La Regla de Fibonacci de la Seguridad de Backups: ampliar el 3-2-1-1-0 para la seguridad de backup moderna

Por qué las estrategias de backup maduras están fallando en 2026

Durante más de dos décadas, la regla de backup 3-2-1 ha sido el pilar de la protección de datos empresarial. Acuñada por el fotógrafo Peter Krogh y adoptada en todo el sector de TI, ofrecía una fórmula memorable: tres copias de los datos, en dos tipos de medios, con una copia fuera de las instalaciones.

Funcionó. Hasta que dejó de hacerlo.

En 2025, el ransomware estuvo presente en el 44% de todas las brechas de datos confirmadas, frente al 32% del año anterior. A escala mundial, los ataques de ransomware aumentaron un 58% interanual, y se estima que ahora se produce un incidente en algún lugar del mundo cada 19 segundos. Más trascendente para los responsables de riesgos empresariales: el 75% de los ataques de ransomware en 2025 implicaron la exfiltración de datos antes del cifrado, lo que significa que una restauración impecable ya no resuelve la brecha.

La regla 3-2-1 se diseñó para fallos de hardware, interrupciones regionales y eliminaciones accidentales. No se diseñó para actores de amenazas sofisticados que apuntan específicamente a los repositorios de backup, para campañas de phishing generadas por IA que operan a escala industrial, ni para amenazas internas con credenciales administrativas válidas. Los atacantes maduros saben que destruir o corromper la infraestructura de backup es la vía más rápida para forzar el pago de un rescate, y lo tratan como un objetivo de primer orden en sus cadenas de ataque.

Por eso el sector ha ido ampliando progresivamente la regla: primero a 3-2-1-1, después a 3-2-1-1-0. En BackupSec creemos que la siguiente evolución es lo que denominamos la Regla de Fibonacci de la Seguridad de Backups, expresada como 5-3-2-1-1-0: un marco que se lee como la secuencia de Fibonacci a la inversa y que añade una sexta dimensión crítica: cinco principios de seguridad fundamentales que deben sustentar cada una de las capas que tiene por debajo.

Para las organizaciones que operan entornos de backup maduros, este artículo replantea lo que «protección integral de datos» debería significar en 2026.

De 3-2-1 a 3-2-1-1-0: un repaso rápido

Antes de presentar la Regla de Fibonacci, conviene reconocer cómo hemos llegado hasta aquí.

La regla 3-2-1 original exigía tres copias de los datos en dos tipos de medios diferentes, con una almacenada fuera de las instalaciones. Se centraba en la redundancia, partiendo del supuesto de que ningún evento físico aislado podría destruir las tres copias de forma simultánea.

La regla 3-2-1-1-0, popularizada por Veeam y ampliamente adoptada, añadió dos matices críticos:

• Una copia inmutable o aislada por air-gap que no puede modificarse ni eliminarse, ni siquiera por un atacante con credenciales administrativas.
• Cero errores en la verificación de backups, garantizando que cada backup sea restaurable y no esté simplemente presente.

Esta evolución cerró dos brechas significativas: el ransomware que apunta a los backups y el fallo silencioso de los backups que nunca se prueban hasta que ocurre el desastre. Pero la regla no pretende definir la arquitectura de seguridad completa en torno a esas copias, incluidas la separación de identidades, el acceso privilegiado, la segmentación, la monitorización continua y la contención del radio de impacto.

Esa es la brecha que la Regla de Fibonacci de la Seguridad de Backups está diseñada para cerrar.

¿Por qué Fibonacci? La lógica detrás de los números

La secuencia de Fibonacci (0, 1, 1, 2, 3, 5, 8, 13...) es uno de los patrones más elegantes de las matemáticas: cada número es la suma de los dos anteriores. Al leer nuestro marco a la inversa (5, 3, 2, 1, 1, 0), se aplica la misma lógica acumulativa: cada capa de protección se construye sobre los cimientos que tiene por debajo.

• 5 — Principios de seguridad fundamentales: cinco principios que rigen cómo se diseña el backup.
• 3 — Copias de los datos: al menos tres copias de cada conjunto de datos crítico.
• 2 — Tipos de medios o plataformas de almacenamiento distintos: almacenadas en dos medios, plataformas de almacenamiento o pilas tecnológicas diferentes.
• 1 — Copia fuera de las instalaciones: una copia en una ubicación geográficamente separada.
• 1 — Copia adicional inmutable, aislada o protegida de otro modo: una copia más, protegida frente a modificación o destrucción.
• 0 — Backups sin verificar / errores de recuperación sin resolver: ningún backup sin verificar y ningún error de recuperación pendiente.

La regla 3-2-1-1-0 original respondía a la pregunta operativa «¿Cuántas copias, dónde y en qué estado?» El «5» que hemos añadido responde a una pregunta arquitectónica más fundamental: «¿Qué significa realmente que un backup sea seguro?»

