Cuando el ransomware cifra los datos de una empresa, solo hay dos formas de salir: pagar el rescate (sin garantía de recuperar nada) o restaurar desde una copia de seguridad. Todo lo que hagas en prevención reduce la probabilidad de un incidente, pero el respaldo es lo que determina si sobrevives cuando el incidente ocurre de todos modos.

El problema es que muchas empresas creen tener copias de seguridad hasta que las necesitan — y descubren que el ransomware también cifró el disco de respaldo conectado. La solución es una estrategia probada durante décadas: la regla 3-2-1.

¿Qué es la regla 3-2-1?

Es una fórmula simple de recordar:

  • 3 copias de tus datos (la original más dos respaldos).
  • 2 tipos de medio distintos (por ejemplo disco local y almacenamiento en la nube).
  • 1 copia fuera del sitio (offsite), separada físicamente de tu oficina.
DATOS ORIGINALES  ──►  Servidor / NAS en la oficina        (copia 1, medio A)
                  ──►  Disco / cinta local                  (copia 2, medio B)
                  ──►  Nube o sede remota (offsite)          (copia 3, offsite)

La lógica es la redundancia frente a distintos tipos de desastre: un fallo de hardware no afecta a la nube; un incendio en la oficina no afecta a la copia offsite; un error humano en un servidor no toca la cinta desconectada.

El añadido crítico contra ransomware: la inmutabilidad

La regla 3-2-1 clásica no basta por sí sola contra ransomware moderno, porque el malware busca activamente y cifra cualquier respaldo al que pueda acceder por red. La versión reforzada se conoce como 3-2-1-1-0, y añade dos conceptos clave:

  • 1 copia inmutable o aislada (air-gapped) — un respaldo que no se puede modificar ni borrar durante un periodo definido, aunque un atacante tenga credenciales de administrador. Aquí entran el almacenamiento WORM y los buckets con object-lock.
  • 0 errores en la verificación — cada copia se prueba restaurándola. Un respaldo que nunca has verificado no es un respaldo, es una esperanza.
Regla de oro: un respaldo conectado permanentemente por red a la máquina que protege es un respaldo que el ransomware también cifrará. Al menos una copia debe estar fuera de su alcance: inmutable, desconectada o en un almacenamiento con bloqueo de objetos.

Cómo se ve en la práctica

Una implementación razonable para una pyme podría ser:

1. Copia diaria  ->  NAS local          (restauración rápida del día a día)
2. Copia diaria  ->  nube con object-lock (inmutable 30 días, offsite)
3. Copia semanal ->  disco externo rotado y desconectado (air-gap)

+ Prueba de restauración mensual sobre datos reales
+ Cifrado de las copias en tránsito y en reposo

No olvides el RPO y el RTO

Dos métricas definen tu estrategia. El RPO (Recovery Point Objective) es cuántos datos te puedes permitir perder — si respaldas cada 24 h, tu RPO es de un día. El RTO (Recovery Time Objective) es cuánto tiempo puedes estar sin operar mientras restauras. Ajusta la frecuencia y el tipo de copia a lo que tu negocio realmente tolera.

¿Por qué le importa a tu empresa?

Un ataque de ransomware deja de ser una catástrofe y pasa a ser un incidente controlable cuando tienes copias 3-2-1 con al menos una inmutable y verificada. Recuperas la operación en horas, sin pagar rescate y sin negociar con delincuentes. Es, literalmente, la diferencia entre cerrar el negocio o volver a trabajar.

En CyberSec4You diseñamos e implementamos estrategias de respaldo 3-2-1 con copias inmutables. Escríbenos y revisamos tu plan de continuidad.