Backup 3-2-1 para Pymes: Cómo Implementarlo sin un Sysadmin

La regla de backup 3-2-1 es la más sencilla de protección de datos que existe: tres copias de tus archivos, en dos tipos de soportes diferentes, con una de ellas fuera de la empresa. Una pyme puede implementar el backup 3-2-1 sin contratar a un administrador de sistemas a tiempo completo. Esta guía te muestra cómo, cuánto cuesta en 2026, cuándo la regla no es suficiente y las trampas que vemos en quienes creen que ya tienen una copia de seguridad.

TL;DR

• 3-2-1 = 3 copias, 2 soportes diferentes, 1 fuera de la oficina. La sincronización (Google Drive, OneDrive, Dropbox) no cuenta como una de esas copias.
• El objetivo del ransomware hoy es la propia copia de seguridad. Veeam informó que el 96% de los ataques de 2024 apuntaron a los repositorios de backup. Por eso la copia externa debe ser inmutable o sin conexión.
• El almacenamiento en la nube de objetos cuesta a partir de 6,95 $ por TB/mes (Backblaze B2) y 7,99 $ por TB/mes (Wasabi, desde julio de 2026). Para la mayoría de las pymes, la factura mensual es inferior al coste de una comida de equipo.
• Una copia de seguridad que nunca ha sido restaurada es una hipótesis, no una copia de seguridad. Prueba la restauración al menos una vez por trimestre.
• La implementación lleva de 2 a 4 semanas. Lo que requiere mano de obra especializada es el diseño inicial y la prueba de restauración, no la operación diaria.

Soy Cleverson Gouvêa, fundador de Agathas Web. Desde 2008 me encargo de servidores Linux, alojamiento gestionado, entornos Moodle de instituciones educativas y, en los últimos años, de la infraestructura detrás de la API oficial de WhatsApp. La copia de seguridad es la parte menos glamurosa de este trabajo y la que más pesa en un mal día. Los precios y datos de este texto fueron verificados en octubre de 2026, con las fuentes indicadas.

Qué es el backup 3-2-1 y por qué sigue siendo válido en 2026

La regla se resume en una frase, pero cada número tiene un motivo.

• 3 copias: el dato original más dos copias. Si una falla, aún quedan dos. La probabilidad de que tres copias independientes fallen al mismo tiempo es mucho menor que la de una sola.
• 2 soportes diferentes: disco del servidor y un NAS, por ejemplo, o NAS y nube. Soportes diferentes no comparten el mismo defecto de fabricación, la misma controladora ni la misma subida de tensión en la red eléctrica.
• 1 fuera de la ubicación: incendio, inundación, robo y ransomware no respetan la puerta de la sala del servidor. La copia externa sobrevive al peor día de la oficina.

La propia CISA, la agencia de ciberseguridad de Estados Unidos, recomienda en su guía oficial contra ransomware mantener copias de seguridad sin conexión y cifradas de los datos críticos y probar regularmente la disponibilidad e integridad de esas copias. El motivo se dice con todas las letras: muchas variantes de ransomware buscan y eliminan o cifran las copias de seguridad a las que pueden acceder.

Es ahí donde el backup 3-2-1 clásico muestra su antigüedad. Fue diseñado para fallos de hardware y desastres físicos. El atacante de 2026 entra por la red, con credenciales robadas, y borra las copias antes de pedir rescate. Por eso la versión moderna del backup 3-2-1 ha ganado dos números más.

La evolución: 3-2-1-1-0

• +1 copia inmutable o sin conexión: una copia que nadie puede borrar o alterar durante un período, ni siquiera con la contraseña de administrador.
• 0 errores en la verificación: la restauración ha sido probada y ha funcionado.

No es marketing de proveedor. El backup 3-2-1 con estos dos añadidos es la respuesta directa a la forma en que ocurren los ataques hoy en día.

Por qué el ransomware apunta primero a la copia de seguridad

Los números de los informes de mercado son claros sobre quién es el objetivo.

• El Ransomware Trends Report 2024 de Veeam señaló que el 96% de los ataques de ransomware apuntaron a los repositorios de backup y que, en el 76% de los casos, el atacante logró comprometer parte de esas copias.
• Sophos, en un estudio de 2024 sobre copias de seguridad comprometidas, mostró que el 94% de las organizaciones atacadas vieron intentos contra la copia de seguridad, y que las empresas con copias de seguridad comprometidas gastaron aproximadamente 8 veces más en la recuperación total que las que tenían la copia de seguridad intacta.
• El Data Breach Investigations Report 2026 de Verizon registró ransomware en el 48% de las filtraciones analizadas.