Sin esos cinco principios, el resto de la cadena queda hueco. Un backup que existe en tres copias, en dos medios, en estado inmutable, pero que está regido por controles de acceso inadecuados o es accesible desde una estación de trabajo de administrador comprometida, no está protegido. Es la documentación de una exposición.

El «5»: cinco principios fundamentales de la seguridad de backups

Estos cinco principios deben guiar cada decisión arquitectónica de tu entorno de backup: desde la selección de la plataforma hasta la política de retención y la gobernanza del acceso.

1. Arquitectura ciberresiliente por diseño

La seguridad de los backups no puede incorporarse a posteriori. Debe ser una restricción de diseño desde el primer día.

Una arquitectura de backup ciberresiliente trata cada componente —el catálogo, el nivel de almacenamiento, el plano de gestión, el entorno de recuperación— como un objetivo potencial. Asume la brecha, planifica para el compromiso y garantiza que ningún fallo aislado (técnico, humano o adversarial) pueda desencadenar una pérdida total de la capacidad de recuperación.

En la práctica, esto significa:

• Defensa en profundidad: múltiples controles independientes protegen cada capa, de modo que el fallo de uno no expone el sistema.
• Contención del radio de impacto: el compromiso del entorno de producción no puede propagarse a la infraestructura de backup, y el compromiso de un nivel de backup no puede propagarse a los demás.
• Diseño orientado a la recuperación: las arquitecturas se evalúan no solo por lo bien que respaldan los datos, sino por la fiabilidad con la que pueden restaurarlos en condiciones hostiles: cuando el DNS está caído, los proveedores de identidad están comprometidos o el sitio principal es inaccesible.
• El cifrado como primitiva arquitectónica, no como una funcionalidad: cada backup, en cada estado, debe protegerse con cifrado robusto y conforme a los estándares del sector, tanto en reposo como en tránsito, con las claves de cifrado gestionadas de forma independiente de la infraestructura de backup siempre que sea viable, idealmente en un HSM dedicado o en un servicio de gestión de claves con titularidad administrativa separada. Si tus claves residen junto a tus datos, no tienes cifrado; tienes ofuscación. Para las empresas con flujos de datos transfronterizos, la soberanía de las claves —quién puede exigir su divulgación, bajo qué jurisdicción y en qué plazo— se convierte en una decisión de diseño, no en un problema de respuesta a incidentes.

Las organizaciones que incorporan seguridad a posteriori sobre sistemas de backup diseñados para el panorama de amenazas de hace una década descubren sistemáticamente, en plena incidencia, que su propia arquitectura es la vulnerabilidad. La resiliencia debe diseñarse desde el principio, no añadirse a la fuerza.

2. Acceso Zero Trust y autenticación robusta

El principio es sencillo: nunca confíes, verifica siempre. Toda solicitud para leer, escribir o modificar un backup debe autenticarse y autorizarse en el momento de la solicitud, independientemente del origen en la red.

En términos prácticos, esto requiere:

• Autenticación multifactor (MFA) para cada identidad administrativa que interactúe con la infraestructura de backup, idealmente con métodos resistentes al phishing, como tokens de hardware.
• Control de acceso basado en roles (RBAC) que aplique el principio de mínimo privilegio con un alcance granular.
• Identidades administrativas separadas para los sistemas de producción y de backup: un administrador de dominio comprometido no debería tener acceso a tu última línea de defensa.
• Gestión de accesos privilegiados (PAM) con elevación justo a tiempo, grabación de sesiones y flujos de aprobación para operaciones sensibles, como los cambios en la política de retención.

Las credenciales comprometidas causaron el 23% de los ataques de ransomware en 2025. Si tu entorno de backup confía en la misma infraestructura de identidad que protege la producción, tienes un único punto de fallo disfrazado de defensa por capas.

3. Inmutabilidad y almacenamiento WORM

La inmutabilidad —la propiedad por la cual, una vez escritos, los datos no pueden modificarse ni eliminarse durante un periodo de retención definido— ha pasado de ser una «buena práctica» a ser «innegociable». Ya se implemente mediante el bloqueo de objetos en almacenamiento en la nube, medios Write Once Read Many (WORM) o bloqueos de retención aplicados por hardware, la inmutabilidad es una de las defensas arquitectónicas más eficaces frente a los actores de amenazas que buscan específicamente los repositorios de backup.

Para las empresas que operan bajo regímenes regulatorios como SEC 17a-4, FINRA, HIPAA o DORA, la inmutabilidad también puede respaldar requisitos de cumplimiento y objetivos de control relacionados con la retención, la integridad, la resistencia a la manipulación y la recuperabilidad. La superficie de control que te protege del ransomware suele ser la misma por la que pregunta tu auditor.

