La regla 3-2-1 dice: ten 3 copias de tu información importante (el original y 2 respaldos), en 2 tipos de almacenamiento distintos, y 1 de ellas fuera de tu empresa. Hoy conviene sumarle dos cosas: que una copia esté desconectada o no se pueda borrar, porque el ransomware busca destruir los respaldos, y que pruebes de verdad que puedes restaurar. Un respaldo que nunca se ha probado es una suposición, no un respaldo.
¿Qué es la regla 3-2-1 de respaldos?
Es la forma más sencilla de no depender de una sola copia. La agencia de ciberseguridad de Estados Unidos (CISA) la recomienda en su guía de opciones de respaldo, para hogares y empresas:
- 3 copias de cada archivo importante: 1 principal y 2 respaldos.
- 2 tipos de medio distintos, para protegerte de riesgos diferentes (una falla de disco no es lo mismo que un error de un proveedor de nube).
- 1 copia fuera de tus instalaciones.
La idea es que ningún evento, ni un incendio, ni un disco dañado, ni un empleado que borra lo que no debe, ni un ataque, te deje sin todas las copias a la vez.
¿Cómo se ve la regla 3-2-1 en una PyME que usa un ERP?
Para una empresa mediana, lo más valioso suele ser la base de datos del ERP (por ejemplo, Odoo) con clientes, facturas, inventario y contabilidad, y sus archivos adjuntos (PDF, XML de facturas, fotos de productos). Así se traduce la regla:
| Copia | Dónde vive | Contra qué te protege |
|---|---|---|
| 1. Producción | El servidor donde trabaja tu equipo | Es la copia que usas; no protege de nada por sí sola |
| 2. Respaldo automático | El sistema de respaldos de tu proveedor de hospedaje | Falla del servidor, borrados accidentales recientes |
| 3. Respaldo independiente | Otra cuenta, otra región u otro proveedor, con otras credenciales | Ataque que compromete tu cuenta principal, error grave del proveedor, desastre regional |
La tercera copia es la que casi nadie tiene y la que te salva en el peor día. Lo importante no es solo que esté «en otro lado», sino que quien logre entrar a tu servidor no pueda borrarla.
¿Por qué no basta con tener un respaldo en la nube?
Porque el ransomware va directo a los respaldos. CISA advierte en su guía contra el ransomware que muchas variantes buscan los respaldos accesibles para borrarlos o cifrarlos. Por eso recomienda mantener respaldos desconectados (offline) y cifrados de los datos críticos, y probar con regularidad que estén disponibles e íntegros.
En la nube, «desconectado» se logra con copias que no se pueden modificar durante un tiempo. AWS, por ejemplo, ofrece en AWS Backup el bloqueo de bóveda (Vault Lock), que impide borrar los respaldos o cambiar su retención, y bóvedas «aisladas lógicamente» para respaldos inmutables. Ojo: CISA pide usar el almacenamiento inmutable con cuidado, porque no cumple los criterios de ciertas regulaciones; revísalo si tu sector tiene reglas propias.
Lo que te cuesta no tenerlo: descubrir, el día del ataque, que el respaldo estaba en el mismo servidor o con la misma contraseña, y que también se perdió.
¿Cuánta información puedes darte el lujo de perder?
Esa es la pregunta que define tu estrategia, y tiene dos partes:
- RPO (punto de recuperación): cuánto trabajo puedes perder. Si respaldas una vez al día, puedes perder hasta un día de facturas, pedidos y movimientos.
- RTO (tiempo de recuperación): cuánto tiempo puedes estar sin sistema antes de que el daño sea serio.
Como referencia, Odoo publica estos objetivos para su nube: si falla un servidor de forma permanente, un RPO de 24 horas (aunque aclara que en su servicio en línea debería ser casi cero) y un RTO de 6 horas; si se pierde por completo un centro de datos, 24 horas para ambos. Odoo aclara que no son garantías legalmente vinculantes.
Haz el ejercicio con tu equipo: ¿qué pasa si mañana perdemos el día de hoy? ¿Y si no podemos facturar durante seis horas? Las respuestas te dicen cada cuánto respaldar y cuánto invertir.
¿Qué respaldos incluye ya tu proveedor?
Depende de dónde tengas tu sistema. Revisa esto antes de suponer que «ya está respaldado»:
- Odoo Online: Odoo guarda 14 respaldos completos durante al menos 3 meses (diarios por 7 días, semanales por 4 semanas y mensuales por 3 meses o más), replicados en al menos tres máquinas de distintos centros de datos en Europa y Canadá, más una copia congelada inmutable. Tú puedes descargar un respaldo manual cuando quieras: esa descarga, guardada fuera, puede ser tu tercera copia.
- Odoo.sh: respalda a diario la base de producción y conserva siete diarios, cuatro semanales y tres mensuales, con base de datos y archivos adjuntos. Los entornos de prueba no se respaldan solos, y los respaldos manuales duran tres días.
- Servidor propio (por ejemplo, en AWS): los respaldos son tuyos. En el modelo de responsabilidad compartida de AWS, el cliente es responsable de administrar sus datos. AWS Backup permite planes automáticos, copias a otra región o a otra cuenta, y pruebas automáticas de restauración.
