La regla 3-2-1-1-0, explicada | BackupSec Knowledge Base
2 de agosto de 2026·7 min de lectura
La regla 3-2-1-1-0, explicada
La clásica regla 3-2-1 sumó dos dígitos por una razón. Esto es lo que te aportan el 1 y el 0 adicionales.
por BackupSec Team
Qué dice realmente la regla 3-2-1-1-0
La regla 3-2-1-1-0 es una fórmula de protección de datos que establece cuántas copias de sus datos debe conservar, en qué tipo de soporte y cómo demostrar que realmente funcionan:
3 copias de sus datos: la copia de producción más al menos dos copias de seguridad.
2 soportes o plataformas de almacenamiento diferentes, de modo que un único fallo tecnológico o una caída de proveedor no puedan destruir todas las copias a la vez.
1 copia almacenada fuera de las instalaciones (offsite), separada geográficamente del emplazamiento principal.
1 copia adicional que sea inmutable o con air gap: inaccesible o inmodificable incluso para un atacante con credenciales administrativas.
0 errores: todas las copias de seguridad verificadas y todas las restauraciones probadas, no simplemente asumidas como funcionales.
A primera vista parece una progresión natural, pero los dos dígitos adicionales —el segundo «1» y el «0»— no formaban parte de la fórmula original. Se añadieron años más tarde, como respuesta directa a que el ransomware aprendió a atacar específicamente las copias de seguridad. Entender por qué se añadieron dice más sobre la estrategia de backup moderna que la lista de comprobación por sí sola.
De dónde viene la regla
La parte «3-2-1» del nombre es completamente anterior al ransomware. El fotógrafo Peter Krogh acuñó la expresión en su libro de 2006 The DAM Book: Digital Asset Management for Photographers, destilando un conjunto de prácticas que había observado entre profesionales de TI en una fórmula lo bastante sencilla como para que los fotógrafos en activo —que de repente eran responsables de archivos digitales irremplazables sin ser administradores de sistemas— pudieran seguirla de verdad. Krogh no inventó la idea subyacente de las copias redundantes y externas; le dio un nombre fácil de recordar. La regla se le atribuyó formalmente más tarde, en una publicación de US-CERT de 2012 sobre opciones de backup de datos, momento en el que ya se había convertido en la recomendación por defecto en toda la TI empresarial, y las prácticas que recoge —múltiples copias, diversidad de soportes y una copia fuera de las instalaciones— siguen presentes hoy en las guías de backup de CISA y NIST.
La regla 3-2-1 original se diseñó para las amenazas de su época: fallos de disco, incendios, inundaciones, robos y eliminaciones accidentales. Su premisa central era que ningún evento físico aislado podía destruir de forma plausible tres copias de datos repartidas en dos tipos de soporte y dos ubicaciones. Durante aproximadamente una década, esa premisa se mantuvo.
Por qué el 3-2-1 por sí solo dejó de ser suficiente
La premisa se rompió cuando los operadores de ransomware empezaron a tratar la infraestructura de backup como un objetivo principal en lugar de un obstáculo que rodear. Tres copias en dos tipos de soporte con una externa siguen cumpliendo plenamente el 3-2-1 aunque las tres copias sean accesibles desde el mismo conjunto de credenciales de producción comprometidas, que es exactamente el escenario que buscan los grupos de ransomware actuales.
La magnitud del cambio es contundente. El informe 2025 Ransomware Trends de Veeam encontró que el 89% de las víctimas de ransomware tuvo sus repositorios de backup como objetivo directo durante el ataque, entre las 1,300 organizaciones encuestadas. El informe State of Ransomware 2025 de Sophos registró la tasa de recuperación de backup más baja en los seis años que lleva realizándose la encuesta: solo el 54% de las organizaciones pudo utilizar copias de seguridad para restaurar sus datos, y entre las que terminaron pagando más de lo que exigía originalmente el atacante, el 38% citó copias de seguridad fallidas o defectuosas como causa directa.
Tres copias separadas geográficamente no hacen nada por detener a un atacante que ya tiene las credenciales para eliminar las tres. Esa es precisamente la brecha que los dos dígitos adicionales se diseñaron para cerrar.
El «1» adicional: una copia a la que el atacante realmente no puede llegar
El «1» adicional exige al menos una copia que sea inmutable —protegida frente a la modificación o eliminación durante un periodo de retención definido, normalmente mediante bloqueo de objetos en almacenamiento en la nube, hardware Write Once Read Many (WORM) o un repositorio reforzado con la retención aplicada a nivel de almacenamiento— o con air gap, es decir, sin ninguna ruta de red permanente desde la producción.
