En síntesis: La regla 3-2-1 organiza las copias, pero no demuestra que puedas recuperar. Hay que verificar datos, permisos y tiempos de restauración en una prueba controlada.
Una copia sólo tiene valor operativo si se puede restaurar con la información y los permisos necesarios.
La regla 3-2-1 ayuda a distribuir copias y reducir puntos únicos de fallo. Se complementa con aislamiento, control de accesos y pruebas.
Qué dice la regla 3-2-1
Es una receta de tres números fáciles de recordar:
- 3 copias de tus datos: la original que usás todos los días, más dos respaldos.
- 2 soportes distintos: por ejemplo un NAS local y la nube. La idea es no depender de un solo tipo de medio.
- 1 copia fuera del sitio (offsite): en otra ubicación física o en la nube. Si se incendia, se inunda o roban tu oficina, esa copia se salva.
Comprobá qué fallos comparten las copias con el original. Dos carpetas en un mismo disco siguen dependiendo del mismo dispositivo.
Por qué "tengo todo en un disco externo" no alcanza
El disco externo que se queda enchufado al servidor las 24 horas es el primer objetivo del ransomware: lo cifra junto con todo lo demás. Y el disco que un empleado se lleva a la casa "por las dudas" no está cifrado, no se prueba nunca, y el día que lo necesitás resulta que dejó de funcionar hace seis meses.
El soporte único también es un problema: si tu único respaldo está en el mismo NAS que la información productiva y ese NAS falla, perdiste las dos cosas a la vez.
La versión moderna: 3-2-1-1-0
La regla clásica nació antes del ransomware. Hoy le sumamos dos números más:
- 1 copia inmutable o aislada (air-gapped): un respaldo que, una vez escrito, no se puede modificar ni borrar durante un período definido. La protección depende del producto, modo de bloqueo y permisos; verificá excepciones y administración de claves.
- 0 errores en la verificación: el objetivo es no dejar errores sin resolver en las pruebas; la automatización depende de la herramienta. Si una restauración de prueba falla, te enterás hoy, no el día del desastre.
Los dos números que de verdad importan: RPO y RTO
Más allá de cuántas copias tengas, definí dos cosas con tu equipo:
- RPO (Recovery Point Objective): ¿cuántos datos te podés permitir perder? Si hacés backup una vez por día, en el peor caso perdés 24 horas de trabajo. ¿Tu negocio lo tolera, o necesitás respaldos cada hora?
- RTO (Recovery Time Objective): ¿cuánto tiempo podés estar caído? Restaurar 2 TB desde la nube por una conexión lenta puede tardar un día entero. Si necesitás estar operativo en 2 horas, hace falta otra arquitectura (réplicas locales, DRaaS).
Estos dos números definen cuánto tenés que invertir. No hay un backup "correcto" universal: hay uno correcto para tu tolerancia al riesgo.
Caso especial: Microsoft 365 también necesita backup
Microsoft 365 tiene mecanismos de recuperación y una oferta específica de backup. Verificá alcance y configuración frente a tus necesidades; no existe un único plazo de papelera para todos los servicios.
Cómo saber si tu backup realmente funciona
Hacé esta prueba esta semana: pedí que restauren un archivo cualquiera de hace dos semanas. Cronometrá cuánto tarda y verificá que el contenido esté completo. Si nadie sabe cómo hacerlo, o tarda horas, o el archivo no aparece, ahí tenés tu respuesta.
- ¿Cumplís 3 copias, 2 soportes, 1 offsite?
- ¿Tenés al menos una copia inmutable contra ransomware?
- ¿Se prueban las restauraciones de forma periódica y automática?
- ¿Está documentado el procedimiento de recuperación, para que cualquiera lo pueda ejecutar?
Conclusión
El backup es el seguro más barato que tiene tu empresa, pero solo si está bien armado y probado. La regla 3-2-1 (idealmente 3-2-1-1-0) es la base sobre la que construir. No esperes a un incidente para descubrir que tu respaldo no servía: el costo de revisar tu estrategia hoy es ridículamente bajo comparado con el de perder los datos de toda la operación.
Aplicación práctica: qué comprobar
Escenario ilustrativo, no un caso de éxito documentado. El job de backup terminó correctamente, pero la aplicación requiere además una base de datos y archivos adjuntos. Probá recuperarlos juntos en un entorno aislado y pedí al responsable del proceso que compruebe una operación completa.
Evidencia que conviene registrar
- Inventario de datos, aplicaciones y credenciales de recuperación.
- RPO y RTO acordados con el negocio.
- Fecha, resultado y duración de la última restauración.
Referencia técnica: Lista de revisión de confiabilidad de Azure. Consultada el 14 de septiembre de 2026. Las condiciones del producto pueden cambiar.
