Por qué fallan en 2026 las estrategias de backup maduras
Durante años, la regla de backup 3-2-1 ha sido la base de la protección de datos. El fotógrafo Peter Krogh dice que acuñó el término mientras escribía la primera edición de The DAM Book, y su guía de backup para el proyecto dpBestflow de ASMP la formula así: tres copias de cualquier archivo importante, en dos tipos de soporte distintos, con una copia fuera de las instalaciones. La fórmula se extendió mucho más allá de la fotografía. El documento de CISA sobre opciones de copia de seguridad de datos la repite para los datos personales y empresariales.
Funcionó. Hasta que dejó de funcionar.
El 2025 Data Breach Investigations Report de Verizon encontró ransomware en el 44 % de las brechas que analizó, frente al 32 % de la edición anterior. Esa edición cubre incidentes de noviembre de 2023 a octubre de 2024; la edición de 2026, que cubre de noviembre de 2024 a octubre de 2025, sitúa la proporción en el 48 %. El equipo de investigación de GuidePoint Security, que hace un seguimiento de las víctimas publicadas por los grupos de ransomware, registró un aumento interanual del 58 % en las víctimas de ransomware en 2025, el año de mayor actividad desde que lleva registros. Con más consecuencias para los responsables de riesgo empresarial: en los servicios de respuesta a incidentes de Mandiant de 2025, Google Threat Intelligence Group observó un robo de datos confirmado o sospechado en aproximadamente el 77 % de las intrusiones de ransomware, frente a aproximadamente el 57 % en 2024. Cuando los datos ya se han robado, una restauración impecable devuelve los sistemas a su estado, pero no resuelve la brecha.
La regla 3-2-1 se diseñó para fallos de hardware, caídas regionales y eliminaciones accidentales. No se diseñó para actores de amenazas que atacan específicamente los repositorios de backup, ni para personas internas con credenciales administrativas válidas. Los atacantes saben que destruir las copias de seguridad elimina la alternativa de la víctima a pagar. El mismo informe de Google señala que los actores de ransomware "often disabled or deleted backups to inhibit and/or limit recovery options" (a menudo deshabilitaban o eliminaban las copias de seguridad para impedir o limitar las opciones de recuperación).
Por eso la regla se ha ampliado. Veeam describe su propia ampliación, 3-2-1-1-0, como la incorporación de una copia inmutable y cero errores de recuperación. En BackupSec proponemos un paso más, al que llamamos regla Fibonacci de la seguridad del backup y que escribimos como 5-3-2-1-1-0. Es nuestro marco, no un estándar del sector. Se lee como la sucesión de Fibonacci a la inversa y añade un sexto elemento: cinco principios de seguridad fundamentales que deben sostener cada capa que hay por debajo.
Para las organizaciones con entornos de backup maduros, este artículo replantea lo que debería significar la "protección de datos integral" en 2026.
De 3-2-1 a 3-2-1-1-0: un breve repaso
Antes de presentar la regla Fibonacci, conviene recordar cómo hemos llegado hasta aquí.
La regla 3-2-1 original exigía tres copias de los datos en dos tipos de soporte distintos, con una de ellas fuera de las instalaciones. Se centraba en la redundancia, partiendo de que ningún evento físico por sí solo podría destruir las tres copias a la vez.
La regla 3-2-1-1-0, la ampliación de Veeam sobre la original y hoy de uso generalizado, añadió dos mejoras:
- Una copia inmutable o con air gap que no se pueda modificar ni eliminar, ni siquiera por un atacante con credenciales administrativas.
- Cero errores en la verificación de las copias de seguridad, de modo que se sepa que cada copia se puede restaurar y no solo que existe.
Esta evolución cerró dos brechas importantes: el ransomware que ataca las copias de seguridad y el fallo silencioso de las copias que nunca se prueban hasta que llega el desastre. Pero la regla no pretende definir toda la arquitectura de seguridad que rodea a esas copias: separación de identidades, acceso privilegiado, segmentación, monitoreo continua y contención del radio de impacto.
