Regla 3-2-1-1-0: El Estándar de Backup Moderno
Respuesta directa
La regla 3-2-1-1-0 es la evolución corporativa de la clásica 3-2-1: tres copias, en dos medios diferentes, una offsite, una inmutable y cero errores de restore. Adoptada tras la ola de ransomware 2020-2024 que demostró que los backups online también pueden cifrarse.
Por qué la 3-2-1 clásica ya no basta
La regla 3-2-1 surgió en los 2000 cuando la mayor amenaza era falla de hardware. Hoy el atacante moderno pasa horas o días dentro de la red antes de cifrar — tiempo suficiente para identificar y destruir backups online. Casos como Colonial Pipeline (2021), Kaseya (2021), Change Healthcare (2024) demostraron que los backups conectados al Active Directory caen junto con producción. Las dos adiciones del 3-2-1-1-0 cierran ese hueco: la inmutabilidad impide manipulación aun por administrador comprometido, y la prueba de restore garantiza que la copia funciona cuando se necesita.
Errores más comunes al implementar
- 1.Mantener el backup en el mismo dominio Active Directory. Cuenta comprometida borra el backup junto. Use credencial dedicada y aislada para el servidor de backup.
- 2.Creer que snapshot es backup. El snapshot depende del storage original. Si falla o es cifrado, los snapshots caen junto.
- 3.Nunca probar restore. Backup que nunca se restauró es esperanza, no solución. La prueba regular es parte de la estrategia.
- 4.Confiar en backup mutable contra ransomware. Veeam, Commvault y similares son objetivos prioritarios. La inmutabilidad es obligatoria contra ransomware moderno.
Cómo implementar 3-2-1-1-0 en 5 pasos
Flujo aplicable a cualquier tamaño — adaptable a on-premise, híbrido o 100% nube.
- 1
Mapee primero los activos críticos
Identifique qué sistemas deben volver en 4h, 24h y 72h. Aplicaciones OLTP (ERP, CRM, historia clínica) tienen RTO crítico. Logs y archivos muertos toleran 72h. Sin esa priorización, el backup se vuelve un fin en sí mismo.
- 2
Garantice 3 copias en 2 medios
Copia 1: producción. Copia 2: backup local en storage distinto (idealmente de otro fabricante para no caer junto en un bug de firmware). Copia 3: backup secundario con cadencia mayor.
- 3
Añada la copia offsite
AWS S3, Azure Blob, Wasabi o data center secundario. Idealmente en región geográfica distinta para sobrevivir a desastre físico.
- 4
Haga una copia inmutable
Object Lock (S3, MinIO, Wasabi) en modo Compliance, Veeam Hardened Repository con chattr +i o cinta LTO en WORM. El ransomware moderno borra el backup mutable antes de cifrar producción.
- 5
Pruebe restore mensualmente
La mayoría descubre que el backup no restaura en el peor momento. Restore parcial en ambiente aislado cada mes, restore completo trimestral. Documente el tiempo real — no el teórico.
Preguntas frecuentes
¿La regla 3-2-1-1-0 reemplaza por completo a la 3-2-1?
Para entornos corporativos con exposición a ransomware, sí. La 3-2-1 clásica sigue válida para uso personal, pero para cualquier empresa con Active Directory, ESXi o servidores expuestos a internet, la 3-2-1-1-0 es el mínimo defensivo.
¿Cuál es el costo medio de implementar?
Varía mucho. Para PYME con 10 TB de datos útiles: ~US$ 10-30/mes en Object Lock S3 + costo del software de backup. Para empresa media con 100 TB: ~US$ 100-400/mes. Bajo comparado con el impacto de un ataque sin backup inmutable.
¿Puedo usar solo backup en la nube (sin copia local)?
Técnicamente sí, pero el RTO sufre. Restaurar 50 TB de S3 toma días según el ancho de banda. Copia local rápida + offsite inmutable es el equilibrio típico.
¿Dónde entra Veeam Hardened Repository?
Es la forma más común de implementar el '1' de inmutabilidad on-premise. Servidor Linux con chattr +i en los archivos de backup impide borrado aun por root. Configuración detallada en otro post de este blog.
¿Cómo auditar si el backup es realmente inmutable?
En S3: intente borrar vía consola — debe fallar con 'Object Lock'. En Veeam Hardened: SSH al servidor e intente rm — debe retornar 'Operation not permitted'. Pruebe trimestralmente.
¿Necesita apoyo para diseñar su estrategia 3-2-1-1-0?
Consultoría puntual e implementación para PYMEs y corporativo.