Traducido para la pyme: quien ataca sabe que, con una copia de seguridad limpia, no pagarás. Entonces, lo primero que hace después de entrar es buscar el NAS mapeado como unidad de red, el disco duro externo que permanece conectado 24 horas y el panel del servicio en la nube con la misma contraseña del correo electrónico.

En el día a día de los servidores que administramos, el patrón de riesgo se repite: la copia de seguridad existe, se ejecuta cada noche y es accesible por el mismo usuario que tiene acceso a todo. Si ese usuario cae, la copia de seguridad cae con él. Es por eso que el hardening del servidor Linux y la autenticación en dos factores en la empresa van de la mano con la copia de seguridad. Uno protege la puerta; el otro garantiza que hay vida después de que la puerta ha sido forzada.

El error más común: creer que la sincronización es una copia de seguridad

Antes de implementar cualquier cosa, vale la pena desmontar la creencia que más vemos en las pymes: "todo está en Drive, entonces tengo una copia de seguridad".

Google Drive, OneDrive y Dropbox son sincronizadores. Copian los cambios de un lado a otro, rápidamente. Si un ransomware cifra la carpeta en el ordenador, la versión cifrada se sincroniza con la nube. Si alguien borra una carpeta, esta desaparece en todos los lugares.

Es cierto que estos servicios guardan versiones antiguas y papelera de reciclaje por un tiempo. Esto ayuda en un pequeño accidente. No sustituye, dentro de un backup 3-2-1 real, una copia independiente, con retención que tú controlas, guardada fuera de la cuenta que fue comprometida.

Lo mismo ocurre con el correo electrónico y los documentos dentro de Microsoft 365 o Google Workspace. El Contrato de Servicios de Microsoft recomienda expresamente que el cliente realice copias de seguridad regulares de su propio contenido. El proveedor garantiza que el servicio funciona; el dato es tu responsabilidad.

Qué cuenta como copia en el backup 3-2-1

Elemento	¿Cuenta como copia?	Por qué
Carpeta sincronizada en Drive/OneDrive	No	Replica eliminaciones y archivos cifrados
RAID en el servidor o en el NAS	No	Protege contra disco defectuoso, no contra eliminación ni ransomware
Snapshot del mismo volumen	Parcial	Ayuda a retroceder en el tiempo, pero muere junto con el equipo
NAS con historial de versiones	Sí	Segundo soporte, local, con retención
Nube de objetos con bloqueo (Object Lock)	Sí	Fuera de la ubicación e inmutable
Disco duro externo desconectado y guardado fuera	Sí	Sin conexión, pero depende de la disciplina humana

Cómo implementar el backup 3-2-1 en una pyme, paso a paso

La implementación del backup 3-2-1 se divide en cuatro etapas. Ninguna exige a alguien dedicado a tiempo completo; exige a alguien que sepa diseñarlo una vez y un responsable que revise el informe cada semana.

1. Inventario: lo que no puedes perder

Enumera los datos que, si desaparecen mañana, paralizan la empresa. Normalmente son:

• base de datos del ERP, del sistema de gestión o del e-commerce;
• carpetas de proyectos, contratos y documentos fiscales;
• buzones de correo electrónico;
• el sitio web y la base de datos del sitio web;
• para instituciones educativas, el Moodle completo: base de datos, moodledata y código.

Para cada elemento, define dos números: cuánto tiempo de trabajo estás dispuesto a perder (el RPO, por sus siglas en inglés) y cuánto tiempo puede permanecer parado (el RTO). Un despacho contable puede aceptar perder un día de trabajo; una tienda online en Black Friday, no.

2. Copia local: rápida, para el problema del día a día

La segunda copia se queda cerca: un NAS con historial de versiones o un servidor de backup en la misma red. De ella restauras el archivo borrado accidentalmente el martes. Necesita ser rápida, porque el 90% de las restauraciones son pequeñas.

Precauciones que marcan la diferencia:

• el NAS no debe aparecer como unidad de red mapeada en los ordenadores del equipo;
• el usuario que graba la copia de seguridad no debe ser el mismo usuario del día a día;
• activa el historial de versiones y mantén al menos 30 días.