Esa es la brecha que la regla Fibonacci de la seguridad del backup pretende cerrar.
¿Por qué Fibonacci? La lógica de los números
La sucesión de Fibonacci (0, 1, 1, 2, 3, 5, 8, 13...) es uno de los patrones más elegantes de las matemáticas: cada número es la suma de los dos anteriores. Si se lee nuestro marco a la inversa (5, 3, 2, 1, 1, 0), se aplica la misma lógica acumulativa: cada capa de protección se apoya en los cimientos que tiene debajo.
- 5 principios de seguridad fundamentales. Cinco principios que rigen cómo se diseña la arquitectura de backup.
- 3 copias de los datos. Al menos tres copias de cada conjunto de datos crítico.
- 2 soportes o tipos de almacenamiento o plataforma distintos. Almacenadas en dos soportes, plataformas de almacenamiento o pilas tecnológicas diferentes.
- 1 copia fuera de las instalaciones. Una copia en una ubicación geográficamente separada.
- 1 copia adicional inmutable, aislada o protegida de otro modo. Una copia más, protegida contra la modificación o la destrucción.
- 0 copias sin verificar o errores de recuperación sin resolver. Ninguna copia sin verificar, ningún error de recuperación pendiente.
La regla 3-2-1-1-0 original respondía a la pregunta operativa "¿Cuántas copias, dónde y en qué estado?". El "5" que añadimos responde a una pregunta de arquitectura más fundamental: "¿Qué significa realmente que una copia de seguridad sea segura?"
Sin esos cinco principios, el resto de la cadena está vacío. Una copia de seguridad que existe en tres copias, en dos soportes y en estado inmutable, pero que está gobernada por controles de acceso inadecuados o es accesible desde una estación de trabajo de administración comprometida, no está protegida. Es la documentación de una exposición.
El "5": cinco principios fundamentales de la seguridad del backup
Estos cinco principios deberían orientar cada decisión de arquitectura de su entorno de backup, desde la selección de la plataforma hasta la política de retención y la gobernanza del acceso.
1. Arquitectura ciberresiliente desde el diseño
La seguridad del backup no se puede añadir a posteriori. Debe ser una restricción de diseño desde el primer día.
Una arquitectura de backup ciberresiliente trata cada componente (el catálogo, el nivel de almacenamiento, el plano de gestión, el entorno de recuperación) como un posible objetivo. Da por hecho que habrá una brecha, planifica para el compromiso y garantiza que ningún fallo aislado, ya sea técnico, humano o provocado por un adversario, pueda desencadenar la pérdida total de la capacidad de recuperación.
En la práctica, esto significa:
- Defensa en profundidad: varios controles independientes protegen cada capa, de modo que el fallo de uno no deja expuesto el sistema.
- Contención del radio de impacto: el compromiso del entorno de producción no puede propagarse a la infraestructura de backup, y el compromiso de un nivel de backup no puede propagarse a los demás.
- Diseño orientado a la recuperación: las arquitecturas se evalúan no solo por lo bien que hacen copias de los datos, sino por la fiabilidad con la que pueden restaurarlos en condiciones hostiles: cuando el DNS no funciona, los proveedores de identidad están comprometidos o el sitio principal es inaccesible.
- El cifrado como elemento básico de la arquitectura, no como una función más: cada copia de seguridad, en cualquier estado, debe protegerse con un cifrado sólido y estándar del sector en reposo y en tránsito, con claves de cifrado gobernadas de forma independiente de la infraestructura de backup siempre que sea posible, idealmente en un HSM dedicado o en un servicio de gestión de claves con una titularidad administrativa separada. Si sus claves viven junto a sus datos, no tiene cifrado; tiene ofuscación. Para las empresas con flujos de datos transfronterizos, la soberanía de las claves (quién puede obligar a revelarlas, bajo qué jurisdicción y en qué plazo) pasa a ser una decisión de diseño, no un problema de respuesta a incidentes.
La seguridad añadida a un sistema de backup diseñado para un panorama de amenazas anterior suele mostrar sus carencias en pleno incidente, cuando la propia arquitectura resulta ser el punto débil. La resiliencia tiene que diseñarse desde el principio.
