Qué dice realmente la regla 3-2-1-1-0
La regla 3-2-1-1-0 es una fórmula de protección de datos que indica cuántas copias de sus datos conservar, en qué tipo de soporte y cómo demostrar que realmente funcionan:
- 3 copias de sus datos: la copia de producción más al menos dos copias de seguridad.
- 2 soportes o plataformas de almacenamiento distintos, para que un único fallo tecnológico o una caída de un proveedor no pueda destruir todas las copias a la vez.
- 1 copia almacenada fuera de las instalaciones, separada geográficamente del sitio principal.
- 1 copia adicional inmutable o con air gap, para que no se pueda modificar ni alcanzar, ni siquiera por un atacante con credenciales administrativas.
- 0 errores: cada copia de seguridad verificada y las restauraciones probadas, no simplemente dadas por buenas.
Los tres primeros dígitos son la regla 3-2-1 clásica. El segundo "1" y el "0" llegaron después. Veeam dice que "extended the rule to 3-2-1-1-0" (amplió la regla a 3-2-1-1-0), y explica directamente el motivo de la copia adicional: "ransomware increasingly targets backups" (el ransomware ataca cada vez más las copias de seguridad). Entender por qué se añadieron esos dos dígitos explica más sobre la estrategia de backup actual que la lista de comprobación por sí sola.
De dónde viene la regla
La parte "3-2-1" del nombre es anterior a que el ransomware se convirtiera en una amenaza generalizada. Se atribuye al fotógrafo Peter Krogh y a su libro The DAM Book: Digital Asset Management for Photographers. Krogh no inventó la idea de las copias redundantes fuera de las instalaciones; le dio un nombre lo bastante sencillo como para recordarlo.
Un documento de 2012 redactado para US-CERT, Data Backup Options, es la referencia habitual. Enuncia la regla como "Keep 3 copies of any important file: 1 primary and 2 backups" (conserve 3 copias de cualquier archivo importante: 1 principal y 2 copias de seguridad), "Keep the files on 2 different media types to protect against different types of hazards" (conserve los archivos en 2 tipos de soporte distintos para protegerse de distintos tipos de riesgos) y "Store 1 copy offsite" (guarde 1 copia fuera de las instalaciones), y cita como fuente la segunda edición del libro de Krogh, de 2009.
Los mismos fundamentos siguen presentes en las directrices actuales. El Cybersecurity Framework 2.0 del NIST incluye el resultado "Backups of data are created, protected, maintained, and tested" (las copias de seguridad de los datos se crean, protegen, mantienen y prueban) (PR.DS-11). La #StopRansomware Guide de CISA indica a las organizaciones que "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario" (mantengan copias de seguridad cifradas y desconectadas de los datos críticos, y prueben periódicamente su disponibilidad e integridad en un escenario de recuperación ante desastres).
La regla 3-2-1 original se diseñó para las amenazas de su época: fallos de disco, incendios, inundaciones, robos y eliminaciones accidentales. Su supuesto central era que ningún evento físico aislado podía, de forma plausible, destruir tres copias de datos repartidas entre dos tipos de soporte y dos ubicaciones.
Por qué 3-2-1 dejó de ser suficiente por sí sola
El supuesto se rompió cuando los operadores de ransomware empezaron a tratar la infraestructura de backup como un objetivo principal en lugar de como un obstáculo que sortear. Tres copias en dos tipos de soporte con una fuera de las instalaciones cumplen plenamente la regla 3-2-1 aunque las tres sean accesibles con el mismo conjunto de credenciales comprometidas. Ese es exactamente el escenario que buscan los grupos de ransomware actuales. La guía de CISA lo dice claramente: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid" (la mayoría de los actores de ransomware intentan encontrar y después eliminar o cifrar las copias de seguridad accesibles para que la restauración sea imposible a menos que se pague el rescate).
Los datos de las encuestas apuntan en la misma dirección. El 2025 Ransomware Trends report de Veeam, basado en una encuesta a 1.300 organizaciones, 900 de las cuales habían sufrido un ataque de ransomware en los 12 meses anteriores, concluyó que el 89 % de las organizaciones atacadas vio cómo el actor de amenazas tenía como objetivo sus repositorios de backup, y que, de media, el 34 % de sus repositorios de backup fue modificado o eliminado. El State of Ransomware 2025 de Sophos, una encuesta a 3.400 responsables de TI y ciberseguridad cuyas organizaciones sufrieron un ataque de ransomware, halló que solo el 54 % de las organizaciones cuyos datos fueron cifrados los restauró a partir de copias de seguridad, lo que Sophos califica como la tasa más baja en seis años. De las 151 organizaciones de esa encuesta que pagaron más que la demanda inicial del atacante, el 38 % dijo que sus copias de seguridad habían fallado o no funcionaban correctamente.
