El sábado 16 de abril de 2022, el Municipio de Quito tuvo matriculación, citas y pagos fuera de línea por el ransomware BlackCat. Su director de tecnología dijo a El Comercio que la información afectada rondaba entre el 15 % y el 18 %, y que estaba respaldada. Esa última frase es la que separa una crisis de una catástrofe.
Las copias de seguridad parecen el tema más aburrido de la seguridad informática hasta el día en que hacen falta. Ese día solo importan tres preguntas: si existe una copia reciente, si el atacante pudo alcanzarla y si alguien comprobó alguna vez que se puede restaurar. Las secciones siguientes responden a esas tres preguntas en orden.
Qué protege un respaldo y qué no protege
Un respaldo protege contra la pérdida de datos: un disco dañado, una laptop robada en un bus, un archivo borrado por error o un sistema cifrado por ransomware. Según el informe DBIR 2026 de Verizon, el ransomware estuvo presente en el 48 % de las brechas analizadas, una proporción que justifica tratar las copias de seguridad como una prioridad.
Lo que un respaldo no resuelve es la filtración. Si un grupo de ransomware copia la base de clientes antes de cifrarla, restaurar no impide que la publique. En Ecuador, una vulneración así debe notificarse a la Superintendencia de Protección de Datos Personales en cinco días, según la norma técnica que la SPDP publicó en septiembre de 2026.
Tipos de copias de seguridad: completa, incremental y diferencial
La guía de INCIBE para empresas, publicada en junio de 2025, distingue tres tipos de copia según qué datos se guardan en cada pasada. La elección no es teórica: determina cuánto espacio ocupa el respaldo, cuánto tarda cada noche y, sobre todo, cuántas piezas hacen falta para devolver un servidor a la vida después de un incidente.
Copia completa
La copia completa guarda la totalidad de los datos en cada pasada. Es la más sencilla de restaurar, porque no depende de ninguna otra copia, y la más pesada en espacio y en tiempo. Por eso pocas empresas la hacen a diario; lo habitual es una completa semanal combinada con copias más ligeras entre medias.
Copia incremental
La incremental guarda solo lo que cambió desde la última copia, fuera completa o incremental. Ocupa poco y termina rápido, lo que la hace ideal para las noches de entre semana. El precio se paga al restaurar: hace falta la última completa y cada incremental posterior en orden, y si una de ellas está dañada, la cadena se rompe ahí.
Copia diferencial
La diferencial guarda lo que cambió desde la última copia completa. Crece cada día hasta la siguiente completa, así que ocupa más que la incremental, pero restaurar solo exige dos piezas: la completa y la última diferencial. Para una pyme con poco personal técnico, esa sencillez a la hora de recuperar suele compensar el espacio extra.
Entre los tipos de respaldo también figuran las copias de imagen, que capturan un disco entero con sistema y programas. La guía #StopRansomware de CISA recomienda mantener imágenes de referencia actualizadas de los sistemas críticos, porque reconstruir un servidor desde cero, instalando cada programa a mano, puede llevar días que la empresa no tiene.
La regla 3-2-1 y su versión 3-2-1-1-0
La regla 3-2-1 es la forma más conocida de organizar los respaldos: tres copias de los datos, contando la original, en dos tipos de soporte distintos, y una de ellas fuera del local. Si un incendio, una inundación o un robo afectan a la oficina, la copia externa sobrevive. Si falla un disco, queda otro soporte distinto.
El ransomware obligó a ampliarla. La versión 3-2-1-1-0, difundida por el fabricante Veeam, añade dos cifras: una copia desconectada, aislada o inmutable, y cero errores en las verificaciones de restauración. La primera cifra existe porque los atacantes buscan y borran los respaldos alcanzables desde la red antes de cifrar; la segunda, porque una copia que no restaura no sirve.
Revise su respaldo con la regla 3-2-1-1-0
Fuentes: Veeam, regla 3-2-1-1-0 · CISA, #StopRansomware Guide
Datos verificados al por la redacción de dds.ec · Método editorial
Cómo se calcula
Cada copia que usted añade tiene tres propiedades fijas: tipo de soporte (disco, nube o cinta), si está fuera del local y si queda desconectada o inmutable. Los datos originales cuentan como la primera copia, en disco y en el local. Una carpeta sincronizada se cuenta como copia en la nube, pero no como copia protegida, porque replica también los archivos cifrados o borrados.
Aplicar la regla 3-2-1 en una empresa pequeña no exige un centro de datos. Puede bastar con los datos del servidor, una copia diaria en un dispositivo NAS de la oficina y otra copia cifrada en un servicio en la nube con bloqueo contra borrado. El dispositivo NAS, eso sí, no debe aceptar escritura con las mismas credenciales del dominio.
Respaldos inmutables y desconectados frente al ransomware
La guía #StopRansomware de CISA pide mantener copias de los datos críticos fuera de línea y cifradas, y explica por qué: muchas variantes de ransomware buscan los respaldos accesibles y los borran o los cifran. Una copia en un disco externo que permanece conectado al servidor día y noche no cuenta como fuera de línea, aunque esté en otra caja.
