Respaldo 3-2-1 para una oficina pequeña: NAS, nube o servidor de archivos

La regla de respaldo 3-2-1 dice que de todo archivo importante debes tener tres copias (el original y dos respaldos), en dos tipos de medio distintos, y una de ellas fuera de tu oficina. Un NAS, la nube y un servidor de archivos no cumplen esa regla por sí solos: son lugares donde viven o se guardan los archivos, y la regla habla de cuántas copias hay y dónde están. Una oficina pequeña puede cumplirla combinando dos de los tres, y lo que más cuenta es que una copia quede fuera de la red de la oficina y que alguien pruebe restaurarla.

Esta guía explica la regla con su fuente original, compara los tres lugares sin precios y arma un ejemplo para una oficina de seis personas. Una advertencia desde el principio: una de las tres opciones, el servidor de archivos, es un servicio que vendemos. Por eso decimos al final qué incluye y qué no.

¿Qué es la regla de respaldo 3-2-1?

Una definición clara viene del documento Data Backup Options (2012), que escribieron Paul Ruggiero y Matthew Heckathorn en la Universidad Carnegie Mellon para US-CERT, y que hoy se aloja en el sitio de CISA, la agencia de ciberseguridad de Estados Unidos. Ese documento cita al fotógrafo Peter Krogh y su libro The DAM Book como origen de la regla. Dice tres cosas:

• 3 copias de cada archivo importante: una primaria y dos respaldos.
• 2 tipos de medio distintos, para protegerte de peligros distintos. Un disco que falla y una cuenta de nube bloqueada son problemas distintos.
• 1 copia fuera del lugar, por ejemplo fuera de tu casa o de tu oficina.

El mismo documento advierte dos cosas que se olvidan. Una: guardar el respaldo en el mismo disco que los archivos no sirve, porque si ese disco se daña, se roba o se corrompe, pierdes los dos. Otra: los respaldos que se actualizan solos pueden copiar en silencio la corrupción o el malware de los archivos originales a las copias.

Lo que la regla sola no cubre: el ransomware

La guía #StopRansomware de CISA recomienda mantener respaldos cifrados y fuera de línea de los datos críticos, y explica la razón: muchas variantes de ransomware buscan los respaldos accesibles para borrarlos o cifrarlos. También pide probar con regularidad que los respaldos estén disponibles y se puedan restaurar. Traducido a una oficina: una copia que queda siempre conectada al mismo computador o a la misma red que los archivos puede caer en el mismo ataque.

Veeam, un proveedor de software de respaldo, plantea en su sitio una variante, la 3-2-1-1-0, que suma una copia inmutable o aislada y cero errores al probar la restauración, y dice que la regla original ya no basta por sí sola. Es la posición de un fabricante, pero va en la misma dirección que CISA: la 3-2-1 es el mínimo, no el techo.

NAS, nube o servidor de archivos: qué es cada uno

En la práctica, un servidor de archivos de oficina es lo mismo que un NAS: un equipo en la red que guarda y comparte carpetas. La diferencia es cómo se arma, con un aparato cerrado en un caso y un servidor a medida en el otro.

Sincronizar no es respaldar

La nube sincroniza: si borras un archivo en un computador, se borra en todos. Lo que te salva es la papelera, y tiene plazo. Según Google, un elemento que lleva más de 30 días en la papelera de Drive se borra de forma permanente, y un administrador de Workspace puede recuperar lo que un usuario vació dentro de 25 días. Según Microsoft, la función «Restaurar OneDrive», que devuelve todo a un punto anterior, exige Microsoft 365 y cubre los últimos 30 días, y lo que se borra de forma permanente de la papelera de reciclaje no se puede recuperar.

Es una protección real contra el error de una tarde. No lo es contra el error que nadie nota en tres meses.

Con el NAS y el servidor de archivos pasa algo parecido. Un RAID, que repite los datos en dos o más discos, hace que la oficina siga trabajando si un disco falla. Si alguien borra una carpeta, se borra en todos los discos a la vez. El RAID protege contra una falla física y no contra un error humano ni contra un ataque.