2. Acceso Zero Trust y autenticación robusta
El principio es sencillo: nunca confiar, verificar siempre. Cada solicitud para leer, escribir o modificar una copia de seguridad debe autenticarse y autorizarse en el momento de la solicitud, sea cual sea su origen en la red.
En la práctica, esto requiere:
- Autenticación multifactor (MFA) para cada identidad administrativa que acceda a la infraestructura de backup, idealmente con métodos resistentes al phishing, como los tokens de hardware.
- Control de acceso basado en roles (RBAC) que aplique el principio de privilegio mínimo con un alcance granular.
- Identidades administrativas separadas para los sistemas de producción y de backup. Un administrador de dominio comprometido no debería tener acceso a su última línea de defensa.
- Gestión de accesos privilegiados (PAM) con elevación just-in-time, grabación de sesiones y flujos de aprobación para operaciones sensibles, como los cambios en la política de retención.
En la encuesta State of Ransomware 2025 de Sophos a 3.400 organizaciones afectadas por ransomware, las víctimas señalaron las credenciales comprometidas como causa raíz del 23 % de los ataques, la segunda causa raíz técnica más frecuente tras las vulnerabilidades explotadas (32 %). Si su entorno de backup confía en la misma infraestructura de identidad que protege producción, tiene un punto único de fallo disfrazado de defensa por capas.
3. Inmutabilidad y almacenamiento WORM
La inmutabilidad, la propiedad por la que los datos no se pueden cambiar ni eliminar durante un periodo de retención definido una vez escritos, ha pasado de ser una "buena práctica" a ser "innegociable". Tanto si se implementa mediante Object Lock en almacenamiento en la nube, soportes Write Once Read Many (WORM) o bloqueos de retención aplicados por hardware, la inmutabilidad es una de las defensas de arquitectura más eficaces contra los actores de amenazas que buscan específicamente los repositorios de backup.
Para las empresas sujetas a normas de conservación de registros, la inmutabilidad también puede ayudar al cumplimiento. La SEC Rule 17a-4 permite a los broker-dealers conservar los registros electrónicos con un registro de auditoría completo y con marca de tiempo, o bien "in a non-rewriteable, non-erasable format" (en un formato que no se puede reescribir ni borrar). La HIPAA Security Rule exige un plan de copia de seguridad de datos que cree y mantenga "retrievable exact copies" (copias exactas recuperables) de la información sanitaria protegida en formato electrónico. La superficie de control que le protege del ransomware suele ser la misma por la que pregunta su auditor.
CISA es más prudente que la mayoría de los fabricantes. Su #StopRansomware Guide indica a las organizaciones que "maintain offline, encrypted backups of critical data" (mantengan copias de seguridad cifradas y desconectadas de los datos críticos) y que prueben periódicamente su disponibilidad e integridad. Solo menciona el almacenamiento inmutable de los proveedores de nube con una advertencia: "does not meet compliance criteria for certain regulations" (no cumple los criterios de cumplimiento de determinadas normativas), y una configuración incorrecta puede suponer un costo considerable. La inmutabilidad mantiene intactas las copias de seguridad frente a un atacante que ya tiene credenciales administrativas. No sustituye a una copia desconectada ni a una restauración probada.
4. Verificación continua y pruebas de recuperación
Una copia de seguridad que no ha probado no es una copia de seguridad. Es una hipótesis.
El "0" de 3-2-1-1-0 exige cero errores, pero la única forma de respaldar esa afirmación es probar de forma continua. Los programas maduros implementan comprobaciones de integridad automatizadas, simulacros periódicos de restauración completa, entornos de recuperación aislados para la validación y ejercicios de mesa estructurados que ponen a prueba las capas humana y de procesos con el mismo rigor que las técnicas.
