Respaldos 3-2-1 para PyMEs: guía contra ransomware

La regla de respaldos 3-2-1 consiste en tener tres copias de tus datos, en dos tipos de almacenamiento distintos, con una copia fuera de tu oficina o servidor principal. Para que sirva contra el ransomware, al menos una de esas copias debe ser fuera de línea o inmutable (que nadie pueda borrarla ni modificarla), y hay que probar la restauración con regularidad: un respaldo que nunca se ha restaurado es solo una suposición.

Para una PyME en México, perder datos no es solo un problema técnico. Es no poder facturar, no saber qué te deben tus clientes, rehacer meses de contabilidad o no poder comprobar ante el SAT operaciones de años anteriores. En esta guía explicamos la regla en lenguaje claro, qué respaldar, cómo defenderte del ransomware y cómo decidir cuánta información puedes darte el lujo de perder.

¿Qué es la regla 3-2-1 de respaldos?

Definición rápida: la regla 3-2-1 es una práctica de respaldo que pide 3 copias de los datos (la original más dos respaldos), en 2 medios o servicios de almacenamiento distintos, con 1 copia en otra ubicación física o en la nube.

Cada número cubre un riesgo diferente:

Parte de la regla	Qué te protege	Ejemplo en una PyME
3 copias	Que falle una copia y no tengas otra	Base de datos en producción + respaldo local + respaldo en la nube
2 medios distintos	Que un mismo problema dañe todas las copias (una falla del proveedor, un error de configuración)	Disco del servidor y almacenamiento de objetos en la nube
1 fuera del sitio	Robo, incendio, inundación o la pérdida total del servidor u oficina	Copia en otra región de la nube o en otro proveedor

En la industria se usan variantes más estrictas, como 3-2-1-1-0: el “1” extra es una copia fuera de línea o inmutable y el “0” significa cero errores en las pruebas de restauración. No es una norma oficial, pero resume bien lo que hace falta hoy.

¿Por qué el ransomware cambió las reglas de los respaldos?

Antes, el riesgo principal era que un disco fallara. Hoy, el riesgo más serio es que alguien entre a tu red, cifre tu información y pida un rescate. Y los atacantes lo saben: antes de cifrar, buscan los respaldos conectados a la red y los borran o los cifran también. Si tus respaldos están en una carpeta compartida o en un disco que siempre está conectado al servidor, no cuentes con ellos.

Por eso la guía #StopRansomware de CISA, la agencia de ciberseguridad de Estados Unidos, recomienda como primera medida de prevención mantener respaldos cifrados y fuera de línea de los datos críticos y probar con regularidad que estén disponibles y completos en un escenario de recuperación.

Hay dos formas prácticas de lograr una copia que el atacante no pueda tocar:

Tipo de copia	Cómo funciona	Ventajas	Cuidados
Fuera de línea (offline, air gap)	Disco o cinta que se conecta solo para respaldar y luego se desconecta y se guarda	Barato, no depende de internet	Depende de la disciplina de una persona; hay que rotar y resguardar los discos
Inmutable en la nube	Almacenamiento con bloqueo de retención: lo guardado no se puede borrar ni modificar durante X días, ni con credenciales de administrador	Automático, fuera de tu oficina, no depende de nadie	Requiere configurarlo bien; el periodo de retención tiene costo de almacenamiento

En Google Cloud, por ejemplo, el almacenamiento de objetos permite políticas de retención con Bucket Lock; en AWS, la función equivalente es S3 Object Lock. Para una PyME, una copia inmutable en la nube suele ser más confiable que depender de que alguien desconecte un disco cada viernes.

Otra medida que suele olvidarse: las credenciales de los respaldos deben ser distintas a las del resto de tus sistemas. Si la misma cuenta de administrador que usa tu equipo a diario puede borrar los respaldos, un atacante que robe esa cuenta también podrá.

¿Qué debe respaldar una PyME?

