Un lunes a primera hora, alguien borra una carpeta compartida. O un empleado abre un archivo adjunto que cifra el servidor. O falla el disco donde se guardaba la única copia de la facturación. Saber cómo proteger copias de seguridad no consiste en contratar más almacenamiento: consiste en asegurar que los datos pueden recuperarse cuando realmente hacen falta.
Muchas PYMES creen tener este asunto resuelto porque existe una carpeta llamada “Backup”, un disco USB conectado al ordenador o una sincronización en la nube. Ninguna de esas cosas garantiza una recuperación. Si el archivo se borra y la sincronización replica el borrado, si el ransomware alcanza la unidad conectada o si nadie conoce las credenciales de la cuenta cloud, la copia existe hasta que deja de servir.
La pregunta útil no es “¿hacemos backup?”. Es: “¿podemos recuperar los datos críticos, en un orden definido y con acceso controlado?”.
Qué debe proteger una copia de seguridad
Una copia de seguridad protege información, pero también protege capacidad de trabajo. En una clínica puede ser la agenda y la documentación operativa; en un taller, los presupuestos, facturas y fichas de vehículos; en una empresa de construcción, la documentación de obra, contratos, planos, partes y correos relevantes. No todos los datos tienen el mismo valor ni exigen el mismo nivel de recuperación.
El primer error es copiarlo todo sin criterio. Esto encarece el almacenamiento, dificulta localizar lo necesario y hace que nadie compruebe el resultado. El segundo es aún más peligroso: dejar fuera los sistemas que no parecen archivos. Bases de datos de una aplicación, configuración del correo, cuentas de usuarios, entornos de trabajo y datos alojados en herramientas SaaS también pueden requerir una estrategia específica.
Antes de elegir tecnología, conviene responder tres preguntas muy concretas:
- ¿Qué información detendría la operación si no estuviera disponible mañana?
- ¿Cuánto trabajo manual se puede asumir perder: una hora, un día, una semana?
- ¿Quién puede restaurar los datos y dónde están las instrucciones?
En empresas con más de diez empleados, esta decisión debería involucrar a dirección, operaciones y la persona responsable de IT, aunque sea externa. El backup no es una tarea aislada del área técnica: condiciona la continuidad del negocio.
Cómo proteger copias de seguridad con la regla 3-2-1
La regla 3-2-1 sigue siendo una base razonable porque resuelve un problema habitual: depender de un único fallo. Plantea conservar tres copias de los datos, en dos soportes diferentes y con una copia fuera de la ubicación principal.
No hace falta interpretar esta regla de forma literal ni comprar tres servidores. Una PYME puede combinar el sistema de producción, una copia local cifrada y una copia externa en un servicio cloud o en otra ubicación física. Lo relevante es que un incendio, un robo, un error humano o una infección no eliminen todas las copias a la vez.
La parte que suele faltar es la inmutabilidad o el aislamiento. Una copia conectada permanentemente a la red es cómoda, pero puede quedar expuesta al mismo incidente que afecta al equipo principal. Si el malware tiene permisos suficientes, puede cifrar archivos compartidos, unidades de red e incluso copias accesibles con las mismas credenciales.
Para reducir ese riesgo, conviene usar al menos una copia que no pueda modificarse fácilmente durante un periodo definido. Puede ser almacenamiento con retención bloqueada, versiones protegidas o un soporte desconectado y custodiado. Cada opción tiene costes y límites. El disco desconectado exige disciplina humana; la nube depende de una configuración correcta y de cuentas bien protegidas; la inmutabilidad puede complicar el borrado anticipado de información. No existe una solución automática que sustituya el criterio.
Sincronizar no es hacer una copia de seguridad
Google Drive, OneDrive, Dropbox y herramientas similares ayudan a trabajar desde distintos dispositivos y a compartir documentación. También pueden conservar versiones anteriores, según el plan y la configuración. Pero su objetivo principal es sincronizar.
Si un usuario modifica o elimina un archivo, el cambio puede propagarse. Si una cuenta se compromete, el atacante puede actuar sobre los datos sincronizados. Por eso hay que revisar qué política de versiones existe, cuánto tiempo se mantienen los archivos eliminados y si se realiza una copia independiente de la información crítica.
La nube puede formar parte de la estrategia, pero no debe ser una excusa para no definirla.
El acceso al backup debe ser más estricto que el acceso diario
Las copias contienen prácticamente toda la información de la empresa. Dar acceso amplio a ese repositorio por comodidad equivale a concentrar el riesgo en un solo lugar. Un atacante que entra en una cuenta privilegiada no necesita buscar documentos repartidos por departamentos si encuentra una copia completa y accesible.
