Copias de seguridad para pymes: la regla 3-2-1 en 20 minutos a la semana

Un pequeño negocio tiene copias de seguridad cuando guarda tres copias de todo lo que necesita para operar, en dos tipos de almacenamiento, con una copia fuera de sus instalaciones y desconectada, y cuando alguien ha restaurado un archivo de cada copia en el último mes. Esa es la regla 3-2-1 que recomienda el National Cyber Security Centre (NCSC): cuesta unas 10 £ al mes más un disco de 90 £, y la rutina cabe en 20 minutos a la semana. Esta guía explica qué copiar, dónde guardarlo y cómo comprobarlo.

Casi todos los propietarios creen estar cubiertos porque el portátil se sincroniza con la nube. La Cyber Security Breaches Survey del Gobierno, publicada en abril de 2026, reveló que el 43% de las empresas del Reino Unido detectó una brecha o un ataque el año anterior, el 46% entre las pequeñas, y que el 74% hace copias en un servicio en la nube. Aun así, cuando el ataque de ransomware a Tuckers Solicitors cifró 972,191 archivos en 2020, las copias del despacho se cifraron con ellos, y el Information Commissioner le impuso una multa de 98,000 £. Las copias de seguridad de una pyme fallan de dos maneras: la copia está en la misma red que lo que copia, o nadie ha intentado nunca restaurarla.

A continuación: qué significa 3-2-1 y quién lo acuñó, la lista de lo que una pequeña empresa necesita copiar de verdad, las tres copias y lo que cuesta cada una en octubre de 2026, los plazos de retención que ya ofrecen tus herramientas en la nube, la prueba de restauración que la mayoría omite y las tareas administrativas que un agente de IA puede ejecutar para que la revisión semanal se haga te acuerdes o no.

Cómo lo hemos evaluado

1. Primero, la guía oficial. Las reglas proceden de la guía del NCSC para organizaciones pequeñas, publicada el 9 de abril de 2026, y de su consejo "Offline backups in an online world", actualizado en julio de 2026.
2. Estadísticas del Gobierno. Las cifras de brechas y copias proceden de la Cyber Security Breaches Survey 2025/26 del Department for Science, Innovation and Technology.
3. Casos reales. Las notificaciones de sanción del ICO, no las historias de terror de los fabricantes.
4. Precios consultados el 24 de octubre de 2026 en las páginas de los propios proveedores, en libras cuando el proveedor cotiza en libras.
5. Nada que una empresa de una sola persona no pueda hacer. Cada paso funciona con un portátil, un disco externo y una cuenta de nube de consumo.

Qué significa la regla 3-2-1

Tres copias de tus datos, en dos tipos de almacenamiento distintos, con una copia fuera de tus instalaciones. El fotógrafo Peter Krogh acuñó la expresión mientras escribía la primera edición de The DAM Book a mediados de la década de 2000, y el NCSC la formula igual: al menos tres copias, en dos dispositivos, una de ellas fuera de las instalaciones. La variante "3-2-1-1-0" de Veeam añade una copia desconectada o inmutable y cero errores tras una restauración verificada. Para una pyme, la versión práctica es esta:

Sincronizar no es hacer copia de seguridad. Si un archivo se cifra o se borra en el portátil, la carpeta sincronizada copia el daño con toda fidelidad. El historial de versiones de la nube te da un margen para deshacerlo, pero es corto y se cierra.