Empieza por preguntarte qué información, si desaparece mañana, detiene tu negocio o te mete en problemas legales o fiscales.

Bases de datos de tus sistemas

El ERP, el sistema de inventario, el punto de venta, el CRM y la tienda en línea viven en bases de datos. Son lo más crítico y lo que más cambia, así que requieren respaldos frecuentes.

• Respaldo completo diario como mínimo.
• Recuperación a un punto en el tiempo cuando el sistema registra muchas operaciones al día. Los servicios administrados como Cloud SQL lo ofrecen: además del respaldo diario, guardan los cambios continuamente para poder restaurar a un minuto específico.
• Respaldo de los archivos adjuntos del sistema (PDF, imágenes, documentos), que normalmente no viven dentro de la base de datos.

XML y documentación fiscal

Los CFDI que emites y recibes son el soporte de tu contabilidad. El artículo 30 del Código Fiscal de la Federación establece, como regla general, que la contabilidad y la documentación relacionada se conservan cinco años contados desde la fecha en que se presentaron o debieron haberse presentado las declaraciones con ellas relacionadas, con excepciones (por ejemplo, actos cuyos efectos fiscales se prolongan en el tiempo) que alargan el plazo. Confirma con tu contador qué aplica en tu caso.

Recomendaciones:

• No uses el portal del SAT como tu respaldo. Descarga tus XML emitidos y recibidos de forma periódica y guárdalos en tu propio almacenamiento, con la regla 3-2-1.
• Guarda el XML, no solo el PDF. El PDF es una representación impresa; el XML es el comprobante.
• Automatiza la descarga. Hacerlo a mano cada mes es el tipo de tarea que se olvida. Explicamos cómo en automatizar la descarga masiva de XML del SAT.
• Respalda también declaraciones, acuses, constancias, papeles de trabajo y la contabilidad electrónica.

Correo y documentos de oficina

Google Workspace y Microsoft 365 son servicios muy confiables, pero su papelera e historial de versiones tienen límites de tiempo y no están pensados como respaldo de largo plazo. Si un usuario borra un buzón, una cuenta se elimina al salir un empleado o un ransomware cifra archivos sincronizados, puedes perder información. Revisa la retención que ofrece tu plan y considera un respaldo independiente para buzones y unidades compartidas críticas.

Código, configuración e infraestructura

Si tienes software propio o a la medida, respalda también:

• El código fuente, en un repositorio Git a nombre de tu empresa, con copia en un segundo lugar.
• La configuración: variables de entorno, archivos de configuración del servidor, certificados, reglas de DNS.
• Las credenciales críticas, en un gestor de contraseñas empresarial.
• La documentación de cómo reconstruir todo. Restaurar una base de datos sirve de poco si nadie sabe cómo levantar el servidor donde debe correr.

Sitios web

Tu sitio o tienda también necesita base de datos y archivos respaldados fuera del hosting. En WordPress esto es especialmente importante; lo cubrimos en seguridad de WordPress para empresas.

RPO y RTO explicados sin tecnicismos

Antes de decidir cada cuánto respaldar, contesta dos preguntas por cada sistema:

Definición rápida: el RPO (Recovery Point Objective) es cuánta información puedes perder, medida en tiempo. El RTO (Recovery Time Objective) es cuánto tiempo puede estar detenido el sistema mientras lo recuperas.

Un ejemplo hipotético: si el sistema de facturación se respalda una vez al día a medianoche y el servidor falla a las 6 de la tarde, pierdes las facturas registradas en esas 18 horas (eso es tu RPO real). Si restaurar el servidor y la base toma 8 horas, tu equipo no factura durante ese tiempo (eso es tu RTO real). La pregunta es si tu negocio puede soportar eso.

