Tener una copia de seguridad no es suficiente. Tener una copia de seguridad que funcione de verdad cuando la necesitas — eso sí es suficiente. El 58% de las pymes que pierden datos en un ataque o fallo descubren demasiado tarde que su backup no era tan bueno como creían. Esta guía te dice exactamente qué necesitas y por qué.
La regla 3-2-1: el estándar mínimo
Cualquier estrategia de backup seria se basa en la regla 3-2-1. Es el punto de partida que recomiendan organismos como el INCIBE (Instituto Nacional de Ciberseguridad de España) y todos los estándares de seguridad:
El motivo es simple: si tienes solo una copia y algo le pasa (incendio, ransomware, fallo de disco), has perdido todo. Con 3-2-1, necesitarías que tres cosas independientes fallaran al mismo tiempo, lo cual es estadísticamente casi imposible.
¿De qué hay que hacer copia de seguridad?
La mayoría de empresas hace backup de los servidores de archivos pero olvida elementos críticos:
- Archivos y documentos — lo obvio, pero incluyendo todos los repositorios compartidos y carpetas de usuario
- Bases de datos — ERP, CRM, aplicaciones de gestión. Un backup de archivos no protege una base de datos en uso si no se hace correctamente
- Correo electrónico — especialmente si usáis Exchange o Microsoft 365 on-premises. El correo en Microsoft 365 en la nube tiene retención pero no es un backup contra borrados accidentales si no se configura
- Configuraciones de sistemas — routers, firewalls, switches gestionables. Perder la configuración de un firewall puede tardar días en recuperarse
- Sistemas operativos y aplicaciones — imágenes completas del servidor para poder restaurar en hardware nuevo en horas, no en días
El backup de Microsoft 365 no está activado por defecto. Microsoft guarda los datos en la nube, pero solo garantiza disponibilidad del servicio, no recuperación de datos borrados. Si un empleado borra una carpeta completa o un ransomware accede a través de una cuenta comprometida, Microsoft no recupera esos datos. Necesitáis un backup de terceros sobre Microsoft 365.
¿Cada cuánto hacer el backup?
Depende de cuántos datos podéis permitiros perder. Esto se llama RPO (Recovery Point Objective): el tiempo máximo de datos que podéis perder sin que sea catastrófico para el negocio.
- Backup diario: adecuado para la mayoría de pymes. Aceptáis perder como máximo 24 horas de trabajo en el peor caso.
- Backup cada hora: para bases de datos críticas, ERPs o sistemas de facturación. Con Acronis Backup o soluciones similares, las snapshots horarias son el estándar.
- Backup continuo (CDP): para entornos donde perder minutos de datos tiene impacto económico directo. Sectores financieros, comercio electrónico, producción.
Por qué el backup inmutable es clave contra el ransomware
Un backup normal en la nube no protege al 100% contra ransomware. Si el malware compromete las credenciales de vuestro proveedor de backup, puede borrar o cifrar también las copias en la nube. La solución es el backup inmutable: copias que no pueden ser modificadas ni borradas por nadie durante un periodo determinado, ni siquiera por el administrador.
Soluciones como Acronis Backup (partner del que disponemos en Macro Media) ofrecen protección Active Protection que detecta actividad de ransomware en tiempo real y backups inmutables en su nube. Es el nivel de protección que recomendamos para cualquier empresa que maneje datos críticos.
Prueba tu backup regularmente. Un backup no verificado es como un paracaídas sin probar. Lo mínimo es hacer una restauración de prueba completa al menos una vez al año. Lo ideal, trimestralmente. Muchas empresas descubren que su backup no funcionaba bien justo cuando necesitan recuperar datos.
¿Tu backup es realmente seguro?
En Macro Media auditamos tu estrategia de backup actual y te recomendamos la solución más adecuada para tu empresa, incluyendo backup inmutable con Acronis.
RTO y RPO: dos conceptos que toda empresa debe conocer
Cuando diseñas una estrategia de backup, hay dos métricas que determinan si esa estrategia es realmente adecuada para tu negocio:
- RTO (Recovery Time Objective): el tiempo máximo que puede estar parada tu empresa hasta que los sistemas vuelvan a estar operativos. Si tu RTO es de 4 horas, significa que en ese plazo debes tener todo funcionando.
- RPO (Recovery Point Objective): la máxima cantidad de datos que puedes permitirte perder, medida en tiempo. Un RPO de 24 horas significa que en el peor caso perderías el trabajo del último día.
Ejemplos reales para pymes españolas
Una gestoría con backups diarios tiene un RPO de 24 horas: si el servidor cae el miércoles a las 17:00, podría perder todo el trabajo del día. Si esa gestoría procesa 40 declaraciones diarias, ese dato tiene un coste económico y reputacional concreto. Un taller mecánico con albaranes manuales puede tolerar ese RPO; una empresa de logística con pedidos en tiempo real, no.
Para el RTO, la diferencia entre backup local y backup en la nube es significativa. Restaurar un servidor desde un disco externo puede llevar entre 6 y 24 horas dependiendo del volumen de datos. Con un sistema de backup en la nube bien configurado —especialmente con snapshots de máquina virtual— la restauración puede completarse en 1-2 horas, e incluso es posible arrancar el servidor directamente desde la nube mientras se restaura el sistema local en paralelo.