Es un requisito más estricto de lo que parece a primera vista. Dos regiones en la nube del mismo proveedor, ambas accesibles con la misma cuenta administrativa, no lo cumplen: la separación geográfica sin separación de credenciales no es una protección real frente a un atacante que ya cuenta con privilegios de administrador de dominio. Las implementaciones genuinas suelen combinar almacenamiento inmutable en la nube, para una recuperación rápida, con una copia offline o con air gap más profunda para el peor escenario posible, aquel en el que incluso el plano de gestión del nivel inmutable se ha visto comprometido.
La guía de CISA sobre ransomware es explícita al señalar que las copias de seguridad offline y cifradas deben tratarse como la última línea de defensa precisamente porque quedan fuera del radio de alcance de una identidad comprometida.
El «0»: demostrar que la copia de seguridad realmente funciona
El «0» es la mitad operativa de la regla, y la que las organizaciones más suelen saltarse. Exige cero copias de seguridad sin verificar: toda copia de seguridad comprobada en su integridad, toda ruta de restauración probada periódicamente de principio a fin, no solo monitorizada en busca de una notificación verde de «trabajo completado con éxito».
La brecha entre los trabajos de backup que informan de éxito y las restauraciones que realmente funcionan es amplia y está bien documentada. Una encuesta del sector de 2025 encontró que el 62% de las organizaciones no realiza pruebas periódicas de backup y restauración, y que el 37% no pudo recuperarse dentro de su objetivo de tiempo de recuperación exigido, específicamente porque faltaban copias de seguridad o nunca se habían validado. Cuando se intentan restauraciones sin un escaneo adecuado de integridad y de malware, se estima que el 63% de las organizaciones corre el riesgo de reintroducir la misma infección que causó la interrupción en primer lugar, convirtiendo un intento de recuperación en un segundo incidente.
El «0» existe porque una copia de seguridad que nunca se ha restaurado no es un control, es una suposición. La verificación, realizada de forma programada y medida frente a objetivos de tiempo de recuperación realistas, es lo que convierte esa suposición en un hecho en el que se puede confiar durante un incidente real.
Errores comunes al implementar el 3-2-1-1-0
Contar dos regiones en la nube como «dos soportes». La diversidad de tipos de soporte implica tecnologías o plataformas de almacenamiento genuinamente diferentes, no dos instancias del mismo almacén de objetos.
Dar por satisfecho el «1» adicional con cualquier copia externa. Lo externo (offsite) resuelve la geografía; lo inmutable o con air gap resuelve el compromiso de credenciales. Una copia externa que cumple la regla pero comparte plano de identidad con la producción no cierra la brecha que motivó añadir el dígito.
Saltarse el «0» porque los trabajos de backup se muestran en verde. Un trabajo de backup exitoso confirma que los datos se escribieron. No confirma que esos datos sean restaurables, consistentes a nivel de aplicación ni que estén libres del malware que hará necesaria la restauración.
Aplicar la regla de manera uniforme sin tener en cuenta la criticidad de los datos. Los sistemas de nivel uno generalmente requieren una verificación más frecuente y RTO más cortos que los datos de archivo; una única política de retención y pruebas para todo el entorno suele desproteger los sistemas que más importan y gastar de más en los que no.
¿Sigue siendo suficiente el 3-2-1-1-0 en 2026?
Para la mayoría de las organizaciones, implementar correctamente el 3-2-1-1-0 —con la copia adicional inmutable o aislada y la verificación de la recuperación realmente aplicadas, no simplemente marcadas como cumplidas— cierra una parte significativa de la brecha que permite al ransomware convertir la infraestructura de backup en un objetivo.
Sigue siendo una base operativa sólida. Veeam promueve explícitamente el modelo 3-2-1-1-0, mientras que las guías de CISA y NIST refuerzan los controles subyacentes: múltiples copias, backups sin conexión o aislados, inmutabilidad donde corresponda y pruebas de recuperación periódicas.
Donde la regla se queda corta no es en la redundancia, sino en la arquitectura de seguridad que la rodea. Nos dice cuántas copias mantener, dónde deben existir y en qué estado. No define por completo la gobernanza de accesos, los límites de confianza administrativa, la segmentación de red, la monitorización ni la arquitectura de recuperación necesarias para mantener esas copias protegidas durante un compromiso activo.
Esa es la brecha que la Regla Fibonacci de Seguridad de Backup de BackupSec (5-3-2-1-1-0) está diseñada para abordar. No sustituye al 3-2-1-1-0: lo amplía con cinco principios de seguridad fundamentales.
Para las organizaciones que todavía están trabajando en una estrategia 3-2-1-1-0 plenamente implementada y verificada con regularidad, esa base va primero. La Regla Fibonacci es la capa arquitectónica que se construye sobre ella.
