Un viernes a última hora, un empleado borra por error una carpeta compartida con presupuestos, planos o facturas. El lunes alguien descubre que la copia disponible también estaba sincronizada y el borrado se ha replicado. Esta guía de copias de seguridad para empresas parte de un problema real: guardar archivos no basta si no puede recuperarlos cuando el negocio los necesita.
Una copia útil no se mide por el espacio contratado ni por el mensaje de "backup completado". Se mide por dos preguntas incómodas: ¿cuánto trabajo puede permitirse perder la empresa? Y, si falla un equipo, un servidor o una cuenta de correo, ¿cuánto tiempo puede operar sin esos datos?
Qué debe cubrir una guía de copias de seguridad para empresas
El primer error es pensar solo en documentos de oficina. Una empresa puede depender de una base de datos de clientes, un programa de gestión instalado en un servidor local, correos con pedidos y contratos, configuraciones de red, fotos de obra, archivos de diseño o datos de una plataforma cloud. Cada activo tiene una criticidad distinta y no todos se respaldan igual.
Conviene empezar con un inventario sencillo. No hace falta un documento burocrático de cincuenta páginas. Sí hace falta saber dónde vive cada dato, quién lo administra, con qué frecuencia cambia y qué proceso se detiene si deja de estar disponible. Una distribuidora, por ejemplo, puede aguantar unas horas sin imágenes comerciales, pero no sin los datos de stock, pedidos y tarifas. Un estudio de arquitectura quizá necesite recuperar con prioridad los proyectos activos y sus versiones, no todo el histórico al mismo tiempo.
También hay que separar copia, sincronización y archivo. La sincronización replica cambios entre ubicaciones y resulta muy útil para trabajar, pero puede replicar un borrado accidental o archivos cifrados por malware. El archivo conserva información durante años por razones legales u operativas, pero no siempre está preparado para restaurar el trabajo de una mañana. La copia de seguridad existe para volver a un estado anterior verificable.
Defina primero cuánto puede perder y cuánto puede parar
Dos conceptos ordenan cualquier decisión técnica: RPO y RTO. Aunque los nombres suenen a informe de grandes corporaciones, sirven para una PYME.
El RPO define la pérdida máxima de datos asumible. Si una aplicación se copia cada noche y falla a las cuatro de la tarde, el negocio podría perder hasta una jornada de cambios. Si eso incluye albaranes, fichajes o presupuestos, quizá no sea aceptable. En ese caso, hacen falta copias más frecuentes o mecanismos adicionales de exportación y registro.
El RTO define el tiempo máximo razonable para recuperar la operación. Recuperar un archivo de Excel puede llevar minutos. Restaurar una máquina completa, una base de datos o un servidor con varias aplicaciones puede requerir más tiempo y una preparación previa. No es lo mismo tener una copia que tener un procedimiento de recuperación probado.
Estas decisiones tienen coste. Una retención larga, copias frecuentes, almacenamiento externo, cifrado y sistemas inmutables consumen presupuesto y gestión. La alternativa barata de una única copia en un disco conectado al servidor suele ser suficiente hasta el día que no lo es. El objetivo no es comprar la solución más compleja, sino ajustar protección y coste al impacto real de cada proceso.
La regla 3-2-1-1-0, explicada sin marketing
Como base de diseño, la regla 3-2-1-1-0 sigue siendo práctica. Significa mantener tres copias de los datos, en dos tipos de soporte diferentes, con una copia fuera de la ubicación principal, otra copia aislada o inmutable y cero errores detectados en las verificaciones.
La parte que más se ignora es la copia aislada. Si el servidor, los equipos y el almacenamiento de respaldo están siempre conectados con permisos amplios, un incidente puede alcanzar todo a la vez. El aislamiento puede conseguirse con almacenamiento externo bien configurado, credenciales separadas, controles de acceso y retención inmutable. No todas las empresas necesitan el mismo diseño, pero todas deberían evitar que una sola cuenta comprometida tenga capacidad de borrar producción y backups.
Tampoco conviene confundir una ubicación externa con una solución automática. Un disco que alguien se lleva ocasionalmente fuera de la oficina puede aportar una capa de protección, pero depende de una rutina humana. Si esa rutina falla durante semanas, la empresa tendrá una falsa sensación de seguridad. Cuanto más crítico sea el dato, menos debería depender el sistema de que alguien se acuerde de conectar, copiar y retirar un dispositivo.
Qué respaldar además de los documentos
Las recuperaciones fallan muchas veces porque solo se guardaron los archivos visibles. Para volver a operar también pueden ser necesarios usuarios, permisos, configuraciones, claves de acceso, plantillas, bases de datos y licencias. En una aplicación web, por ejemplo, el código sin la base de datos y sin la configuración del entorno puede no servir para restaurar el servicio. En un servidor local, restaurar carpetas sin conocer la configuración de red o del software de gestión puede alargar innecesariamente la parada.