CISA recomienda mantener backups sin conexión y cifrados, probar periódicamente su disponibilidad e integridad y emplear controles de protección como el almacenamiento inmutable para reducir el impacto operativo del ransomware. La inmutabilidad es lo que mantiene esos backups íntegros y restaurables cuando un atacante ya posee credenciales de administrador.

4. Verificación continua y pruebas de recuperación

Un backup que no has probado no es un backup: es una hipótesis.

El «0» de 3-2-1-1-0 exige cero errores, pero la única forma de fundamentar esa afirmación es probar de forma continua. Los programas maduros implementan comprobaciones de integridad automatizadas, simulacros periódicos de restauración completa, entornos de recuperación aislados para la validación y ejercicios de mesa estructurados que someten las capas humanas y de procesos a pruebas de estrés con el mismo rigor que las técnicas.

Las organizaciones con planes de respuesta a incidentes probados se recuperan drásticamente más rápido: en 2025, la proporción de víctimas de ransomware que se recuperaron por completo en una semana alcanzó un máximo histórico, mientras que las que necesitaron más de un mes cayeron a tan solo el 18%, frente al 34% del año anterior.

La lección para los responsables de riesgos es inequívoca: las pruebas son lo que separa a las organizaciones que tienen backups de las organizaciones que pueden recuperarse. La diferencia de coste entre esos dos estados, medida en tiempo de inactividad y daño reputacional, suele ser de un orden de magnitud.

5. Aislamiento y segmentación de red

La infraestructura de backup debería estar fuertemente segmentada de producción y, siempre que resulte práctico, no depender de los mismos límites de confianza administrativa que protegen los sistemas de producción.

Las mejores prácticas modernas combinan la segmentación lógica (VLAN separadas, subredes dedicadas, reglas de firewall estrictas, microsegmentación) con arquitecturas aisladas por air-gap o cuasi air-gap para al menos una copia de cada backup. La inmutabilidad en la nube con proveedores de identidad separados, las rotaciones de cintas sin conexión, los entornos de recuperación dedicados y el aislamiento de inquilinos en infraestructuras compartidas sirven todos al mismo objetivo arquitectónico: garantizar que el radio de impacto de cualquier compromiso aislado no pueda extenderse hasta la capa de recuperación.

Si un actor de amenazas en tu controlador de dominio puede llegar a tu repositorio de backup con las mismas credenciales, tu backup forma parte de la superficie de ataque, no está separado de ella.

El «3-2-1»: una redundancia que sigue importando

Con los cinco principios como base, la capa clásica 3-2-1 sigue siendo esencial.

• 3 copias de cada conjunto de datos crítico: tus datos de producción más al menos dos backups.
• 2 medios o plataformas de almacenamiento diferentes: disco local y nube, o almacenamiento de objetos on-premise y un proveedor de nube independiente. El objetivo es garantizar que un único fallo tecnológico, una caída de un proveedor o una clase de ataque no puedan destruir todas las copias de forma simultánea.
• 1 copia fuera de las instalaciones: geográficamente separada de tu sitio principal, idealmente en un dominio de amenazas distinto y, cuando proceda, en una jurisdicción regulatoria diferente.

Lo que ha cambiado desde que se formuló la regla por primera vez es la interpretación. Dos regiones de nube del mismo proveedor no constituyen «dos medios diferentes». Un volumen de backup en una SAN situada junto a tu cabina de producción no está, en sentido real, «fuera de las instalaciones». El modelado de amenazas empresarial moderno exige una lectura más estricta de cada requisito.

El «1-1»: fuera de las instalaciones e inmutable o aislada por air-gap

Los dos «1» abordan dominios de fallo distintos.

El primero exige que una copia se almacene fuera de las instalaciones: geográficamente separada del entorno principal, de modo que un incidente a nivel de sede, un fallo de infraestructura o un desastre físico no puedan eliminar todas las opciones de recuperación a la vez.

El segundo exige que al menos una copia adicional esté protegida frente a modificación o destrucción mediante inmutabilidad, air-gap o un mecanismo de aislamiento equivalente. Su propósito es distinto: la separación geográfica protege frente al fallo de una ubicación, mientras que la inmutabilidad o el aislamiento protegen frente a un atacante que ya ha obtenido acceso administrativo.

Estos requisitos pueden solaparse en la implementación. Una copia fuera de las instalaciones también puede ser inmutable, y los entornos maduros pueden mantener tanto un nivel de recuperación inmutable como una copia offline o aislada por air-gap más profunda. Lo relevante es que la geografía por sí sola no se trate como aislamiento de seguridad.