3. Copia externa e inmutable: la que salva el día del ataque

La tercera copia del backup 3-2-1 va fuera. En 2026, el camino más barato y menos dependiente de la disciplina es un almacenamiento de objetos compatible con S3 con Object Lock, la característica que bloquea cada archivo contra la eliminación por un plazo definido. En Backblaze B2, por ejemplo, el plazo de retención puede ser extendido, pero no acortado. Ni tú, ni un atacante con tu contraseña, puede borrarlo antes del vencimiento.

Herramientas maduras y gratuitas realizan el envío cifrado: restic (versión 0.19.1, de julio de 2026), BorgBackup y rclone en Linux; soluciones como Veeam Agent en entornos Windows. El cifrado ocurre antes de que el dato salga de la empresa, y la clave se queda contigo.

Una trampa técnica real: no todas las herramientas conviven bien con Object Lock. Las rutinas de limpieza de versiones antiguas intentan borrar archivos bloqueados y fallan. La propia Backblaze advierte que las herramientas simples de sincronización suelen romper el trabajo cuando encuentran un objeto inmutable. Prueba la combinación herramienta + bucket bloqueado antes de confiar en ella.

4. Programación, alerta y responsable

Una copia de seguridad sin alerta muere en silencio. Configura:

• ejecución automática fuera del horario comercial;
• correo electrónico o mensaje cuando el trabajo falla y, mejor aún, cuando no se ejecuta;
• un responsable nombrado que revisa el informe semanal.

Es la etapa más barata y la más olvidada. El escenario clásico es la copia de seguridad que dejó de ejecutarse meses antes y nadie se dio cuenta hasta que la necesitó.

Cuánto cuesta un backup 3-2-1 en 2026

El coste mensual del backup 3-2-1 suele sorprender a la baja. Lo caro es el dato que se pierde.

Componente	Referencia de precio (oct/2026)	Observación
Backblaze B2	6,95 $ por TB/mes	10 GB gratis; salida gratuita hasta 3x el volumen almacenado
Wasabi Hot Cloud Storage	7,99 $ por TB/mes	Nuevo precio desde el 1/07/2026 para pago por uso
NAS de 2 bahías + 2 discos	inversión única	Varía mucho con la capacidad y la marca; consultar en el mercado nacional
Software (restic, Borg, rclone)	gratuito	Código abierto, sin licencia por máquina

Un ejemplo práctico: una empresa con 500 GB de datos críticos y 90 días de retención raramente supera 1 TB almacenado en la nube, porque las herramientas modernas deduplican y solo envían lo que ha cambiado. Esto queda por debajo de 10 $ al mes en Backblaze B2. Con los precios actuales, esto se traduce en una cantidad muy asequible en euros al mes. Los precios están en dólares, así que consulta la cotización del día y la página oficial de precios de B2 antes de cerrar el presupuesto.

El coste que no aparece en la hoja de cálculo es el de las horas: diseñar, configurar, probar la primera restauración y documentar. Es ahí donde la pyme tropieza, porque nadie en el equipo tiene ese tiempo ni ese repertorio.

Cuándo el backup 3-2-1 no es suficiente (y cuándo es un exceso)

La regla es un piso, no un techo. Y tampoco necesita aplicarse a todo con el mismo rigor.

Cuándo no es suficiente

• Sistemas que no pueden parar. El backup recupera datos; no mantiene el sistema en funcionamiento. Si una hora parado cuesta caro, necesitas replicación o un entorno de contingencia, además del backup.
• Bases de datos con muchas transacciones. Copiar el archivo de la base de datos mientras se ejecuta genera una copia corrupta. Usa un dump consistente o un snapshot coordinado con la base de datos.
• Datos personales bajo el RGPD. Una copia de seguridad también es un dato personal. Necesita cifrado, control de acceso y un plazo de retención definido. En caso de incidente con riesgo relevante para los titulares, el RGPD (Reglamento General de Protección de Datos) establece que el responsable del tratamiento tiene 72 horas para comunicar la brecha a la AEPD (Agencia Española de Protección de Datos) y, en ciertos casos, a los interesados.

Cuándo es un exceso

• Archivos que ya residen en un sistema con copia de seguridad del proveedor y que puedes recrear. Hojas de cálculo temporales y descargas no necesitan tres copias.
• Entornos de prueba. Guarda el código en el repositorio y el script de creación; no hagas copias de seguridad diarias de máquinas desechables.
• Volumen gigante de datos fríos. El archivo muerto puede ir a una capa de archivado más barata y más lenta, con prueba de restauración anual.