Tres copias separadas geográficamente no sirven de nada para detener a un atacante que ya tiene las credenciales para eliminar las tres. Esa es la brecha que los dos dígitos adicionales se diseñaron para cerrar.
El "1" adicional: una copia que los atacantes realmente no pueden alcanzar
El "1" adicional exige al menos una copia que sea inmutable o esté protegida por air gap. Inmutable significa protegida frente a la modificación o la eliminación durante un periodo de retención definido, normalmente mediante Object Lock en almacenamiento de objetos en la nube, hardware Write Once Read Many (WORM) o un repositorio reforzado (hardened repository) que aplica la retención en la capa de almacenamiento. Con air gap significa que no existe ninguna ruta de red permanente desde producción hasta la copia.
Es un requisito más estricto de lo que parece a primera vista. Dos regiones de nube del mismo proveedor, ambas accesibles con la misma cuenta administrativa, no lo cumplen: la separación geográfica sin separación de credenciales no le protege de un atacante que ya tiene privilegios de administrador de dominio. CISA hace una observación relacionada sobre las copias de seguridad en la nube y sugiere un enfoque multinube "in case all accounts under the same vendor are impacted" (por si se ven afectadas todas las cuentas de un mismo proveedor). Las implementaciones más sólidas suelen combinar almacenamiento inmutable en la nube para una recuperación rápida con una copia desconectada o con air gap para el peor de los casos, en el que incluso el plano de gestión del nivel inmutable ha quedado comprometido.
La inmutabilidad tiene sus propias contrapartidas. La guía de CISA señala que algunos proveedores de nube ofrecen almacenamiento inmutable que protege los datos sin un entorno separado, y añade una advertencia: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost" (use el almacenamiento inmutable con precaución, ya que no cumple los criterios de cumplimiento de determinadas normativas y una configuración incorrecta puede suponer un costo considerable).
El "0": demostrar que la copia de seguridad realmente funciona
El "0" es la mitad operativa de la regla, y la más fácil de saltarse. Exige cero copias sin verificar: cada copia de seguridad comprobada en cuanto a su integridad y cada vía de restauración probada periódicamente de principio a fin, no solo vigilada a la espera de una notificación verde de "trabajo completado correctamente". Veeam describe este dígito como "zero recovery errors" (cero errores de recuperación); la versión de CISA es "regularly test the availability and integrity of backups" (probar periódicamente la disponibilidad y la integridad de las copias de seguridad).
Un trabajo de backup completado correctamente y una restauración limpia son cosas distintas. El 2024 Ransomware Trends report de Veeam concluyó que solo el 37 % de las organizaciones atacadas que encuestó utilizó algún tipo de sandbox durante la recuperación. Sin una zona de preparación en la que se analicen los datos recuperados antes de devolverlos a producción, una restauración puede traer de vuelta el malware del atacante y convertir una recuperación en un segundo incidente.
El "0" existe porque una copia de seguridad que nunca se ha restaurado no es un control. Es una suposición. La verificación, realizada según un calendario y medida frente a objetivos de tiempo de recuperación realistas, es lo que convierte esa suposición en un hecho en el que se puede confiar durante un incidente real.
Errores habituales al implementar 3-2-1-1-0
- Contar dos regiones de nube como "dos soportes". La diversidad de soportes significa tecnologías o plataformas de almacenamiento realmente diferentes, no dos instancias del mismo almacén de objetos.
- Dar por cumplido el "1" adicional con cualquier copia fuera de las instalaciones. Fuera de las instalaciones responde a la geografía; inmutable o con air gap responde al compromiso de credenciales. Una copia fuera de las instalaciones que cumple la regla pero comparte plano de identidad con producción no cierra la brecha que motivó añadir el dígito.
- Saltarse el "0" porque los trabajos de backup aparecen en verde. Un trabajo de backup completado correctamente confirma que los datos se escribieron. No confirma que se puedan restaurar, que sean coherentes a nivel de aplicación ni que estén libres del malware que obligará a restaurar.