Qué necesita copiar de verdad una pyme

Haz la lista antes de elegir las herramientas. Para la mayoría de las empresas es más corta de lo que temen:

• Contabilidad e impuestos. Facturas, recibos, extractos bancarios y el archivo de contabilidad. HMRC (la agencia tributaria británica) espera que los registros se conserven al menos cinco años después del plazo de presentación del 31 de enero, así que perder un año es un problema fiscal además de administrativo.
• Registros de clientes. La exportación del CRM, la lista de reservas, la lista de correo, los contratos firmados y los presupuestos.
• Correo electrónico. Un buzón es un registro empresarial. Google Workspace y Microsoft 365 lo guardan en sus servidores, pero una cuenta cerrada o comprometida se lo lleva consigo; expórtalo dos veces al año.
• La web y la tienda. La base de datos, las imágenes de producto, el tema y el acceso al dominio. La mayoría de los alojamientos hacen sus propias copias, pero consulta durante cuánto tiempo.
• Fotos y diseños. Los archivos del logotipo, las fotos de antes y después, los diseños de folletos.
• Contraseñas y claves. La exportación cifrada del gestor de contraseñas, los códigos de recuperación impresos y los códigos de respaldo de la verificación en dos pasos, guardados junto al disco local y no en el portátil.

Todo lo que necesitarías para reconstruir el negocio en una semana está en la lista. Todo lo que podrías volver a descargar de un proveedor, no.

Copia uno: la copia de trabajo y lo que te da de verdad la sincronización

La carpeta de sincronización en la nube ya es tu primera copia y es mejor que nada. Todos los grandes servicios conservan durante un tiempo los archivos borrados y las versiones antiguas, y conocer el plazo importa porque es la diferencia entre deshacer y perder:

El patrón: un mes es el plazo por defecto casi en todas partes. Si el ransomware cifra tus archivos un viernes y te das cuenta seis semanas después, el servicio de sincronización ya ha olvidado las versiones buenas. Para eso están las copias dos y tres.

Copia dos: el disco externo que desconectas

Compra un disco duro externo de 2 TB, que las webs de comparación de precios mostraban a unas 85 £ a 100 £ en octubre de 2026, y deja que el sistema operativo haga el trabajo. En un Mac, Time Machine es gratis: conectas el disco y guarda copias cada hora durante 24 horas, diarias durante un mes y semanales hasta que se llena el disco, y Apple recomienda un disco con al menos el doble de capacidad que el almacenamiento del Mac. En Windows, File History y las herramientas de copia integradas hacen el mismo trabajo.

Después, desconéctalo. La guía del NCSC para organizaciones pequeñas dice que el disco de copia no debe quedar conectado cuando no se usa, porque el ransomware cifra todas las unidades que ve, y el caso de Tuckers es un ejemplo de ello: el despacho no tenía autenticación multifactor, una actualización crítica se aplicó con cinco meses de retraso y los atacantes llegaron a las copias por la misma red que al resto.

Guarda el disco en un sitio distinto al lado del portátil. Un cajón del escritorio protege frente a la avería de un portátil; la guantera del coche o tu casa protegen frente a un robo en el local.

Copia tres: externa y automática

La tercera copia debería hacerse sin ti. Para una pequeña empresa funcionan dos vías:

• Un servicio de copia de seguridad. Backblaze cobra $9 al mes o $99 al año por datos ilimitados de un ordenador, con 30 días de historial de versiones por defecto y un año gratis al activarlo. Funciona en segundo plano y puedes probar una restauración desde la web en dos minutos.
• Una segunda nube con un plazo mayor. iCloud+ de 2 TB cuesta 8.99 £ al mes; Dropbox Standard conserva 180 días de versiones; Microsoft 365 para empresas agrupa el almacenamiento de OneDrive por usuario. Úsala para una copia mensual de las carpetas que importan, separada de la cuenta de sincronización diaria.

Protege la copia externa con verificación en dos pasos y una contraseña que no se repita en ningún otro sitio. El NCSC lo pone como último paso por una razón: una cuenta de copias que se abre con la misma contraseña que el correo vulnerado no está fuera de las instalaciones en ningún sentido que importe.

