte: si mañana esta computadora o esta cuenta desaparece, ¿qué no podría hacer el lunes? Facturar, cobrar, pagar la nómina, atender pedidos. Lo que responda esa pregunta va primero en la lista. Si emites facturas desde un sistema automático como MonkeyFactura, verifica también dónde quedan guardados los XML y que tengas una copia propia, no solo la del proveedor de timbrado.
Sincronizar no es respaldar
Es la confusión más común. Google Drive, OneDrive o Dropbox sincronizan: mantienen la misma versión en todos tus equipos. Si borras un archivo o un ransomware lo cifra, el cambio también se sincroniza.
Tienen papeleras y historial de versiones que ayudan, pero con límites: la papelera de Google Drive elimina los archivos después de 30 días y las versiones anteriores tampoco se guardan para siempre. En el modelo de responsabilidad compartida, Google y Microsoft garantizan que su servicio funcione; recuperar lo que tú o tu equipo borraron por error es responsabilidad tuya.
Para cuentas de Google Workspace o Microsoft 365 con información importante, conviene un servicio de respaldo dedicado que guarde copias independientes con su propia retención.
Cada cuánto respaldar: define cuánto puedes perder
Dos preguntas definen tu esquema, y conviene contestarlas por cada sistema:
- ¿Cuánta información puedes perder? Si respaldas cada noche y el disco falla a las 6 de la tarde, pierdes el trabajo del día. Para un punto de venta eso puede ser inaceptable; para una carpeta de diseños, tolerable. En sistemas se le llama RPO.
- ¿Cuánto tiempo puedes estar detenido? Restaurar un servidor completo desde la nube puede tomar horas. Si tu negocio no puede parar, necesitas un respaldo local rápido además del remoto. Se le llama RTO.
| Información | Frecuencia sugerida |
|---|---|
| Punto de venta, pedidos, cobranza | Continuo o cada hora |
| Contabilidad y facturación | Diario |
| Sitio web y tienda en línea | Diario; antes de cada actualización |
| Archivos de trabajo | Diario, con versiones |
| Equipos completos | Semanal |
Un esquema práctico para una pyme
Un ejemplo para un despacho o comercio en Torreón con 10 a 20 computadoras:
- Copia local: un NAS en la oficina recibe cada noche los respaldos de las computadoras y del sistema contable, con versiones de 30 días.
- Copia en la nube: el NAS replica cifrado a un almacenamiento externo con bloqueo de objetos, que impide borrar o modificar las copias durante un periodo.
- Nube de oficina: Google Workspace o Microsoft 365 con un servicio de respaldo independiente.
- Sitio web: respaldo diario automático fuera del hosting, en una cuenta distinta.
- Alerta: si un respaldo falla, llega un aviso por correo o WhatsApp a dos personas.
Para un negocio más pequeño, de una a cinco computadoras, basta con un servicio de respaldo en la nube por equipo, un disco externo que se conecta solo una vez por semana y se guarda en casa del dueño, y el respaldo independiente de la cuenta de correo y documentos. Lo importante no es el tamaño de la inversión, sino que las copias estén separadas y se revisen.
Para los sistemas que desarrollamos usamos este mismo principio: Docker en servidores propios con respaldos cifrados que salen a otro proveedor. Así trabajamos el sistema de cobranza del organismo operador de agua en Durango, instalado en su servidor con respaldo cifrado externo.
Prueba la restauración, no solo el respaldo
Un respaldo que nunca se ha restaurado es una esperanza, no un respaldo. Programa una prueba mensual:
- Recupera un archivo al azar de hace dos semanas y ábrelo.
- Restaura la base de datos del sistema contable en una computadora de prueba y verifica que cuadre.
- Cada tres o seis meses, simula la pérdida de un equipo completo y mide cuánto tardas en volver a operar.
- Anota fecha, resultado y tiempo. Esa bitácora te dice si tu plan funciona.
Las pruebas suelen revelar sorpresas útiles: un respaldo que excluía una carpeta nueva, una base de datos que se copia mientras está abierta y queda dañada, una contraseña de cifrado que nadie recordaba. Es mucho mejor descubrirlo un martes cualquiera que el día de una emergencia.
Es una tarea importante pero nunca urgente, justo el tipo de pendiente que se olvida; agéndala como recurrente. La matriz de Eisenhower explica por qué esas tareas son las que más protegen al negocio.
El caso del sitio web
Muchos negocios dan por hecho que su hosting respalda el sitio. Algunos lo hacen, pero en el mismo servidor, con poca retención, o cobran por restaurar. Y si el sitio es hackeado, el respaldo del hosting puede estar contaminado también. Por eso conviene guardar varias semanas de historial: si la infección empezó hace diez días, necesitas una copia anterior a esa fecha, no la de anoche. Antes de cada actualización de plugins, temas o del propio WordPress, haz un respaldo manual adicional.
Cuando rescatamos el WordPress de Hidrantes y Rociadores del Norte, una de las primeras medidas fue montar respaldos diarios cifrados fuera del servidor. En la guía de WordPress hackeado explicamos el proceso completo, y en la de hosting compartido vs. VPS, qué esperar de cada tipo de servidor.
Lista de verificación
- Tengo una lista de qué información es crítica y dónde vive.
- Cada sistema tiene al menos tres copias en dos medios, una fuera de la oficina.
- Al menos una copia es inmutable o desconectada.
- Los respaldos son automáticos y me avisan si fallan.
- Los respaldos están cifrados y la llave está en el gestor de contraseñas, no en el mismo servidor.
- Pruebo la restauración cada mes y lo anoto.
- Más de una persona sabe cómo restaurar.
Los respaldos son la última línea de defensa; las primeras están en la guía de ciberseguridad básica para pymes. Si quieres que revisemos tu esquema o lo montemos, escríbenos desde nuestro servicio de desarrollo de software.