La inmutabilidad es la alternativa moderna al disco que se guarda en un cajón. Un repositorio inmutable acepta escribir la copia, pero impide modificarla o borrarla durante un plazo definido, incluso a una cuenta de administrador comprometida. CISA advierte que este almacenamiento no cumple ciertos criterios normativos y que una mala configuración puede salir cara, así que conviene probarlo antes.
Para las cuentas que administran los respaldos aplica la misma disciplina que para la VPN: cuentas separadas de las del dominio, doble factor y contraseñas guardadas en un gestor de contraseñas. Un atacante que obtiene la consola de respaldos puede borrar cada copia con un clic, y eso es lo primero que intenta antes de lanzar el cifrado.
Otro detalle que suele olvidarse es la retención, es decir, cuánto tiempo se conservan las copias de seguridad antiguas. Si solo se guardan las de la última semana y el ataque pasó inadvertido durante quince días, cada copia disponible ya contiene el problema. Conservar algunas copias mensuales durante varios meses ofrece un punto de retorno limpio.
En la nube o en un disco propio
La nube resuelve bien la copia fuera del local: los datos viajan a un centro de datos lejano sin que nadie lleve un disco a casa. Su debilidad es la cuenta que la administra: si no tiene doble factor, quien robe la contraseña puede borrar los respaldos. En Ecuador conviene revisar también dónde se almacenan los datos personales.
El disco propio, en cambio, restaura mucho más rápido, porque no depende de la conexión a internet. Un servidor de varios cientos de gigas tarda horas en bajar de la nube y mucho menos desde un NAS local. Por eso la combinación de ambos, una copia local para rapidez y otra remota para catástrofes, sigue siendo la recomendable.
Una aclaración evita muchos disgustos: sincronizar una carpeta con OneDrive, Google Drive o Dropbox no equivale a respaldarla. La sincronización copia cada cambio al instante, incluido el cifrado del ransomware o el borrado accidental. Sirve como copia solo si el servicio guarda versiones anteriores durante suficiente tiempo y usted sabe cómo recuperarlas.
Probar la restauración: la parte que casi nadie hace
La guía de CISA pide comprobar con regularidad la disponibilidad y la integridad de los respaldos en un escenario de recuperación. Es el paso que más se aplaza, porque mientras nada falla el respaldo parece funcionar. El informe de Sophos de 2026 encontró que el 55 % de las organizaciones atacadas se recuperó en una semana o menos.
La prueba no necesita un simulacro complejo. Basta con elegir una vez al mes un archivo, una carpeta o una base de datos concreta, restaurarla en un equipo de pruebas y comprobar que se abre y que los datos son recientes. Anote la fecha, cuánto tardó y qué falló. Esa hoja es la evidencia que pedirá cualquier auditoría.
Una prueba completa del servidor principal, al menos una vez al año, revela problemas que las pruebas parciales no ven: licencias que no se reactivan, contraseñas que nadie recuerda o una dependencia de un sistema que no se respaldaba. Si la empresa sufre un incidente real, la guía sobre ransomware en empresas explica qué hacer antes de empezar a restaurar.
Copias de seguridad del celular y de WhatsApp
Las copias de seguridad de WhatsApp generan muchas dudas. En Android, la aplicación guarda la copia en el almacenamiento de la cuenta de Google, así que necesita espacio libre en ella. La copia puede cifrarse de extremo a extremo con una contraseña o una clave, y WhatsApp advierte que esa es la única forma de recuperarla.
En el iPhone, Respaldo en iCloud guarda la información y la configuración del teléfono que no se sincroniza ya por otra vía, como las notas o iCloud Drive. Apple conserva esos respaldos durante 180 días después de desactivar la función en un dispositivo, un margen útil para quien cambia de teléfono sin haber restaurado todavía el anterior.
En un celular de empresa, el respaldo personal del empleado no basta. Los datos de trabajo deben vivir en el correo, la nube o el gestor documental corporativo, donde la empresa los respalda y puede retirarlos si el equipo se pierde. Así, la pérdida del teléfono no significa perder la información de clientes que el trabajador llevaba en él.
Un plan de respaldo para una pyme en Ecuador
Un plan de copias de seguridad útil cabe en una página y responde a cuatro preguntas: qué datos se respaldan, cada cuánto, dónde y quién comprueba que funcionan. La lista siguiente sirve como punto de partida para una empresa de hasta cincuenta personas, y conviene revisarla junto con el resto de herramientas de seguridad informática de la empresa.
- Haga un inventario de los datos críticos: contabilidad, facturación electrónica, base de clientes, correo y documentos compartidos.
- Defina cuántas horas de datos puede perder cada sistema y fije la frecuencia según eso.
- Combine una completa semanal con incrementales o diferenciales diarias.
- Aplique la regla 3-2-1, con una copia local y otra remota cifrada.
- Mantenga una copia inmutable o desconectada de la red.
- Use cuentas separadas con doble factor para la consola de respaldos.
- Pruebe una restauración parcial cada mes y una completa cada año, y anote los resultados.
Si la base de clientes contiene datos personales, el plan forma parte de las medidas que exige la Ley Orgánica de Protección de Datos Personales. El registro de las pruebas de restauración, con fechas y resultados, es la evidencia de que esas medidas existen y funcionan, más allá de una política guardada en un cajón.