La realidad del ransomware para las empresas con copias y sin ellas

El informe State of Ransomware 2026 de Sophos, una encuesta a 2,158 organizaciones de entre 100 y 5,000 empleados realizada entre enero y marzo de 2026, halló que el 56% había sufrido el cifrado de sus datos en un ataque. De ellas, el 66% restauró desde copias y el 48% pagó un rescate, con un coste medio de recuperación de $1.70 millones y una mediana de $375,000. En la muestra del Reino Unido, publicada en julio de 2026, la proporción que pagó bajó del 54% en 2025 al 18% en 2026, mientras que la que se recuperó desde copias subió del 39% al 78%. Son empresas más grandes que la mayoría de los lectores de este blog, pero la dirección es la lección: las compañías que pagaron fueron sobre todo las que no pudieron restaurar.

El NCSC no respalda pagar. Su consejo es el mismo para una empresa de dos personas que para un hospital: mantén copias recientes desconectadas, comprueba que puedes restaurar desde ellas y analiza la copia antes de restaurar para no reinstalar el problema.

La prueba de restauración que nadie hace

El informe de copias de seguridad 2025 de Kaseya, elaborado con más de 3,000 profesionales de TI, halló que el 60% creía poder restaurar en 24 horas, pero solo el 35% lo había demostrado, y que apenas el 15% prueba las copias a diario y el 25% cada semana. Una pyme no necesita pruebas diarias. Necesita una mensual que lleva diez minutos:

1. Elige un archivo que hayas editado la semana pasada. Bórralo del portátil.
2. Restáuralo desde el disco externo. Ábrelo.
3. Restaura la versión del mes pasado de un segundo archivo desde la copia en la nube. Ábrelo.
4. Anota la fecha y el resultado en un registro de una línea.

Si falla cualquiera de los pasos, la copia nunca fue una copia. Descubrirlo un martes tranquilo cuesta diez minutos; descubrirlo después de un robo le cuesta el negocio.

Los 20 minutos a la semana

• Lunes, 5 minutos. Conecta el disco, deja que Time Machine o File History se ejecute y desconéctalo cuando se apague la luz.
• Lunes, 5 minutos. Abre el servicio de copia y comprueba la fecha de la última ejecución correcta y el tamaño. Una copia que lleva tres semanas "en curso" es una copia que se ha detenido.
• Lunes, 5 minutos. Exporta todo lo que vive solo dentro de una aplicación web: la lista de reservas, los contactos del CRM, los pedidos de la tienda. Deja la exportación en la carpeta con copia.
• El primer lunes del mes, 5 minutos extra. La prueba de restauración de arriba, y una comprobación de que los códigos de verificación en dos pasos de las cuentas de copia siguen impresos y se pueden encontrar.

Cómo te ayuda un agente de IA a cumplir la regla

Lo difícil del 3-2-1 no es la tecnología. Es hacer la misma tarea pequeña cada semana durante años. Es el tipo de trabajo que un agente hace sin aburrirse.

• Ejecuta las exportaciones semanales. Dale acceso a la herramienta de reservas, al CRM y a la tienda, y cada lunes extrae las exportaciones a la carpeta con copia y las nombra por fecha. Las automatizaciones de Jobbit se ejecutan con una programación sin que abras el portátil.
• Comprueba que la copia se hizo. Lee el estado del servicio de copia y te dice la fecha de la última ejecución correcta en un mensaje de una línea, en lugar de un panel que nunca abres.
• Lleva el registro de restauraciones. Te lo recuerda el primer lunes, anota el resultado y avisa de un mes que se haya saltado.
• Redacta el plan de recuperación. Un documento de una página: dónde está cada copia, qué cuenta la restaura, quién guarda los códigos, en el orden en que los necesitarías el peor día.
• Vigila los plazos de retención. Cuando Dropbox o Google cambian una política, o caduca una suscripción, te avisa antes de que se cierre el plazo.
• Prepara la notificación si ocurre lo peor. El ICO espera un informe de la brecha en 72 horas; el agente prepara los hechos en el formato del regulador mientras tú atiendes el negocio.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus y Muse de Meta te explicarán las copias de seguridad y escribirán una lista de comprobación. Lo que no hacen es ejecutar la rutina del lunes durante un año. Un agente de Jobbit ejecuta la programación, lleva el registro y, cuando el trabajo requiere manos, incorpora a una persona verificada de la red para configurar el disco o recuperar la tienda.