Aplique el principio de mínimo privilegio. Las personas deben tener únicamente los permisos necesarios para su función. Quien consulta facturas no tiene por qué poder borrar retenciones ni cambiar la configuración del sistema de backup. Las cuentas administrativas deben estar separadas de las cuentas de uso diario y protegidas con autenticación multifactor.
También conviene evitar credenciales compartidas. Cuando varias personas usan el mismo usuario y contraseña, es imposible saber quién realizó un cambio y muy difícil retirar accesos cuando alguien deja la empresa. Un gestor de contraseñas corporativo reduce parte de esta fricción, siempre que tenga permisos individuales y recuperación controlada.
La protección no termina en la contraseña. Hay que revisar quién recibe alertas de fallo, quién puede modificar las políticas de retención y qué ocurre si el administrador habitual está de vacaciones, enfermo o ya no trabaja en la empresa.
Cifrado, retención y ubicación: tres decisiones prácticas
El cifrado protege el contenido si un disco se pierde, si se roba un portátil o si se accede indebidamente al almacenamiento externo. Debe aplicarse tanto durante la transmisión de los datos como cuando están almacenados. Pero cifrar sin gestionar bien las claves puede convertir una incidencia recuperable en una pérdida permanente. Documente dónde se custodian las claves, quién puede acceder a ellas y cómo se recuperan con autorización.
La retención define cuánto tiempo conservará cada tipo de copia. Un negocio que detecta un error tres meses después necesita versiones anteriores; otro que maneja grandes volúmenes de archivos puede no necesitar guardar cada versión durante años. La decisión debe equilibrar riesgo, obligaciones de conservación, costes y capacidad de restauración.
La ubicación importa por razones técnicas y legales. Si se utilizan proveedores externos, revise dónde se alojan los datos, qué medidas de seguridad ofrecen, cómo se controlan los accesos y qué ocurre cuando se cancela el servicio. No se trata de perseguir sellos comerciales: se trata de saber qué se ha contratado y qué responsabilidad conserva la empresa.
Una copia no vale nada hasta que se prueba la restauración
El fallo más caro no es que el backup falle. Es descubrirlo durante una parada real. Una tarea puede marcarse como completada y, aun así, haber copiado archivos corruptos, omitido una base de datos o guardado la información en un formato que nadie sabe recuperar.
Programe pruebas de restauración periódicas. No basta con abrir una carpeta y comprobar que hay archivos. Hay que recuperar una muestra en una ubicación separada, abrir documentos relevantes, verificar fechas y permisos, y confirmar que una aplicación puede utilizar sus datos restaurados.
La frecuencia depende de la actividad. Una empresa que genera presupuestos, órdenes de trabajo o documentación de obra a diario necesita revisar sus copias con más atención que un negocio con cambios puntuales. Tras actualizar un servidor, migrar correo, cambiar de proveedor cloud o instalar una aplicación crítica, pruebe de nuevo. Los cambios técnicos suelen romper tareas que antes funcionaban.
Documente también el orden de recuperación. Primero pueden ser las cuentas de acceso y la red; después el servidor o la aplicación; finalmente, los archivos de usuario. Sin ese orden, una restauración puede alargarse porque cada persona toma decisiones sobre la marcha.
Señales de que su estrategia de backup tiene un agujero
Hay síntomas claros: nadie sabe cuánto tardaría en recuperar la información; la única copia está en el mismo despacho que los equipos; el disco de backup permanece conectado siempre; no hay MFA en la cuenta de almacenamiento; los avisos de error llegan a un correo que nadie revisa; o las pruebas de restauración nunca se han realizado.
También es una señal de alerta depender de una única persona. Cuando el conocimiento está en conversaciones de WhatsApp, notas privadas o una contraseña que “solo conoce el informático”, la continuidad depende de una persona, no de un sistema.
En WebPC, la revisión de resiliencia y continuidad parte precisamente de ahí: identificar qué se copia, dónde, con qué permisos, durante cuánto tiempo y si se puede restaurar. No se trata de vender una caja negra de seguridad, sino de dejar un diagnóstico accionable para cerrar fallos verificables.
Esta semana no hace falta rediseñar toda la infraestructura. Pida que se restaure un archivo concreto de hace varias semanas en una carpeta separada. Si nadie puede hacerlo con seguridad y sin improvisar, ya sabe cuál es la primera tarea.