Una forma práctica de asignar objetivos:

Sistema (ejemplo)	¿Cuánta información puedo perder? (RPO)	¿Cuánto tiempo puedo estar sin él? (RTO)	Implicación
ERP / facturación / punto de venta	Minutos	Pocas horas	Recuperación a un punto en el tiempo y procedimiento de restauración ensayado
Tienda en línea	Minutos a una hora	Pocas horas	Respaldo frecuente de la base y plan para volver a publicar rápido
XML del SAT	Un día	Días	Descarga diaria o semanal automatizada y copia inmutable
Documentos de oficina	Un día	Un día	Historial de versiones y respaldo diario independiente
Sitio institucional	Una semana	Un día	Respaldo semanal y después de cada cambio

Los valores de la tabla son ilustrativos: los tuyos dependen de tu operación. Lo importante es decidirlos con el dueño del proceso, no solo con el área técnica, porque un RPO o RTO más bajo cuesta más.

Probar la restauración: el paso que casi nadie hace

Un trabajo de respaldo que termina “con éxito” solo significa que se copió algo. No significa que ese algo esté completo, que no esté corrupto o que sepas restaurarlo bajo presión.

Cómo probar sin complicarte:

1. Programa una prueba trimestral como mínimo, y una adicional después de cualquier cambio importante en tus sistemas.
2. Restaura en un ambiente aparte, nunca encima de producción.
3. Verifica con datos reales: que la última factura registrada esté ahí, que los saldos cuadren, que los usuarios puedan entrar y que los adjuntos abran.
4. Mide el tiempo que tomó todo el proceso y compáralo con tu RTO. Si tu objetivo era 4 horas y tardaste un día, ya sabes qué mejorar.
5. Documenta los pasos para que otra persona pueda repetirlos. El día del incidente quizá no esté disponible quien siempre lo hace.
6. Prueba también la copia inmutable o fuera de línea, no solo la más cómoda.

Si nunca has probado restaurar, esa es tu tarea de esta semana.

Un plan de respaldos realista para una PyME

Un ejemplo hipotético de cómo se ve la regla 3-2-1 aplicada a una empresa con un ERP en la nube, facturación electrónica y Microsoft 365 o Google Workspace:

Copia	Qué contiene	Dónde	Frecuencia	Retención
1. Producción	Datos vivos del ERP, archivos y correo	Servidor o servicio en la nube	—	—
2. Respaldo automático	Base de datos con recuperación a un punto en el tiempo, archivos del sistema	Mismo proveedor de nube, otra región	Continuo y diario	30 días
3. Copia inmutable	Respaldo completo de la base, XML del SAT, documentos críticos, código	Almacenamiento con bloqueo de retención, cuenta separada	Diaria o semanal	90 días o más; XML según plazo fiscal

Sobre ese esquema, agrega:

• Alertas si un respaldo falla o no se ejecuta.
• Cifrado de las copias, con las llaves guardadas aparte.
• Acceso restringido: solo dos o tres personas pueden borrar respaldos, con autenticación de dos pasos.
• Una prueba de restauración trimestral, con fecha en el calendario.

Errores comunes con los respaldos

• “Lo tenemos en la nube, ya está respaldado.” Que tus datos vivan en la nube no significa que tengas respaldos. Un borrado accidental o un ransomware afectan igual a los datos en la nube.
• Respaldar en el mismo servidor. Si el servidor se pierde o lo cifran, se lleva el respaldo.
• Un disco externo siempre conectado. Para el ransomware es una unidad más.
• Solo guardar la última copia. Si el problema empezó hace dos semanas, necesitas copias de hace tres.
• Nadie revisa las alertas. Muchos respaldos dejan de funcionar meses antes de que alguien lo note.
• Las mismas credenciales para todo. Quien entra a tu servidor no debería poder borrar tus respaldos.
• Sistemas viejos sin parches. Un servidor con software sin soporte es una puerta de entrada; casos como PHP2Shell muestran por qué hay que actualizar PHP y el resto del software a tiempo.