NAS o nube para una oficina pequeña: cómo decidir

No hay una respuesta única, y las tres preguntas que ordenan la decisión no tienen que ver con el precio:

• ¿Qué tan pesados son los archivos y quién los abre? Planos, fotos o video se abren y copian a la velocidad de la red interna, no a la de tu conexión a internet. Si el equipo trabaja casi todo en la oficina con archivos grandes, un servidor local se nota.
• ¿Qué pasa si se corta internet? Con un servidor local, la oficina sigue trabajando sobre los mismos archivos. Con la nube, cada uno queda con su copia hasta que vuelve la conexión.
• ¿Quién administra? La nube se mantiene sola. Un NAS o un servidor necesita actualizarse, cambiarse los discos que fallan y revisarse. Si nadie va a hacerlo, la nube es más segura que un equipo abandonado en un rincón.

Las dos opciones no se excluyen. Un servidor local para el trabajo diario y la nube como copia fuera de la oficina es una combinación común, y cumple la regla con dos lugares.

Un ejemplo de 3-2-1 para una oficina de seis personas

Ejemplo armado para explicar, no un cliente real: una oficina contable con seis computadores y una carpeta de clientes de unos pocos cientos de gigabytes.

1. Copia 1, la primaria: las carpetas viven en un servidor de archivos o NAS en la oficina, y cada persona trabaja sobre esa copia.
2. Copia 2, otro medio: cada noche, el servidor copia a un disco externo. Ese disco no queda conectado todo el día: se conecta para la copia o se rota entre dos discos, para que un ataque no lo alcance junto con el servidor.
3. Copia 3, fuera de la oficina: una copia cifrada que sube a un servicio de almacenamiento en la nube, o un disco que una persona se lleva a su casa cada semana.
4. Prueba: una vez cada tres meses alguien restaura una carpeta cualquiera de la copia 2 y de la 3 y comprueba que abre. Una copia que nunca se restauró es una hipótesis.

Cumple la regla: tres copias, tres tipos de medio (el disco del servidor, un disco externo y un servicio remoto) y una fuera de la oficina. Lo que decide si funciona es la prueba y que una copia esté desconectada.

Qué incluye lo nuestro y qué no

El servidor de archivos que instalamos es un servidor con Linux, Samba y Webmin, con usuarios, carpetas y permisos por área, al que los computadores Windows entran como a una unidad de red. La implementación base no incluye RAID, acceso remoto por VPN ni respaldos automáticos: se agregan como complementos según el proyecto, y se cotizan tras una evaluación sin costo. Dicho de otro modo, un servidor de archivos nuestro, sin ese complemento, no cumple la regla 3-2-1 más que cualquier otro.

En nuestro propio hosting pasa algo equivalente, y ya lo dijimos en la guía de hosting administrado: el panel del servidor hace cada noche una copia de cada cuenta, la guarda en el mismo servidor y conserva la última. Sirve para recuperar un archivo o un sitio que se rompió ayer, y no cubre la pérdida total del servidor. Si tu proyecto necesita esa cobertura, pídela por escrito antes de contratar, a nosotros o a cualquier proveedor. Lo que se explica de los planes web está en la página de hosting y correo.

Preguntas frecuentes

¿Cuáles son los 3 tipos de backup?

Se llama así a tres formas de copiar. La completa copia todo cada vez. La incremental copia solo lo que cambió desde la última copia, sea cual sea. La diferencial copia lo que cambió desde la última completa. No tienen relación con el 3-2-1: esos tres son el cómo se copia, y la regla es cuántas copias hay y dónde.

¿Un disco externo basta?

Cumple el «otro medio». Si queda siempre conectado, puede caer en el mismo ataque que el servidor, y si vive en la oficina no es una copia fuera de ella. Sirve si se desconecta y si sale del local con cierta frecuencia.

¿Cada cuánto hay que respaldar?

Sale de una pregunta: cuánto trabajo puedes perder. Si perder un día entero no es aceptable, la copia es diaria. Si una semana es soportable, puede ser semanal.

¿Puedo respaldar en el mismo NAS?

Una copia en el mismo equipo te salva de un archivo borrado, no de que el equipo se pierda, se robe o se cifre. Cuenta como una copia, no como un respaldo separado.

¿Dónde guardo la copia fuera de la oficina?

En un servicio de almacenamiento en la nube, con la copia cifrada antes de subirla, o en un disco que alguien guarde en otro lugar. Elige uno al que no puedas entrar con las mismas claves del servidor.