La recuperación es cada vez más rápida. En la misma encuesta de Sophos, el 53 % de las víctimas de ransomware se recuperó por completo en una semana, frente al 35 % de 2024, y el 97 % se había recuperado por completo en tres meses. Sophos sugiere que la mejora puede reflejar la inversión en preparación ante incidentes y en capacidad de recuperación. La encuesta no aísla el efecto de los planes probados, pero el propio consejo de Sophos es hacer copias de seguridad de calidad y practicar con regularidad la restauración a partir de ellas.
La lección para los responsables de riesgo: las pruebas son lo que separa a las organizaciones que tienen copias de seguridad de las que pueden recuperarse.
5. Aislamiento y segmentación de red
La infraestructura de backup debe estar fuertemente segmentada respecto a producción y, siempre que sea viable, no debe depender de los mismos límites de confianza administrativa que protegen los sistemas de producción.
Las buenas prácticas actuales combinan la segmentación lógica (VLAN separadas, subredes dedicadas, reglas de firewall estrictas, microsegmentación) con arquitecturas con air gap o casi air gap para al menos una copia de cada backup. La inmutabilidad en la nube con proveedores de identidad separados, las rotaciones de cintas desconectadas, los entornos de recuperación dedicados y el aislamiento de tenants en infraestructuras compartidas persiguen el mismo objetivo de arquitectura: garantizar que el radio de impacto de cualquier compromiso aislado no pueda extenderse a la capa de recuperación.
Si un actor de amenazas que está en su controlador de dominio puede llegar a su repositorio de backup con las mismas credenciales, su backup forma parte de la superficie de ataque, no está separado de ella.
El "3-2-1": una redundancia que sigue importando
Con los cinco principios como base, la capa clásica 3-2-1 sigue siendo esencial.
- 3 copias de cada conjunto de datos crítico: los datos de producción más al menos dos copias de seguridad.
- 2 soportes o plataformas de almacenamiento distintos: disco local y nube, o almacenamiento de objetos on-premises y un proveedor de nube independiente. El objetivo es garantizar que un único fallo tecnológico, una caída de un proveedor o un tipo de ataque no pueda destruir todas las copias a la vez.
- 1 copia fuera de las instalaciones: separada geográficamente del sitio principal, idealmente en un dominio de amenazas diferente y, cuando proceda, en una jurisdicción normativa diferente.
Lo que ha cambiado desde que se formuló la regla es la interpretación. Dos regiones de nube del mismo proveedor no constituyen "dos soportes distintos". Un volumen de backup en una SAN situada junto a su cabina de producción no está realmente "fuera de las instalaciones". El modelado de amenazas empresarial actual exige una lectura más estricta de cada requisito.
El "1-1": fuera de las instalaciones e inmutable o con air gap
Los dos "1" abordan dominios de fallo diferentes.
El primero exige que una copia se almacene fuera de las instalaciones, separada geográficamente del entorno principal, para que un incidente a nivel de sitio, un fallo de infraestructura o un desastre físico no pueda eliminar todas las opciones de recuperación a la vez.
El segundo exige que al menos una copia adicional esté protegida contra la modificación o la destrucción mediante inmutabilidad, air gap o un mecanismo de aislamiento equivalente. Su finalidad es diferente: la separación geográfica protege frente al fallo de una ubicación, mientras que la inmutabilidad o el aislamiento protegen frente a un atacante que ha obtenido acceso administrativo.
Estos requisitos pueden solaparse en la implementación. Una copia fuera de las instalaciones también puede ser inmutable, y los entornos maduros pueden mantener tanto un nivel de recuperación inmutable como una copia más profunda desconectada o con air gap. Lo importante es no tratar la geografía por sí sola como aislamiento de seguridad.
Esta distinción es también la razón por la que la inmutabilidad figura entre los cinco principios de seguridad de la regla Fibonacci. El "1" numérico define un requisito mínimo de protección para una copia de seguridad; el principio de seguridad exige tener en cuenta la inmutabilidad en toda la arquitectura, incluidos los controles de retención, el acceso administrativo, la separación de identidades y el plano de gestión.
El "0": tolerancia cero con las copias sin verificar
Cada copia verificada. Cada restauración probada. Cada carencia documentada y cerrada.
