La regla en detalle
La regla de backup 3-2-1 reduce la dependencia de un único sistema o ubicación. Su punto débil es que no exige que ninguna copia resista el borrado o la modificación. Un atacante que comprometa la cuenta de administración de backup puede borrar tareas, reducir periodos de retención, vaciar repositorios en la nube y bloquear cuentas de recuperación con la misma facilidad que un operador legítimo.
El modelo 3-2-1-1-0 añade dos requisitos a la estrategia clásica: una copia protegida y cero errores de recuperación sin verificar. El modelo completo es:
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte de que las copias de seguridad locales y en la nube no son resistentes al ransomware por defecto. Sus principios exigen protección frente a acciones destructivas, acceso ininterrumpido del cliente, recuperación a partir de versiones anteriores, gestión sólida de claves y alertas ante cambios significativos o privilegiados.
Por qué importan el uno extra y el cero
Disponer de múltiples copias protege frente a fallos de hardware y borrados accidentales. Los dos requisitos adicionales cumplen funciones distintas:
Veeam describe el modelo 3-2-1-1-0 como una extensión de la regla clásica, incorporando una copia inmutable o con aislamiento de red (air-gapped) y cero errores de recuperación. El término define un marco de buenas prácticas del sector y no un estándar regulatorio universal.
Offline, air-gapped e inmutable no son lo mismo
Estos conceptos suelen agruparse, pero describen controles de seguridad distintos.
Copia de seguridad offline
Una copia offline está desconectada física o lógicamente cuando no se utiliza, como una cinta LTO expulsada, un disco USB desconectado o un repositorio apagado fuera de las ventanas controladas de backup. El malware no puede acceder de forma directa a un soporte no conectado. Las contrapartidas son la manipulación manual, restauraciones más lentas y el riesgo de olvidar la rotación.
Copia de seguridad air-gapped (aislada)
El aislamiento crea una separación entre la copia de seguridad protegida y el entorno de producción. Un aislamiento físico utiliza soportes o redes desconectadas. Un aislamiento lógico puede emplear credenciales separadas, sistemas de identidad independientes, rutas de red restringidas, sincronización demorada o un servicio que bloquee comandos destructivos directos. Un aislamiento lógico es tan robusto como lo sea su configuración. Un repositorio calificado de aislado puede seguir expuesto si la misma cuenta de administración controla producción y backup.
Copia de seguridad inmutable
Una copia inmutable no se puede sobrescribir ni borrar durante un periodo de retención definido. Amazon S3 Object Lock, por ejemplo, utiliza un modelo write-once, read-many (WORM) que impide borrar o sobrescribir versiones protegidas de objetos durante el tiempo fijado. Object Lock requiere activar el control de versiones de S3 y protege versiones individuales de objetos. La inmutabilidad permite que la copia permanezca online y lista para restaurar estando protegida frente al borrado común. Siguen existiendo riesgos, como una configuración errónea de retención, un consumo desmedido de espacio o una cuenta con privilegios para saltarse los controles. La inmutabilidad protege un punto de recuperación frente a cambios, pero no demuestra que ese punto esté limpio o sea utilizable.
¿Qué copia protegida conviene elegir?
Usa cinta offline cuando
Usa almacenamiento de objetos inmutable cuando
Usa un repositorio reforzado (hardened) cuando
Usa discos extraíbles rotados cuando
Los discos rotados pueden cumplir el requisito de copia protegida, pero solo si el procedimiento se ejecuta de forma rigurosa y constante.
Arquitecturas de referencia
Una arquitectura práctica para Proxmox
La documentación actual de Proxmox Backup Server recomienda programar tareas de verificación periódicas y reverificar todas las copias al menos mensualmente, ya que datos previamente válidos pueden degradarse con el tiempo. La verificación debe complementarse con pruebas de recuperación de máquinas virtuales y aplicaciones, pues la comprobación de sumas de control por sí sola no certifica que el sistema operativo arranque ni que las aplicaciones funcionen correctamente.