Aquí es donde entra BackupSec
En BackupSec, ayudamos a los equipos de las empresas a verificar que su implementación del 3-2-1-1-0 es real, no solo documentada, haciendo que la seguridad de backup sea observable, asesorable y demostrable.
Nuestro enfoque combina tres capas:
ZeroMON ofrece observabilidad continua sobre todo el entorno de backup: monitorización lista para Veeam con seguimiento de trabajos en tiempo real, comprobaciones de seguridad automatizadas, registros de auditoría forense para detectar desviaciones de configuración e informes de cumplimiento con un solo clic. Esta es la capa que convierte el requisito de «0 errores» de la regla de una esperanza en una evidencia.
ZeroTAM proporciona asesoramiento experto dedicado sobre arquitectura de backup, configuración de inmutabilidad y planificación de recuperación ante ransomware: la capa humana que la mayoría de las empresas necesita para confirmar que su «1» adicional está genuinamente aislado, no solo geográficamente distante.
ZeroPEN somete su infraestructura de backup a pruebas de penetración tal y como lo haría un adversario real —apuntando a los planos de gestión, los controles de acceso y la configuración de inmutabilidad— y después ejecuta escenarios de restauración reales para demostrar que puede recuperarse de forma limpia, completa y dentro del RTO establecido.
BackupSec se implementa on-premise, se conecta a sus aplicaciones de backup mediante acceso de API de solo lectura y nunca traslada los datos de backup fuera de su entorno.
¿Quiere ver cómo se posiciona su propio entorno? Evalúelo con la evaluación gratuita de seguridad de backup.
Preguntas frecuentes
¿Qué es la regla de backup 3-2-1-1-0?
La regla 3-2-1-1-0 significa: 3 copias de sus datos, en 2 soportes diferentes, con 1 copia fuera de las instalaciones, 1 copia adicional que sea inmutable o con air gap, y 0 errores verificados mediante pruebas periódicas de recuperación de backup. Extiende la clásica regla 3-2-1 para defenderse específicamente del ransomware y de la corrupción silenciosa de las copias de seguridad.
¿Por qué el 3-2-1 se convirtió en 3-2-1-1-0?
Porque el ransomware empezó a atacar directamente los repositorios de backup: la investigación de Veeam de 2025 encontró que el 89% de las víctimas de ransomware tuvo sus copias de seguridad como objetivo. El «1» adicional añade una copia inmutable o con air gap que un atacante con credenciales de producción no puede tocar, y el «0» convierte la verificación de la recuperación en un paso obligatorio, de modo que se descubre que una copia de seguridad no es recuperable antes de un desastre, no durante uno.
¿Quién creó la regla de backup 3-2-1?
El fotógrafo Peter Krogh acuñó la expresión «3-2-1» en su libro de 2006 The DAM Book: Digital Asset Management for Photographers, destilando en una fórmula sencilla las prácticas de backup redundante que había observado entre profesionales de TI. Más tarde se le atribuyó formalmente en una publicación de US-CERT de 2012, y las prácticas que recoge siguen presentes en las guías de backup de CISA y NIST.
¿Es una copia externa (offsite) lo mismo que una copia inmutable?
No. Lo externo resuelve la geografía: protege frente a un incendio, una inundación o una interrupción a nivel de instalación. Lo inmutable resuelve el compromiso de credenciales: protege frente a un atacante que ya cuenta con acceso administrativo válido. Una copia puede estar fuera de las instalaciones y seguir siendo totalmente accesible y eliminable por una cuenta de administrador comprometida, que es exactamente la razón por la que el 3-2-1-1-0 añadió la inmutabilidad como un requisito adicional independiente, en lugar de darla por satisfecha automáticamente con la geografía.
¿Sigue siendo suficiente la regla 3-2-1-1-0 en 2026?
Como base operativa para la redundancia de backups, la diversidad de soportes, el aislamiento y la verificación de la recuperación, el 3-2-1-1-0 sigue siendo plenamente relevante. Veeam promueve explícitamente el modelo, mientras que las guías de CISA y NIST respaldan muchos de los controles que lo sustentan, incluidos los backups sin conexión o aislados, la inmutabilidad y las pruebas de recuperación periódicas. Lo que el 3-2-1-1-0 no define por completo es la arquitectura de seguridad que lo rodea: gobernanza de identidades y accesos, separación administrativa, segmentación de red, monitorización continua y contención del radio de impacto. La Regla Fibonacci de Seguridad de Backup de BackupSec está diseñada para extender el modelo operativo a esas áreas arquitectónicas.
