Día Mundial del Backup: ¿Sigue siendo relevante la regla de copia de seguridad 3-2-1?

Por qué SaaS, los datos de identidad y los sistemas OT requieren un enfoque moderno en un marco de backup de décadas de antigüedad

Conclusiones

• La regla 3-2-1 sigue funcionando, pero solo si se aplica a los tipos de datos modernos. Las copias de seguridad deben extenderse más allá de los archivos y bases de datos para incluir datos de aplicaciones SaaS, configuraciones de identidad y sistemas de tecnología operativa.
• La redundancia sin separación no es resiliencia. Realizar copias de seguridad de los datos en la nube dentro del mismo entorno de nube solo genera copias, no protección. Una separación efectiva —que incluya el aislamiento entre nubes y el aislamiento administrativo— es ahora esencial.
• La capacidad de recuperación importa más que la retención. Las copias de seguridad inmutables, los controles de acceso independientes y las pruebas de restauración regulares determinan si realmente se puede recuperar la información después de un ransomware, una mala configuración o un fallo del sistema.

La regla de backup 3-2-1 se atribuye ampliamente al fotógrafo Peter Krogh, quien escribió sobre la importancia de la protección de datos en su libro sobre gestión de activos digitales. Krogh no inventó el concepto; solo acuñó la frase. Más tarde, se le atribuyó oficialmente la idea en una publicación de US-CERT de 2012 sobre opciones de copia de seguridad de datos.

En su momento, 3-2-1 proporcionó un marco simple y fiable para proteger los datos en entornos locales. Pero las suposiciones sobre la infraestructura en las que se basó ya no reflejan cómo operan la mayoría de las organizaciones. Los datos de producción ahora se distribuyen en plataformas SaaS, sistemas de identidad, servicios en la nube y entornos de tecnología operativa (OT). La regla en sí misma no ha dejado de ser válida, pero la forma en que muchas organizaciones la aplican se ha quedado obsoleta.

“Cualquier cosa que tengas en un solo disco duro es algo que no te importa perder hoy.” ~ Peter Krogh

Cuál era el problema que la regla original 3-2-1 estaba diseñada para resolver

La regla 3-2-1 original se ve así:

3 – Mantener tres copias de cualquier archivo importante: una copia de producción y dos copias de seguridad.

2 – Almacenar copias de seguridad en dos tipos de medios diferentes para protegerse contra distintos tipos de fallos.

1 – Mantener una copia fuera de las instalaciones, alejada del entorno de producción principal.

Este enfoque fue diseñado para infraestructura física. Los servidores de producción se encontraban en un centro de datos o en una sala de servidores en la oficina. Las copias de seguridad se grababan en cinta o disco. El almacenamiento fuera del sitio significaba separación física. El objetivo era la resiliencia a través de la redundancia y la distancia.

Con el tiempo, surgieron variaciones. Algunas enfatizaban mantener dos copias de seguridad en lugar de dos tipos de medios. Otras reemplazaron la separación física por almacenamiento en la nube. El marco gradualmente se alejó de la lista de verificación literal “3-2-1” y se dirigió hacia una pregunta más amplia: ¿realmente tiene copias independientes y recuperables de sus datos?

Cómo ha evolucionado ya el sector: 3-2-1

La primera gran evolución fue la regla 3-2-1-1, que añadió el requisito de que una copia de seguridad sea inmutable o aislada. Este cambio fue una respuesta directa al ransomware.

Si un atacante puede cifrar sus sistemas de producción y sus copias de seguridad utilizando las mismas credenciales, no tiene una copia de seguridad, tienes un segundo objetivo. La inmutabilidad, ya sea implementada mediante almacenamiento de escritura única, aislamiento en la nube o separación física, asegura que al menos una copia de los datos sobreviva a un ataque.

La siguiente evolución, 3-2-1-1-0, abordaba un problema menos evidente pero igualmente grave: las copias de seguridad sin comprobar. El «cero» hace referencia a la ausencia total de errores en las pruebas de verificación y recuperación de las copias de seguridad. Nadie quiere descubrir que sus copias de seguridad contienen datos dañados o que faltan datos tras un incidente. El cero nos recuerda que el éxito de una copia de seguridad se mide en el momento de la restauración, no en el momento de la copia.

Por qué 3-2-1 falla en entornos SaaS

El primer punto de presión importante para 3-2-1 es el software-as-a-service (SaaS).

Cuando los datos de producción se almacenan en una plataforma SaaS como Microsoft 365, el concepto de «fuera de las instalaciones» puede resultar engañoso. Los datos ya se encuentran en el centro de datos de un tercero, fuera del alcance de los riesgos físicos de la sede de la empresa. Los proveedores de SaaS ofrecen redundancia y disponibilidad para garantizar el funcionamiento de los servicios, pero esos controles no tienen nada que ver con la copia de seguridad de los datos.

Microsoft es muy clara en cuanto a este modelo de responsabilidad compartida: los clientes son propietarios de sus datos e identidades y son responsables de protegerlos. Las políticas de retención y las papeleras de reciclaje ofrecen una recuperación limitada y a corto plazo, no una verdadera copia de seguridad o recuperación ante desastres.

Podría crear copias de seguridad de sus datos en el mismo entorno en la nube, como una copia de seguridad alojada en Azure para los datos de producción alojados en Azure. Esto le proporciona una segunda copia de los datos, pero es posible que no ofrezca una separación significativa. Una violación de seguridad a nivel de tenant, un robo de credenciales o un incidente que afecte a toda la nube pueden afectar tanto a su copia de producción como a la copia de seguridad.