El "0" es la capa de disciplina operativa del marco. Exige rigor: sumas de comprobación automatizadas, validación programada de restauraciones, detección de anomalías en los metadatos de los trabajos de backup (un aumento repentino del tamaño de un trabajo puede indicar que un actor de amenazas está preparando los datos antes de cifrarlos), monitoreo del comportamiento de la actividad administrativa de backup y rutas de escalado claras cuando la verificación falla.
El razonamiento es sencillo. Un atacante que se prepara para destruir las copias de seguridad tiene que tocar primero el sistema de backup, y esos cambios aparecen en la configuración de los trabajos, en los valores de retención y en los registros de auditoría antes de que falle ninguna restauración. Cero errores no es una métrica de vanidad. Es la diferencia entre la confianza y la falsa confianza en el momento en que esa distinción más importa.
Qué significa esto para los responsables de riesgo empresarial
Si su organización funciona con una estrategia de backup diseñada para otro panorama de amenazas, la distancia entre lo que tiene y lo que necesita ya no es una cuestión académica. Considere la realidad financiera:
- La encuesta de Sophos de 2025 situó la mediana del pago de rescate en 1 millón de dólares y el costo medio de recuperación, sin incluir ningún rescate, en 1,53 millones de dólares.
- El DBIR 2025 de Verizon indica que el 64 % de las organizaciones víctimas de ransomware no pagó, frente al 50 % de dos años antes. Sophos, con una muestra diferente, halló que el 49 % de las víctimas pagó el rescate para recuperar sus datos. En cualquier caso, pagar ya no es la opción por defecto, y una organización que se niega a hacerlo necesita una vía de restauración que funcione.
Para las empresas de sectores regulados o que gestionan entornos híbridos complejos, el cálculo es aún más claro. Las empresas cotizadas en EE. UU. deben comunicar un incidente de ciberseguridad material mediante el Form 8-K, por lo general en un plazo de cuatro días hábiles desde que determinan que es material, y muchas otras jurisdicciones y sectores imponen sus propias obligaciones de notificación. El costo de un incidente del que no es posible recuperarse ya no es solo operativo. También es reputacional y regulatorio.
Implementar la regla Fibonacci no exige reconstruir la infraestructura desde cero. Exige una evaluación honesta de la arquitectura, una corrección priorizada frente a un conjunto claro de principios y un compromiso de gobernanza para tratar la seguridad del backup como una disciplina integrada, no como una partida de compras.
El papel de BackupSec
En BackupSec ayudamos a los equipos a gestionar sus entornos de backup de Veeam conforme a los principios anteriores. No sustituimos la plataforma de backup; hacemos que su seguridad sea observable, asesorada y probada.
- ZeroMON monitorea Veeam Backup & Replication: estado de los trabajos, cambios de configuración con un registro de quién, qué y cuándo, una lista de comprobación del Security Analyzer, informes y un honeypot. Muestra el estado de inmutabilidad tal como lo indica la configuración de repositorios de Veeam; no verifica los bloqueos a nivel de objeto en el almacenamiento. Las alertas se envían por correo electrónico y como notificación dentro de la aplicación. Se despliega on-premises como OVA, se conecta con una cuenta de solo lectura y no envía nada a BackupSec ni a terceros.
- ZeroTAM le ofrece un asesor dedicado de seguridad de backup para arquitectura, capacidad, planificación de la recuperación ante ransomware y soporte prioritario en caso de crisis.
- ZeroPEN es una prueba de penetración guiada por amenazas de Veeam Backup & Replication, Veeam ONE y Enterprise Manager: ocho fases de la kill chain alineadas con MITRE ATT&CK. El servicio también incluye la verificación de la integridad de la restauración y de la inmutabilidad. Nunca elimina copias de seguridad reales, no realiza cifrado real ni detiene servicios de producción o de backup. Usted obtiene evidencias listas para auditoría y una nueva prueba para los hallazgos críticos.
- ZeroVault es almacenamiento de objetos en la nube inmutable y compatible con S3, con Object Lock, para la copia inmutable fuera de las instalaciones.
Hable con BackupSec sobre la postura de seguridad de su backup →