Una arquitectura práctica para un homelab
También debe protegerse la información crítica de recuperación: claves de cifrado, datos de recuperación del gestor de contraseñas, configuración de red y del hipervisor, registros DNS, secretos de aplicaciones y la configuración del propio software de backup.
Una arquitectura práctica para una pequeña empresa
El plan de recuperación debe asumir que los sistemas habituales de la empresa pueden no estar disponibles; por ello, no guardes la única copia de las instrucciones dentro del mismo entorno que esas instrucciones deben restaurar.
Cómo implementar el uno adicional
Selecciona los puntos críticos de recuperación
No todas las copias necesitan la misma protección. Comienza por los sistemas cuya pérdida detendría la operativa o provocaría una pérdida irreparable de datos: servicios de identidad, gestión de virtualización, bases de datos, registros de clientes, sistemas financieros, código fuente, repositorios de configuración, claves de cifrado, servidores de archivos y catálogos de backup.
Elige el mecanismo de protección
Selecciona almacenamiento offline, air-gapped o inmutable según la velocidad de recuperación necesaria, volumen de datos, tasa de cambio, periodo de retención, ancho de banda disponible, capacidades técnicas del equipo, requisitos normativos, presupuesto, seguridad física y ubicación de restauración.
Separa el control administrativo
La cuenta que administra la producción no debería poder destruir automáticamente todas las copias de seguridad. Emplea cuentas específicas para administración de backup, autenticación multifactor, permisos de borrado restringidos, cuentas o suscripciones de nube independientes, credenciales de emergencia protegidas y alertas ante operaciones destructivas.
El NCSC recomienda controles que impidan que una cuenta de cliente comprometida elimine datos de backup, así como mecanismos diferenciados para solicitudes excepcionales con carácter destructivo.
Establece un periodo de retención realista
La inmutabilidad exige planificar con antelación. Un plazo demasiado corto puede vencer antes de detectar un ataque, y uno demasiado largo dispara los costes de almacenamiento e impide borrados legítimos. Ten en cuenta el tiempo que una intrusión puede pasar inadvertida, las obligaciones legales de retención, la capacidad disponible y la tasa de cambio diaria o mensual.
Protege las claves y credenciales de recuperación
Las copias cifradas se vuelven irrecuperables si se pierden sus claves. Conserva copias protegidas de claves de cifrado, contraseñas de recuperación, códigos de acceso de cuentas en la nube, llaves de seguridad física, configuración de backup y licencias requeridas, almacenándolas de forma independiente al entorno de producción.
Monitoriza el almacenamiento protegido
Supervisa tareas de backup y verificación fallidas, modificaciones de políticas de retención, intentos anómalos de borrado, incrementos imprevistos de volumen, capacidad del repositorio, alertas desactivadas, nuevas cuentas con privilegios y retrasos en la sincronización; un sistema de backup silencioso resulta difícil de confiar.
Alcanzar el cero
El cero final exige varios niveles de prueba, desde la simple monitorización hasta un simulacro completo de recuperación ante desastres.
CISA recomienda mantener copias de seguridad cifradas offline y comprobar con regularidad su disponibilidad e integridad en un escenario de recuperación ante desastres, ya que el ransomware suele intentar borrar o cifrar los backups accesibles.
Calendario sugerido de verificación
Los sistemas críticos pueden exigir pruebas más frecuentes.
Errores comunes con la regla 3-2-1-1-0
El almacenamiento en la nube no se vuelve inmutable por el simple hecho de estar fuera. Los controles de retención deben activarse, forzarse y probarse.
Una sola cuenta comprometida no debería controlar producción, backups locales, almacenamiento en la nube y directivas de retención.
Los snapshots pueden borrarse junto con el sistema de producción a menos que se repliquen a un destino independiente y protegido.