Saber lo que no copiar reduce costes y hace que la copia de seguridad de lo que importa sea más rápida.

Prueba de restauración: el "0" que casi nadie hace

Una copia de seguridad que nunca ha sido restaurada es una promesa. En el backup 3-2-1, la prueba es lo que transforma la promesa en garantía.

Una rutina simple que funciona para pymes:

1. Mensual: restaura un archivo aleatorio de una carpeta crítica y comprueba si se abre.
2. Trimestral: restaura un sistema completo (la base de datos del ERP, el sitio web, el Moodle) en un entorno separado y cronometra. Ese tiempo es tu RTO real, no el del papel.
3. Anual: simula el peor día. Supón que el servidor y el NAS han desaparecido. ¿Se puede recuperar solo con la copia externa? ¿Quién tiene la clave de cifrado? ¿Dónde está la contraseña?

Esa última pregunta echa por tierra más planes que cualquier fallo técnico. La clave de cifrado guardada solo en el servidor que se perdió hace que la copia de seguridad externa sea inútil. Guárdala en un gestor de contraseñas de la empresa y en una copia física, en un lugar seguro.

En la copia de seguridad de Moodle esto aparece con claridad: el curso restaurado sin el moodledata correspondiente se abre vacío. Solo la prueba completa revela este tipo de agujero.

Trampas que vemos en las pymes

• Disco duro externo siempre conectado. Se convierte en una unidad más para que el ransomware la cifre.
• Una contraseña para todo. La cuenta de la nube de backup con la misma contraseña del correo electrónico y sin segundo factor.
• Copia de seguridad solo del servidor. El portátil del director, con los contratos del mes, queda fuera.
• Retención demasiado corta. Los ataques permanecen semanas latentes antes de cifrar. Con solo 7 días de historial, todas las copias ya están contaminadas.
• Nadie es el propietario. El técnico que lo configuró se fue, y la alerta va a un correo electrónico que nadie lee.
• Confiar en el RAID. RAID protege contra disco defectuoso. No protege contra eliminación, error humano ni ataque.

Si reconociste dos o más elementos de esta lista en tu empresa, el problema no es la herramienta. Es diseño y responsabilidad, que es exactamente lo que una consultoría de tecnología con diagnóstico independiente resuelve antes del incidente, no después.

Cómo Agathas Web resuelve esto

La mayoría de las pymes no necesita un administrador de sistemas contratado para tener un backup 3-2-1 real. Necesita a alguien que lo diseñe correctamente una vez, lo pruebe y deje la operación lo suficientemente sencilla para que el equipo la gestione.

En la consultoría de Agathas Web, la copia de seguridad y la recuperación son uno de los vectores que auditamos en todo diagnóstico, junto con seguridad, accesos y RGPD. En la práctica, funciona así:

• Conversación inicial gratuita de 30 a 60 minutos para entender el escenario, los sistemas y lo que es crítico.
• Inmersión técnica con acceso de solo lectura: mapeamos dónde están los datos, cómo se ejecuta la copia de seguridad hoy, quién tiene acceso y si la restauración funciona realmente.
• Informe con plan de acción: qué mantener, qué corregir, la arquitectura 3-2-1 recomendada para tu tamaño, el coste mensual estimado y las victorias rápidas de 30 días.
• Implementación y prueba de restauración, si quieres que lo ejecutemos, o seguimiento mensual en formato CTO as a Service, para que tu equipo lo ejecute con revisión sénior.

Quien lo dirige es socio de la empresa, con más de 15 años operando servidores, Moodle en producción, alojamiento gestionado e integraciones con la API oficial de WhatsApp. No revendemos software de backup, así que la recomendación es la que te sirve a ti, no la que paga comisión. El trabajo comienza con un NDA bilateral.

Conclusión: el backup 3-2-1 es barato; perder datos no lo es

El backup 3-2-1 sigue siendo la base correcta para la pyme en 2026, siempre que esté actualizado para el ataque de hoy: una copia inmutable o sin conexión, accesos separados y prueba de restauración en el calendario. La nube de objetos cuesta pocos dólares por terabyte, y las mejores herramientas son gratuitas. Lo que falta en la mayoría de las pymes no es presupuesto; es diseño y alguien responsable.

Empieza por el inventario de esta semana: enumera lo que no se puede perder y pregunta cuándo fue la última restauración probada. Si la respuesta es "nunca" o "no sé", agenda un diagnóstico con Agathas Web y sal con un plan de backup que puedas probar que funciona.