Define tu RTO y RPO antes de contratar ninguna solución. Sin esos números, es imposible saber si el backup que tienes (o que te ofrecen) es adecuado. La mayoría de pymes asume que sus tolerancias son mayores de lo que realmente son, hasta que sufren una incidencia real.
Backup en la nube vs backup local: tabla comparativa
No existe una solución perfecta para todos los casos; la estrategia óptima combina ambos enfoques (recuerda la regla 3-2-1). Pero para entender las diferencias, esta comparativa resume los factores clave:
La conclusión práctica es clara: el backup local gana en velocidad de restauración para datos grandes, pero pierde en casi todo lo demás. La estrategia recomendada es combinar ambos: backup local para restauraciones rápidas del día a día, y backup en la nube para protección ante desastres, ransomware o incidentes físicos (incendio, inundación, robo).
Backup inmutable: la defensa definitiva contra el ransomware
Ya hemos mencionado los backups inmutables, pero merece la pena profundizar porque es la evolución más importante en protección de datos de los últimos años. La inmutabilidad —también conocida como WORM (Write Once, Read Many)— significa que una vez que los datos se escriben en el repositorio de backup, no pueden ser modificados ni eliminados por nadie durante un periodo definido: ni el ransomware, ni un empleado malintencionado, ni un error del administrador, ni siquiera el propio proveedor.
¿Por qué el ransomware no puede cifrar un backup inmutable?
El ransomware cifra los archivos a los que tiene acceso. Si las credenciales de tu cuenta de backup quedan comprometidas, el malware puede intentar acceder al repositorio y cifrar o borrar las copias de seguridad, dejándote sin ninguna vía de recuperación. Con un backup inmutable, esa acción es imposible: el sistema de almacenamiento bloquea cualquier operación de escritura o borrado sobre los objetos que están en periodo de retención bloqueado, independientemente de quién lo solicite.
Soluciones concretas disponibles hoy
- Veeam Backup + S3 Object Lock: Veeam permite configurar repositorios de backup con S3 Object Lock en modo Compliance, lo que significa que ni el propio proveedor del almacenamiento puede borrar los datos antes de que expire el periodo de retención. Compatible con AWS S3, Wasabi y otros proveedores compatibles con S3.
- Backblaze B2 con Object Lock: alternativa más económica a AWS para almacenamiento inmutable compatible con S3. Especialmente adecuada para pymes con presupuesto ajustado que aun así necesitan inmutabilidad real.
- Acronis Cyber Protect Cloud: solución que integramos en Macro Media, que incluye almacenamiento inmutable en su plataforma propia junto con detección de ransomware en tiempo real mediante inteligencia artificial. La combinación de ambas capas ofrece la protección más completa disponible actualmente para pymes.
No todos los "backups en la nube" son inmutables. Muchos servicios guardan los datos en la nube pero sin protección WORM: si alguien accede a tu cuenta, puede borrar todas las copias. Verifica explícitamente con tu proveedor si ofrece inmutabilidad y bajo qué condiciones. Si no saben de qué les hablas, es el momento de cambiar de proveedor.
Cómo probar que tu backup realmente funciona
Este es el punto que más empresas ignoran. Se configuran los backups, se verifica que los trabajos se completan sin errores y nunca más se vuelve a tocar. El problema es que un backup sin verificación de restauración no es un backup: es una esperanza.
Los fallos más comunes que solo se descubren al intentar restaurar son: archivos corruptos en el repositorio, snapshots de máquinas virtuales inconsistentes porque la VM estaba activa durante el backup, bases de datos en estado incorrecto porque el agente no tenía permisos para el vaciado en caliente, o simplemente que el software de restauración ya no está instalado en ningún equipo operativo.
Pasos para un drill de recuperación efectivo
- Selecciona un sistema o conjunto de datos representativo, idealmente el servidor más crítico del negocio.
- Realiza la restauración completa en un entorno aislado (puede ser una máquina virtual temporal), sin afectar a producción.
- Verifica que los datos son íntegros y que las aplicaciones arrancan correctamente: el ERP abre, la base de datos responde y los ficheros son legibles.
- Mide el tiempo real de restauración y compáralo con tu RTO objetivo. Si tardas 6 horas y tu RTO es de 2, tienes un problema que es mucho mejor descubrir ahora que durante una crisis real.
- Documenta el proceso: quién lo ejecutó, cuánto tardó, qué problemas aparecieron y cómo se resolvieron.
Frecuencia recomendada y qué documentar
La recomendación estándar es realizar tests de restauración de forma trimestral para sistemas críticos y semestral para el resto. Además, conviene hacer un test completo siempre que se produzca un cambio importante en la infraestructura: migración de servidor, cambio de ERP o ampliación de almacenamiento.
Lo que debe quedar documentado tras cada prueba: fecha y hora, sistema restaurado, punto de restauración utilizado (fecha del backup), tiempo total de restauración, persona responsable, incidencias detectadas y acciones correctivas tomadas. Esta documentación es también imprescindible en auditorías de seguridad y cuando la empresa aspira a certificaciones como ISO 27001.
En Macro Media incluimos tests de restauración trimestrales como parte del servicio de backup gestionado. Si preferís gestionarlo internamente, podemos diseñar el procedimiento y formaros para ejecutarlo. Lo importante es que alguien lo haga, y que quede registrado.