Checklist de respaldos para esta semana

• Hacer la lista de sistemas y datos críticos: ERP, facturación, XML del SAT, correo, documentos, código y sitio web.
• Definir RPO y RTO de cada uno con el responsable del proceso.
• Verificar que cada sistema tenga tres copias, en dos medios, con una fuera del sitio.
• Configurar al menos una copia inmutable o fuera de línea.
• Separar las credenciales de los respaldos y activar 2FA.
• Automatizar la descarga y el resguardo de los XML del SAT.
• Hacer una prueba de restauración y medir cuánto tarda.
• Documentar el procedimiento y agendar la siguiente prueba.

Cómo te ayuda Tecsolt

En Tecsolt desarrollamos y operamos software desde junio de 2017, con un equipo 100% remoto con base en León, Guanajuato. Nuestra infraestructura principal es Google Cloud. Podemos ayudarte a:

• Diagnosticar qué tienes hoy: qué se respalda, dónde, con qué frecuencia y si se puede restaurar.
• Diseñar e implementar un esquema 3-2-1 con copias inmutables, alertas y pruebas de restauración en nube e infraestructura.
• Integrar respaldos en tus sistemas y ERP a la medida con desarrollo de software, con el código y los accesos a nombre de tu empresa.

Para tus comprobantes fiscales, Masiva CFDIs descarga de forma programada los CFDI emitidos y recibidos de uno o varios RFC, para que tu respaldo de XML no dependa de que alguien se acuerde. Si quieres revisar tu caso, agenda una reunión.

Preguntas frecuentes

¿Qué es la regla de respaldos 3-2-1?

Es una práctica de respaldo que pide tener al menos tres copias de tus datos (la original y dos respaldos), en dos tipos de almacenamiento distintos, con una de ellas fuera de tu oficina o servidor principal. Su objetivo es que ninguna falla individual, como un disco dañado, un robo, un incendio o un ataque, te deje sin información.

¿Los respaldos protegen contra el ransomware?

Solo si el atacante no puede alcanzarlos. El ransomware moderno busca y cifra o borra los respaldos conectados a la red antes de pedir el rescate. Por eso se recomienda tener al menos una copia fuera de línea o inmutable, que no se pueda modificar ni borrar durante un periodo definido, y probar con regularidad que se puede restaurar.

¿Qué es un respaldo inmutable?

Es una copia que, una vez guardada, no se puede modificar ni eliminar hasta que se cumpla un periodo de retención, ni siquiera con credenciales de administrador. Servicios como Google Cloud Storage (políticas de retención con Bucket Lock) y Amazon S3 (Object Lock) ofrecen esta función. Es una de las defensas más eficaces contra el ransomware.

¿Qué diferencia hay entre RPO y RTO?

El RPO es cuánta información puedes darte el lujo de perder, medida en tiempo: si respaldas cada 24 horas, podrías perder hasta un día de datos. El RTO es cuánto tiempo puede estar detenido tu sistema mientras lo restauras. El primero define la frecuencia de los respaldos; el segundo, qué tan rápido debe ser el proceso de recuperación.

¿Cuánto tiempo debo guardar los XML de mis facturas?

El artículo 30 del Código Fiscal de la Federación establece, como regla general, conservar la contabilidad y su documentación durante cinco años contados desde la fecha en que se presentaron o debieron presentarse las declaraciones relacionadas, con excepciones que pueden alargar el plazo. Los CFDI forman parte de la documentación que respalda tus operaciones, así que conviene guardarlos al menos ese tiempo. Confirma tu caso con tu contador.

¿Google Drive o OneDrive cuentan como respaldo?

No por sí solos. La sincronización copia los cambios, incluidos los borrados y los archivos cifrados por un ransomware, a todos tus dispositivos. Sirven como una de las copias si activas el historial de versiones y la papelera con retención suficiente, pero conviene tener además una copia independiente, fuera de línea o inmutable.

• #respaldos
• #ransomware
• #regla 3-2-1
• #nube
• #continuidad del negocio
• #xml sat