Para SaaS, la adaptación moderna 3-2-1 es de nube cruzada air gapping. Las copias de seguridad deben residir en un dominio administrativo separado, con credenciales y controles de acceso independientes. Una tercera copia podría estar en las instalaciones o en una cuenta de nube completamente separada. El objetivo no es solo la redundancia, sino la independencia. Si Microsoft o una cuenta de administrador se ve comprometida, la recuperación debe seguir siendo posible.

Infraestructura de identidad: Los datos que la mayoría de las organizaciones olvidan

Cuando se trata de la copia de seguridad de datos, la mayoría de los equipos de TI piensan en archivos, sistemas de correo electrónico, bases de datos, etc. La infraestructura de identidad no siempre está en esa lista.

Los sistemas como Microsoft Entra ID contienen los datos que determinan quién puede iniciar sesión, a qué pueden acceder y cómo funciona la autenticación en todo el entorno. Usuarios, grupos, roles, registros de aplicaciones, políticas de acceso condicional y métodos de autenticación residen allí. Perder o corromper estos datos significa perder el control del propio entorno.

Muchas empresas pasan por alto las configuraciones de identidad como una clase de datos. No se incluyen en las políticas de copia de seguridad, rara vez tienen períodos de retención definidos y a menudo se excluyen de las pruebas de recuperación. Las opciones de recuperación nativas son limitadas, y no hay una forma integrada de revertir muchos cambios críticos de configuración. Para muchas empresas, solo hay una copia de los datos de identidad almacenada en el entorno de producción.

Una estrategia moderna 3-2-1 trata la infraestructura de identidad como datos críticos para la misión, con su propia cadencia de backup, requisitos de retención y pruebas de restauración. La identidad cambia constantemente. Las copias de seguridad tradicionales de archivos y correos electrónicos no la protegen.

Tecnología operativa: Replanteando qué se considera “datos”

Los entornos de tecnología operativa presentan un desafío diferente. La pregunta no es dónde residen las copias de seguridad, sino qué datos vale la pena respaldar.

En OT, los datos críticos incluyen la lógica del controlador, el firmware, las configuraciones de dispositivos y las reglas de segmentación de red que mantienen los procesos industriales funcionando de manera segura. Perder esos datos puede causar tiempo de inactividad y comprometer la seguridad de los trabajadores o del público .

Los backups de OT se complican por formatos propietarios, preocupaciones de seguridad y la imposibilidad de probar regularmente las restauraciones sin interrumpir la producción. Incluso cuando existen copias de seguridad, las organizaciones pueden depender de la documentación o de reconstrucciones manuales como mecanismos de recuperación.

Aquí, la adaptación 3-2-1 trata de expandir la definición de datos críticos. Marcos como IEC 62443 ayudan a las organizaciones a identificar y clasificar los activos OT, definir la propiedad y alinear las prácticas de backup y recuperación con los requisitos de seguridad y riesgo. El principio sigue siendo el mismo: si se requiere la información para recuperar operaciones, debe estar protegida.

La regla 3-2-1 sigue funcionando: Si haces las preguntas correctas

La regla 3-2-1 persiste porque sus principios son sólidos. La redundancia, la separación y la independencia siguen protegiendo los datos contra la mayoría de los escenarios de pérdida. Lo que ha cambiado es el panorama que deben cubrir esos principios.

Para el Día Mundial del Backup 2026, las preguntas más importantes ya no son sobre los medios de almacenamiento o ubicaciones, sino sobre la cobertura y la recuperabilidad:

• ¿Está haciendo backup de todo? No solo archivos y correos electrónicos, sino también datos de aplicaciones SaaS, configuraciones de identidad y activos OT.
• ¿Sus copias de seguridad están realmente separadas de la producción? Respaldar datos en la nube dentro de la misma nube es duplicación, no aislamiento.
• ¿Están sus backups realmente separados del entorno de producción? Hacer copias de seguridad de los datos en la nube dentro de la misma nube es una duplicación, no un aislamiento.
• ¿Son inmutables sus backups? Si el ransomware puede acceder a ellas, son objetivos, no medidas de protección.
• ¿Ha probado a realizar una restauración recientemente? La capacidad de recuperación solo existe si se ha probado.

La regla 3-2-1 ayuda a las organizaciones a pensar con claridad sobre la resiliencia, y es lo suficientemente flexible como para adaptarse a la infraestructura que está utilizando hoy. Si no ha pensado en su estrategia de baclup en un tiempo, considere la regla 3-2-1 en lo que respecta a todos sus datos: identidad, OT, webhooks e integraciones personalizadas, herramientas de seguridad como reglas de activación y configuraciones de protección de endpoints.

Los Controles 3 y 11 del Centro para la Seguridad de Internet (CIS) cubren la protección y recuperación de datos. Hemos resumido estos controles en nuestra publicación aquí. Estos controles de CIS pueden ayudarle a identificar y proteger los datos en su entorno.

Barracuda ofrece soluciones de protección de datos diseñadas para satisfacer estos requisitos de copia de seguridad. Para obtener más información sobre cómo podemos ayudarle a proteger sus datos, consulte los siguientes recursos:

• Barracuda Cloud-to-Cloud Backup: Copia de seguridad y recuperación SaaS para Microsoft 365
• Barracuda Entra ID Backup Premium — Copia de seguridad integral para los 13 componentes críticos de Entra ID
• Barracuda Backup — Copia de seguridad en las instalaciones y en la nube para entornos físicos, virtuales y en la nube
• Estrategias de defensa en profundidad para proteger datos críticos de Entra ID – Webinar a la carta sobre la protección de datos críticos para el negocio de Entra ID.