Un disco extraíble conectado permanentemente al servidor de backup es almacenamiento online. Desconéctalo en cuanto terminen la copia y la verificación.
Los datos bloqueados no se pueden depurar antes de que expire la retención. Estima el crecimiento del almacenamiento antes de activar plazos largos.
Las sumas de control demuestran que los bloques almacenados no han variado. No demuestran que una base de datos sea coherente ni que un servicio arranque.
Un repositorio cifrado intacto es inútil si no se localiza la clave de descifrado durante la recuperación.
Una copia reciente puede contener datos corruptos, cifrados o ya comprometidos. Prueba restauraciones desde distintos puntos del historial de retención.
El plan puede quedar inaccesible durante el incidente. Guarda una copia protegida offline con los contactos, credenciales y pasos de recuperación necesarios.
Lista de evaluación de la regla 3-2-1-1-0
0 / 18Una puntuación baja suele indicar que los sistemas actuales requieren mayor separación, retención, monitorización o pruebas. No significa necesariamente que haga falta comprar otro producto de backup.
Preguntas frecuentes
Es una ampliación de la estrategia tradicional de backup 3-2-1. Recomienda tres copias de datos, dos sistemas o soportes de almacenamiento, una copia externa (offsite), una copia offline, air-gapped o inmutable, y cero errores de recuperación sin verificar.
La terminología moderna 3-2-1-1-0 se asocia especialmente a Veeam, que la define como una evolución de la regla clásica 3-2-1. Las prácticas subyacentes de copias offline, retención protegida y pruebas de restauración también están respaldadas por guías gubernamentales de ciberseguridad.
No. Una copia de seguridad externa puede seguir estando online, ser modificable y estar controlada por las mismas credenciales comprometidas. La copia protegida debe resistir activamente el borrado o la alteración.
No siempre. El almacenamiento inmutable online ofrece acceso rápido y retención protegida. Los soportes offline proporcionan un aislamiento físico más estricto. Los entornos críticos suelen combinar ambos.
Sí, siempre que la cinta se expulse, se guarde en un lugar seguro y no sea accesible desde el entorno de producción. La manipulación de las cintas, el cifrado y las pruebas de restauración siguen siendo indispensables.
Sí, puede cumplirlo cuando el proveedor y la aplicación de backup admiten Object Lock o retención inmutable equivalente forzada. El simple control de versiones no equivale a retención inmutable.
Significa que los errores de copia y recuperación se detectan, investigan y resuelven. También implica comprobar las copias importantes mediante restauraciones reales y no solo con informes de finalización de tareas.
Conviene monitorizar cada ejecución, verificar la integridad del repositorio regularmente y realizar restauraciones periódicas de archivos, sistemas y aplicaciones. La frecuencia exacta debe basarse en la criticidad y los objetivos de recuperación de cada carga de trabajo.
Sí. Una segunda máquina, una copia cifrada en la nube, un disco offline rotado y pruebas programadas de restauración ofrecen una implementación práctica sin necesidad de software empresarial.
No puede evitar que se produzca un ataque. Lo que hace es maximizar las probabilidades de conservar una vía de recuperación utilizable una vez que los sistemas de producción o las copias online convencionales se han visto comprometidos.
Planifica las copias de seguridad pensando en la recuperación
La pieza fundamental de la regla 3-2-1-1-0 es el cero final. La copia protegida impide que un atacante destruya con facilidad todos los puntos de recuperación. La verificación demuestra que esa copia protegida contiene datos que realmente puedes utilizar.
Un panel de control repleto de tareas correctas puede generar una falsa sensación de seguridad. La confianza real en la recuperación proviene de copias independientes, accesos destructivos restringidos, credenciales protegidas y restauraciones reiteradas. Empieza protegiendo una carga de trabajo crítica: crea un backup local independiente, traslada otra copia fuera de la sede, protege un punto de recuperación frente a borrados y completa una restauración real. Luego repite el proceso con el siguiente sistema.