Si tu servidor está en la región de México de AWS, verifica qué funciones aplican ahí: según la documentación de AWS Backup, en México (Central) sí hay copia a otra región, copia a otra cuenta, pruebas de restauración y bóveda aislada, pero no la administración centralizada entre cuentas ni Audit Manager. Las diferencias entre hospedajes las explicamos en Odoo Online, Odoo.sh o servidor propio en AWS; si prefieres que alguien se encargue de los respaldos y las pruebas, revisa nuestro servicio de infraestructura en la nube.
¿Cada cuánto hay que probar que un respaldo sirve?
De forma regular, y con restauraciones reales, no solo revisando que el archivo exista. CISA, en su guía para pequeñas empresas, insiste en que es crítico probar restauraciones parciales y completas, y cuenta que algunas víctimas de ransomware descubrieron que restaurar tardó mucho más de lo que esperaban.
El marco de ciberseguridad del NIST, en su guía rápida para pequeñas empresas, pide priorizar respaldos regulares y sus pruebas, y verificar la integridad de los datos respaldados antes de usarlos para restaurar.
En la práctica: una vez por trimestre, restaura el respaldo más reciente en un entorno de prueba, mide cuánto tardaste y pide a alguien de contabilidad o ventas que confirme que los datos están completos. Anota el resultado. Si tardaste más que tu RTO, ya sabes qué corregir.
¿Qué debe tener un plan de continuidad mínimo?
Respaldar es la mitad; la otra mitad es saber qué hacer el día que falla todo. La guía del NIST para pequeñas empresas sugiere que un plan de recuperación incluya:
- Los pasos de recuperación por escrito.
- Qué recursos son críticos (personas, sistemas, servicios externos) y en qué orden se restauran.
- Quién es responsable de cada parte, con datos de contacto.
- Cómo y a quién se comunica: equipo, clientes, proveedores.
Si tu sistema maneja datos personales de clientes, recuerda que la Ley Federal de Protección de Datos Personales en Posesión de los Particulares pide medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración o destrucción de esos datos. Un respaldo probado es parte de cumplirlo. La seguridad en general la tratamos en ciberseguridad básica para PyMEs mexicanas.
¿Qué errores son los más comunes con los respaldos?
- Respaldar en el mismo servidor. Si el servidor se pierde, el respaldo se pierde con él.
- Respaldar solo la base de datos. En un ERP como Odoo, los adjuntos (facturas en PDF y XML, fotos) viven aparte; un respaldo sin ellos está incompleto.
- Mismas credenciales para todo. Quien entra a tu servidor entra a tus respaldos.
- Nunca probar. El primer intento de restauración no debería ser el día del problema.
- Nadie es responsable. Sin una persona con nombre que revise los respaldos, nadie se entera cuando dejan de correr.
Glosario
- Respaldo inmutable
- Copia que no se puede modificar ni borrar durante un periodo definido, ni siquiera con permisos de administrador.
- Ransomware
- Programa malicioso que cifra tus archivos y pide un rescate para devolverlos.
- RPO
- Cantidad máxima de información que puedes perder, medida en tiempo (por ejemplo, 24 horas de trabajo).
- RTO
- Tiempo máximo que puedes tardar en volver a operar después de una falla.
- Restauración
- Volver a poner en marcha un sistema a partir de un respaldo.
Preguntas frecuentes
¿Qué pasa si se cae mi servidor un viernes en la tarde?
Depende de dos cosas que se deciden antes: si tienes un respaldo reciente fuera de ese servidor y si alguien sabe restaurarlo y está disponible. Con un plan escrito y probado, una caída es una molestia; sin él, puede ser un fin de semana sin facturar.
¿Cada cuánto debo respaldar?
Tan seguido como la información que estás dispuesto a perder. Si perder un día de pedidos es inaceptable, necesitas respaldos más frecuentes que uno diario.
¿Un disco duro externo cuenta como respaldo?
Sí, como uno de los dos tipos de medio, siempre que se guarde fuera de la oficina o desconectado. Conectado todo el tiempo al servidor, el ransomware lo alcanza.
¿Si uso Odoo Online ya cumplo la regla 3-2-1?
Odoo guarda varias copias en distintos centros de datos. Para tener una copia bajo tu control, descarga respaldos periódicos desde el centro de control y guárdalos fuera de Odoo.
¿Quién debe encargarse de los respaldos?
Una persona con nombre, interna o de tu proveedor, que revise que corren, haga las pruebas de restauración y reporte el resultado a la dirección.
Fuentes: CISA (US-CERT), «Data Backup Options», Ruggiero y Heckathorn, 2012 · CISA, «#StopRansomware Guide», septiembre de 2023 · CISA, «Cyber Guidance for Small Businesses», abril de 2024 · NIST SP 1300, «CSF 2.0: Small Business Quick-Start Guide», febrero de 2024 · Odoo, «Odoo Cloud Hosting Service Level Agreement», consultado en noviembre de 2026 · Documentación de Odoo, «Odoo.sh: Branches» · AWS, «AWS Backup Features» · AWS, «AWS Backup feature availability» · AWS, «Shared Responsibility Model» · Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025, última reforma 14-11-2025)