- Aplicar la regla de forma uniforme sin tener en cuenta la criticidad de los datos. Los sistemas de nivel 1 suelen justificar una verificación más frecuente y RTO más cortos que los datos de archivo; una única política de retención y pruebas para todo el entorno suele proteger poco los sistemas que más importan y gastar de más en los que no.
¿Sigue bastando 3-2-1-1-0 en 2026?
Para la mayoría de las organizaciones, implementar correctamente 3-2-1-1-0 cierra una parte importante de la brecha que permite al ransomware convertir la infraestructura de backup en un objetivo. Correctamente significa que la copia inmutable o aislada y la verificación de la recuperación se aplican de verdad, no solo se marcan como hechas.
Sigue siendo una base operativa sólida. Veeam defiende explícitamente el modelo 3-2-1-1-0. El NIST y CISA refuerzan los controles subyacentes: copias de seguridad protegidas, copias desconectadas y pruebas periódicas. CISA también menciona el almacenamiento inmutable como opción, con las salvedades citadas más arriba.
Donde la regla se queda corta no es en la redundancia, sino en la arquitectura de seguridad que la rodea. Nos dice cuántas copias mantener, dónde deben existir y en qué estado deben estar. No define por completo la gobernanza del acceso, los límites de confianza administrativa, la segmentación de red, la monitoreo ni la arquitectura de recuperación necesarios para mantener protegidas esas copias durante un compromiso activo.
Esa es la brecha que la regla Fibonacci de la seguridad del backup (5-3-2-1-1-0) de BackupSec pretende abordar. No sustituye a 3-2-1-1-0; la amplía con cinco principios de seguridad fundamentales.
Para las organizaciones que todavía trabajan en una estrategia 3-2-1-1-0 implementada por completo y verificada con regularidad, esa base es lo primero. La regla Fibonacci es la capa de arquitectura que se construye sobre ella.
El papel de BackupSec
BackupSec trabaja en la parte de Veeam de este problema. Cuatro de nuestros servicios se corresponden con la regla:
- ZeroMON monitorea Veeam Backup & Replication. Se ejecuta on-premises como OVA, se conecta con una cuenta de solo lectura y no envía nada a BackupSec ni a terceros. Supervisa el estado de los trabajos, registra los cambios de configuración (quién cambió qué y cuándo), ejecuta una lista de comprobación de seguridad y muestra el estado de inmutabilidad que Veeam indica a partir de su propia configuración de repositorios. Las alertas llegan por correo electrónico y como notificación dentro de la aplicación. ZeroMON lee la configuración de Veeam; no verifica los bloqueos en el propio almacenamiento ni ejecuta pruebas de restauración. Le avisa cuando cambian las condiciones que sostienen su "1" y su "0"; las pruebas de restauración son una tarea aparte.
- ZeroVault es almacenamiento de objetos en la nube compatible con S3 con Object Lock, que se utiliza como destino inmutable fuera de las instalaciones para las copias de seguridad de Veeam. A diferencia de ZeroMON, conserva datos de backup fuera de su entorno por diseño, porque eso es precisamente una copia fuera de las instalaciones.
- ZeroTAM le ofrece un asesor dedicado de seguridad de backup para arquitectura, capacidad, planificación de la recuperación ante ransomware y soporte prioritario en caso de crisis. Es un trabajo de asesoramiento, no un software: la persona a la que preguntar si su "1" adicional está realmente aislado o solo está lejos.
- ZeroPEN es una prueba de penetración guiada por amenazas de Veeam Backup & Replication, Veeam ONE y Enterprise Manager. Simula una kill chain de ransomware en ocho fases alineadas con MITRE ATT&CK, desde el acceso inicial, pasando por el acceso a repositorios y la neutralización de las copias de seguridad, hasta la prueba de capacidad de cifrado. No es destructivo: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (nunca elimina copias de seguridad reales, no realiza cifrado real ni detiene servicios de producción o de backup). El servicio también incluye la verificación de la integridad de la restauración y de la inmutabilidad, termina con un paquete de informes listo para auditoría e incluye una nueva prueba de los hallazgos críticos.
Hable con BackupSec sobre la postura de seguridad de su backup →
¿Prefiere hacer antes una comprobación rápida? La Backup Security Assessment gratuita plantea 28 preguntas en siete áreas, desde la estrategia de backup y el control de acceso hasta las pruebas de recuperación.