Copias de Seguridad que Sobreviven al Ransomware: La Regla 3-2-1 en la Práctica

Por qué pagar el rescate no es la solución

Solo el 65% de las empresas que pagan el rescate recuperan todos sus datos. Pagar convierte a la empresa en un objetivo conocido: los atacantes comparten listas de buenos pagadores.

La única estrategia consistente: respaldos que el ransomware no puede alcanzar.

El problema con ya tenemos respaldos

Los errores más frecuentes en PYMEs:

Respaldo en el mismo servidor: el ransomware cifra todo lo accesible desde el sistema comprometido. Si el respaldo está montado en red, también será cifrado.

Respaldo nunca probado: un respaldo sin probar es una promesa, no una garantía.

Una sola copia: si el único respaldo es comprometido, no hay plan B.

La regla 3-2-1 explicada

3 copias de los datos: el original más dos respaldos.

2 medios distintos: disco externo y nube. Si uno falla, el otro sobrevive.

1 copia fuera del sitio: si el ransomware cifra todo en la red local, esa copia remota es lo único que queda.

3-2-1-1: la variante para el ransomware moderno

Algunos atacantes esperan semanas antes de cifrar, asegurándose de que los respaldos también contengan archivos infectados.

Solución: una copia inmutable (WORM). Un respaldo que no puede ser modificado ni eliminado por ningún proceso, usuario o sistema durante un período definido.

RTO y RPO: las preguntas clave

RTO: cuántas horas puede operar tu empresa sin los sistemas críticos.

RPO: cuántos datos puedes perder medido en tiempo. Esto define la frecuencia necesaria de los respaldos.

La prueba de restauración: el paso que nadie hace

Recomendamos: prueba trimestral completa, en ambiente separado, midiendo el tiempo real de restauración vs el RTO objetivo. Documentar el proceso paso a paso.

Primero decide qué respaldar y con qué frecuencia

No todo vale lo mismo, y respaldar todo con la misma frecuencia es caro e innecesario. Haz una lista corta y asigna a cada sistema sus dos números (el RTO y el RPO que definimos arriba):

Sistema o dato	Por qué importa	RPO típico a decidir	Frecuencia de respaldo
Base de datos de facturación o ventas	Sin ella no se factura	Minutos u horas	Continua o varias veces al día
Servidor de archivos compartidos	Es el trabajo diario de todos	Un día de trabajo	Diaria, con versiones
Correo y colaboración en la nube	Conversaciones y acuerdos con clientes	Un día	Diaria, con una copia fuera del proveedor
Equipos de usuarios	Generalmente se pueden reinstalar	Semanas	Solo lo que no esté ya en el servidor
Configuración de servidores y red	Se necesita para reconstruir rápido	Cada cambio importante	Tras cada cambio

El RPO que escribas es un compromiso con el negocio: si dices «un día» y pierdes tres, no cumpliste.

Sincronizar no es respaldar

Un error muy común es creer que una carpeta sincronizada en la nube es una copia de seguridad. La sincronización replica el estado actual, incluidos los archivos borrados o cifrados. Si el ransomware cifra los archivos de un equipo, el servicio de sincronización sube la versión cifrada y reemplaza la buena. Algunos servicios guardan versiones anteriores durante un tiempo limitado, lo cual ayuda, pero no es lo mismo que una copia independiente con retención que tú controlas.

Protege el propio respaldo

Los atacantes saben que el respaldo es lo que les impide cobrar, así que lo buscan antes de cifrar. Las medidas que más importan:

• Credenciales separadas. La cuenta que administra el respaldo no debe ser la misma que administra el resto de los sistemas, ni estar unida al mismo dominio. Si el atacante consigue las credenciales de administrador general, no debería tener también las del respaldo.
• Autenticación multifactor en la consola de respaldo.
• Una copia que no se pueda borrar. El almacenamiento inmutable, que impide modificar o eliminar durante un periodo definido, es la defensa contra el atacante que ya tiene acceso administrativo.
• Una copia desconectada. Un medio que no esté conectado de forma permanente a la red no puede ser cifrado desde ella.
• Alertas ante borrados o cambios de retención. Si alguien reduce la retención o elimina un trabajo de respaldo, tienes que enterarte ese día.

Esto no es teórico. En enero de 2021, un ataque de ransomware contra el Ministerio de Desarrollo Social de Panamá dejó fuera de servicio varios servidores e inhabilitó los sistemas de respaldo, lo que complicó la recuperación, según reportó WeLiveSecurity. Un respaldo que el atacante puede alcanzar no cumple su función.

Qué debe incluir una prueba de restauración

Probar no es verificar que el trabajo de respaldo terminó en verde; es recuperar de verdad. Una prueba útil responde estas preguntas por escrito:

1. ¿Se restauró en un entorno separado, sin tocar producción?
2. ¿Cuánto tardó en total, desde la decisión de restaurar hasta que el sistema volvió a funcionar? Compáralo con tu RTO.
3. ¿Los datos recuperados estaban completos y se podían usar? Que alguien del área los abra y los valide.
4. ¿Quién ejecutó los pasos? Si solo una persona sabe hacerlo, es un riesgo, porque podría no estar disponible.
5. ¿Qué falló o fue más lento de lo esperado? Corrige y vuelve a probar.

Una lista corta para esta semana

• Identifica tus cinco sistemas más críticos y asígnales RTO y RPO.
• Confirma que existe al menos una copia fuera de la red y fuera del alcance de la cuenta administradora.
• Haz una restauración de prueba de uno de ellos y cronométrala.
• Revisa quién puede borrar o modificar los respaldos.

Para continuar

El respaldo es una pieza del plan de continuidad del negocio; si dudas en qué se diferencia de la recuperación ante desastres, está explicado en Disaster Recovery vs. Plan de Continuidad. Para entender por qué el ransomware apunta a las pymes, lee el aumento de ransomware en PYMEs de Centroamérica, y si ocurre, nuestro servicio de respuesta a incidentes te acompaña en la contención y la recuperación.