Esta distinción explica además por qué la inmutabilidad aparece entre los cinco principios de seguridad de la Regla de Fibonacci. El «1» numérico define un requisito mínimo de protección para una copia de backup; el principio de seguridad exige que la inmutabilidad se considere en toda la arquitectura, incluidos los controles de retención, el acceso administrativo, la separación de identidades y el plano de gestión.

El «0»: cero tolerancia con los backups sin verificar

Cada backup verificado. Cada restauración probada. Cada brecha documentada y cerrada.

El «0» es la capa de disciplina operativa del marco. Exige rigor: sumas de verificación automatizadas, validación programada de restauraciones, detección de anomalías en los metadatos de los trabajos de backup (un aumento repentino del tamaño de un trabajo puede indicar la preparación previa al cifrado por parte de un actor de amenazas), monitorización del comportamiento de la actividad administrativa de backup y rutas de escalado claras cuando la verificación falla.

Los datos respaldan esta disciplina: las organizaciones que monitorizaron la telemetría de sus sistemas de backup —no solo las tasas de éxito— detectaron la actividad de los adversarios antes y contuvieron los incidentes más rápido. Cero errores no es una métrica de vanidad. Es la diferencia entre la confianza y la falsa confianza en el momento en que esa distinción más importa.

Qué significa esto para los responsables de riesgos empresariales

Si tu organización opera con una estrategia de backup diseñada para un panorama de amenazas diferente, la brecha entre lo que tienes y lo que necesitas ya no es algo académico. Considera la realidad financiera:

• Se produce un incidente de ransomware aproximadamente cada 19 segundos a escala mundial.
• El pago medio de ransomware en 2025 fue de aproximadamente 1 millón de dólares, con costes de recuperación que promediaron 1,53 millones de dólares adicionales.
• El 64% de las organizaciones víctimas se negaron a pagar en 2025 —un récord— porque unas arquitecturas de backup mejoradas les ofrecieron una alternativa creíble. El otro 36% no tuvo esa opción.

Para las empresas que operan en sectores regulados o que gestionan patrimonios híbridos complejos, el cálculo es aún más contundente. La pérdida material de datos conlleva ahora obligaciones de notificación directas en virtud de las normas de divulgación cibernética de la SEC, el RGPD, DORA y una lista creciente de marcos sectoriales específicos. El coste de un incidente irrecuperable ya no es solo operativo: es reputacional, regulatorio y cada vez más personal para la alta dirección.

Implementar la Regla de Fibonacci no requiere reconstruir tu infraestructura desde cero. Requiere una evaluación arquitectónica honesta, una remediación priorizada frente a un conjunto de principios claro y un compromiso de gobernanza para tratar la seguridad de los backups como una disciplina integrada, no como una partida de compra.

Dónde entra BackupSec

En BackupSec ayudamos a los equipos empresariales a operar sus entornos de backup conforme a los principios anteriores, no reemplazando su plataforma de backup, sino haciendo que la seguridad de los backups sea observable, asesorable y demostrable.

Nuestro enfoque combina tres capas, cada una de las cuales aborda una brecha diferente de la Regla de Fibonacci:

• ZeroMON ofrece observabilidad continua sobre todo el patrimonio de backup: monitorización preparada para Veeam con seguimiento de trabajos en tiempo real, comprobaciones de seguridad automatizadas, registros de auditoría forenses para las desviaciones de configuración e informes de cumplimiento con un solo clic. Esta es la capa operativa que convierte el requisito de «0 errores» del marco de una aspiración en una evidencia.
• ZeroTAM proporciona asesoría experta dedicada para la arquitectura de backup, la planificación de capacidad, la estrategia de recuperación ante ransomware y la respuesta a crisis: la capa humana que la mayoría de las empresas necesitan para interpretar lo que su entorno de backup les está diciendo en realidad.
• ZeroPEN somete tu infraestructura de backup a pruebas de penetración como lo haría un adversario real —apuntando a los planos de gestión, los controles de acceso, los ajustes de inmutabilidad y la postura de aislamiento— y después ejecuta escenarios reales de restauración para validar que puedes recuperarte de forma limpia, completa y dentro del RTO que has establecido.

BackupSec se despliega on-premise, se conecta a tus aplicaciones de backup mediante acceso API de solo lectura y nunca mueve los datos de backup fuera de tu entorno. Tanto si estás modernizando una arquitectura 3-2-1 heredada, validando tu implementación actual de 3-2-1-1-0 frente a modelos de amenazas modernos o demostrando la preparación para la recuperación ante auditores y el consejo, el enfoque de tres capas está diseñado para dar a los equipos empresariales la visibilidad, la orientación y las evidencias que el marco exige.

Habla con BackupSec sobre la postura de seguridad de tus backups →

¿Listo para evaluar la postura de seguridad de los backups de tu organización frente a la Regla de Fibonacci de la Seguridad de Backups? Ponte en contacto con BackupSec →