El correo corporativo merece una revisión específica. Muchas empresas asumen que el proveedor cloud resuelve cualquier recuperación, pero las opciones de retención, restauración y recuperación de cuentas dependen de la configuración y del servicio contratado. Los buzones pueden contener pedidos, autorizaciones, facturas y evidencias comerciales. Conviene decidir si basta con la retención nativa o si se necesita una copia independiente.
También revise los servicios SaaS. Herramientas de gestión de proyectos, CRM, formularios, almacenamiento documental y plataformas de automatización concentran información operativa. Algunas permiten exportaciones completas; otras ofrecen versiones, papelera o retención limitada. Si la empresa no sabe cómo extraer sus datos ni quién tiene la cuenta administradora, no tiene una estrategia de recuperación, tiene una dependencia.
Cómo montar un plan que se pueda ejecutar
Un plan de copias de seguridad útil debe asignar responsables y evitar frases vagas como "informática se encarga". En empresas sin departamento de IT, ese responsable puede ser gerencia junto a un proveedor externo, pero las decisiones de negocio no deberían quedar ocultas en una herramienta técnica.
El documento debe identificar los sistemas cubiertos, la frecuencia de cada copia, el periodo de retención, la ubicación, las cuentas con permisos administrativos y el método de restauración. También debe indicar qué hacer si la copia más reciente está dañada o contiene cambios no deseados. Tener varios puntos de restauración reduce ese riesgo.
Una estructura razonable puede diferenciar tres niveles. Los datos críticos de operación requieren copias frecuentes y recuperación prioritaria. La documentación activa puede ir a una frecuencia diaria con versiones suficientes para detectar errores tardíos. El histórico de baja consulta puede conservarse con menor frecuencia y mayor retención, siempre que las obligaciones legales y contractuales estén claras.
El cifrado protege la información cuando sale de la oficina o se guarda en un proveedor externo, pero introduce una condición: las claves y credenciales deben gestionarse bien. Si solo una persona conoce la contraseña de recuperación y deja la empresa, el backup puede quedar inutilizable. Las credenciales deben estar documentadas de forma segura, con accesos limitados y un procedimiento para cambios de personal.
La prueba de restauración es la parte que separa un backup de una esperanza
No espere a un incidente para descubrir si una copia funciona. Programe pruebas de restauración con escenarios concretos: recuperar un archivo eliminado, una carpeta de proyecto, un buzón, una base de datos o una máquina completa. La prueba debe comprobar que el contenido se abre, que conserva una versión correcta y que los permisos necesarios siguen funcionando.
No hace falta restaurar toda la empresa cada mes. La frecuencia depende del riesgo y de los cambios en los sistemas. Pero sí conviene probar periódicamente los activos críticos y repetir la prueba después de migraciones, cambios de proveedor, renovación de servidores o implantación de nuevas aplicaciones.
Registre el resultado: fecha, sistema probado, punto restaurado, tiempo empleado, problemas detectados y acciones pendientes. Este registro permite comprobar si el RTO definido es realista. También revela fallos menos evidentes, como falta de espacio para restaurar, cuentas caducadas o procedimientos que solo conoce una persona.
Errores habituales que dejan a las empresas expuestas
El primer error es guardar las copias en el mismo equipo o en un disco permanentemente conectado. Protege frente a un fallo menor, pero no necesariamente frente a robo, incendio, ransomware o un error con permisos administrativos.
El segundo es no vigilar alertas. Los backups pueden fallar por falta de espacio, cambios en contraseñas, archivos bloqueados o problemas de conectividad. Una tarea que falló durante semanas sigue apareciendo en el panel, pero no aporta capacidad de recuperación.
El tercero es conservar una sola versión. Si un archivo se corrompe, se borra sin detectarlo o se cifra antes de la siguiente copia, restaurar la última versión no resolverá nada. La retención por versiones da margen para volver atrás.
El cuarto es olvidar a las personas. Un empleado que recibe un correo fraudulento, comparte una contraseña o usa una cuenta administrativa para tareas cotidianas puede abrir una vía de acceso a los sistemas y a sus copias. La continuidad no depende solo de almacenamiento: depende de permisos, procedimientos y hábitos.
En WebPC revisamos la resiliencia y continuidad como parte de nuestras auditorías de ciberseguridad para PYMES: qué se respalda, dónde, quién puede acceder, si existe aislamiento y si la recuperación se ha verificado. El resultado no es una promesa de riesgo cero, sino una fotografía accionable de los huecos que pueden paralizar la actividad.
La mejor primera decisión no es contratar más almacenamiento. Es elegir mañana un sistema crítico, intentar restaurar un elemento concreto y medir qué ocurre. Lo que aparezca en esa prueba le dirá mucho más sobre la capacidad de recuperación de su empresa que cualquier etiqueta de "copia completada".