Tu primera semana

• Día 1: haz la lista. Las seis categorías de arriba, con la carpeta o la aplicación donde vive cada una.
• Día 2: pide el disco. De 2 TB, de una marca conocida, y un sobre etiquetado para los códigos de recuperación.
• Día 3: activa la copia externa. Un servicio de copia o una segunda cuenta en la nube, con verificación en dos pasos activada y la contraseña en el gestor.
• Día 4: primera copia local. Deja que termine, desconecta y guarda.
• Día 5: primera prueba de restauración. Un archivo de cada copia, anotado en el registro.
• Día 7: programa el recordatorio del lunes, o entrega la rutina al agente.

Sigue leyendo

• Las mejores herramientas de contraseñas y privacidad en 2026 (1Password, Bitwarden, Proton y más)
• Estafas con IA en 2026: 9 trucos dirigidos a pequeñas empresas y cómo detectar cada uno
• 50 ideas de automatización con IA para pequeñas empresas en 2026 (con ejemplos)

Preguntas frecuentes

¿Qué es la regla de copias de seguridad 3-2-1?

Tres copias de tus datos, en dos tipos de almacenamiento distintos, con una copia guardada fuera de tus instalaciones. El NCSC la recomienda con esas palabras. Para una pyme significa la copia de trabajo en el portátil y su carpeta sincronizada, una copia semanal en un disco externo que se desconecta después y una copia automática con un servicio de copia en la nube o una segunda cuenta en la nube.

¿Es la sincronización en la nube, como Google Drive u OneDrive, una copia de seguridad?

Solo en parte. La sincronización copia cada cambio, incluidos un borrado o un cifrado, así que protege frente a la pérdida del portátil pero no frente al ransomware ni a un error que notas tarde. Google Drive conserva los archivos borrados 30 días y OneDrive para trabajo los conserva 93 días; después desaparecen. Trata la sincronización como la copia uno y añade las otras dos.

¿Con qué frecuencia debe hacer copias una pyme?

De forma continua para la carpeta sincronizada, cada semana para el disco externo y automáticamente cada día para el servicio externo. Prueba una restauración una vez al mes. La encuesta de Kaseya de 2025 halló que solo el 35% de las organizaciones había demostrado que podía restaurar en un día, frente al 60% que creía poder hacerlo.

¿Cuánto cuesta la copia de seguridad de una pyme?

Unas 85 £ a 100 £ una sola vez por un disco externo de 2 TB, más $9 al mes por Backblaze o 8.99 £ al mes por 2 TB de iCloud+, a precios de octubre de 2026. El software de copia del sistema operativo, Time Machine en un Mac y File History en Windows, es gratis.

¿Debo pagar un rescate de ransomware si no tengo copia?

El NCSC no respalda pagar, y pagar no garantiza que los datos vuelvan. En la encuesta de Sophos de 2026 en el Reino Unido, el 78% de las empresas afectadas se recuperó desde copias y el 18% pagó, frente al 54% del año anterior. La copia desconectada en un disco sin enchufar es el seguro más barato para no tener que decidirlo nunca.

¿Puede un agente de IA gestionar mis copias de seguridad?

Puede ejecutar las partes que hay que hacer cada semana: las exportaciones de las aplicaciones web, la comprobación de que el servicio de copia terminó, el recordatorio mensual de restauración y el registro. Un agente de Jobbit lo hace con una programación, con 100 créditos gratis al día y sin tarjeta, y llama a una persona verificada cuando el trabajo requiere a alguien en el lugar.