Copias de seguridad inmutables: por qué 3-2-1 ya no basta

Su copia de seguridad existe, pero ¿sobrevive a un atacante con derechos de administrador de dominio? Esa es la pregunta con la que se mide la protección de datos moderna. Porque los grupos de ransomware hace tiempo que ya no cifran solo los sistemas productivos: buscan primero las copias de seguridad, las borran o las cifran, y después negocian con una empresa que ya no tiene ninguna opción de recuperación.

Las cifras al respecto son inequívocas. Según el Veeam Ransomware Trends Report 2025, en el 89 % de las empresas afectadas los atacantes atacaron de forma dirigida los repositorios de copia de seguridad. Al mismo tiempo, solo el 32 % de los encuestados utilizaba repositorios inmutables (immutable). La brecha entre estas dos cifras es el verdadero riesgo.

Qué ocurre cuando la copia de seguridad cae

El mismo informe traza un cuadro sobrio de la recuperación: el 69 % de las organizaciones encuestadas fueron atacadas en el año anterior. De las afectadas, solo el 10 % pudo recuperar más del 90 % de sus datos; el 57 % recuperó menos de la mitad.

El informe de Sophos «State of Ransomware 2025» añade la consecuencia incómoda: el 49 % de las empresas cuyos datos fueron cifrados pagó el rescate, y la recuperación a partir de copias de seguridad se situó en su nivel más bajo en seis años. Quien paga rara vez lo hace por convicción, sino porque en el momento decisivo la copia de seguridad ya no estaba ahí o no funcionaba.

De 3-2-1 a 3-2-1-1-0

La clásica regla 3-2-1 —tres copias, dos tipos de medios, una copia fuera de casa— proviene de una época en la que el escenario de amenaza se llamaba fallo de hardware o incendio. Frente a un atacante que está en la red con derechos de administrador robados, ayuda solo de forma limitada: alcanza las tres copias si están en línea y son administrables con los mismos derechos.

Por eso, Veeam formula la regla ampliada 3-2-1-1-0:

3 copias de los datos,
en 2 medios diferentes,
1 copia fuera de casa (offsite),
1 copia inmutable o separada mediante air gap,
0 errores tras la comprobación automatizada de la recuperación.

Las dos últimas cifras marcan la diferencia. El «1» adicional significa: al menos una copia no puede borrarse ni modificarse ni siquiera con plenos derechos de administrador. El «0» significa: usted no confía en que la copia de seguridad funcione, sino que lo comprueba de forma automatizada.

Inmutabilidad en la práctica: dos vías consolidadas

Para la implementación con Veeam Backup & Replication existen dos mecanismos establecidos:

Hardened Repository

Un servidor Linux como repositorio endurecido, en el que Veeam deposita los archivos de copia de seguridad protegidos contra escritura durante un período definido mediante el atributo de inmutabilidad del sistema de archivos —recomendado sobre XFS, que además permite copias completas sintéticas rápidas—. Ni siquiera una cuenta de Veeam o de administrador de dominio comprometida puede borrar las copias dentro del plazo de protección. Es importante el endurecimiento limpio del propio sistema: el repositorio no debe ser miembro del dominio cuyo compromiso se pretende que sobreviva.

S3 Object Lock

De forma alternativa o complementaria: almacenamiento de objetos con S3 Object Lock, on-premises o en la nube. Veeam escribe entonces las copias con un bloqueo de retención que ni siquiera el administrador del proveedor de almacenamiento puede levantar antes de tiempo. Un escollo práctico: en la mayoría de los proveedores, Object Lock debe activarse ya al crear el bucket; AWS permite añadirlo a buckets existentes solo desde finales de 2023.

Ambas vías coinciden con lo que el BSI recomienda en su catálogo de medidas contra el ransomware: mantener al menos una copia de seguridad offline, comprobar periódicamente que una cuenta de administrador desde la red no puede acceder a esa copia, y practicar realmente las recuperaciones.

El «0»: pruebas de restauración como rutina, no como acontecimiento

Una copia de seguridad que nunca se ha restaurado es una promesa sin prueba. El cero de 3-2-1-1-0 exige la comprobación automatizada de la recuperación: las copias se inician o montan periódicamente a modo de prueba y se comprueba su consistencia, no una vez al año de forma manual, sino como parte fija de la operación de copia de seguridad.

Esto está entretanto también anclado en la regulación. La Directiva NIS-2 cuenta en el art. 21, apdo. 2, letra c, la gestión de copias de seguridad, la continuidad del negocio y la gestión de crisis expresamente entre las medidas mínimas. Para las empresas financieras, DORA exige en el art. 12 políticas de copia de seguridad documentadas y pruebas periódicas de recuperación, expresamente en sistemas separados del sistema productivo. Quien monta las pruebas de restauración de forma limpia resuelve la técnica y la prueba de cumplimiento en un solo paso.

El plan de emergencia compacto: ¿quién llama a quién cuando el correo ya no está?

La mejor copia de seguridad sirve de poco si, en el momento crítico, nadie sabe qué hacer. Un incidente de ransomware afecta típicamente también a las vías de comunicación: el correo electrónico, la centralita telefónica y el repositorio de documentos pueden caer al mismo tiempo. Por eso, un plan de emergencia útil para la mediana empresa no tiene por qué ser un manual de cien páginas, pero debe estar disponible offline y responder al menos a:

¿Quién decide? Comité de crisis con nombres y suplentes, incluida la decisión sobre el apagado de sistemas.
¿Quién llama a quién, y por qué medio? Lista de contactos en papel o en un dispositivo independiente: dirección, TI, proveedor de servicios, asegurador y, en su caso, organismos de notificación.
¿Qué se restaura primero? Lista priorizada de los procesos de negocio y de los sistemas que hay detrás.
¿Dónde están las credenciales para la emergencia? Separadas del servicio de directorio susceptible de compromiso.

Quien quiera construir esto de forma metódicamente fundada encontrará con el estándar BSI 200-4 un marco para la gestión de la continuidad del negocio expresamente escalable también para organizaciones más pequeñas; sustituye al más antiguo estándar 100-4 y es compatible con la ISO 22301:2019, el estándar certificable de BCMS. Para la mayoría de las medianas empresas, el orden pragmático es: primero la copia inmutable y la restauración practicada, después la construcción estructurada de BCM sobre ella.

Cómo ayuda sector7

Concebimos y operamos entornos de copia de seguridad con una práctica Veeam consolidada —desde el Hardened Repository, pasando por los destinos de almacenamiento con Object Lock, hasta la comprobación automatizada de la recuperación—, supervisados por nuestro NOC las veinticuatro horas. Como casa de gestión propia con una práctica de ingeniería certificada por fabricante (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), unimos esto con la planificación de emergencia y el asesoramiento en cumplimiento sobre ISO 27001, NIS-2 y DORA. La operación y el mantenimiento los recibe con una tarifa plana mensual previsible.