Qué dice realmente la regla 3-2-1-1-0
La regla 3-2-1-1-0 es una fórmula de protección de datos que establece cuántas copias de sus datos debe conservar, en qué tipo de soporte y cómo demostrar que realmente funcionan:
- 3 copias de sus datos: la copia de producción más al menos dos copias de seguridad.
- 2 soportes o plataformas de almacenamiento diferentes, de modo que un único fallo tecnológico o una caída de proveedor no puedan destruir todas las copias a la vez.
- 1 copia almacenada fuera de las instalaciones (offsite), separada geográficamente del emplazamiento principal.
- 1 copia adicional que sea inmutable o con air gap: inaccesible o inmodificable incluso para un atacante con credenciales administrativas.
- 0 errores: todas las copias de seguridad verificadas y todas las restauraciones probadas, no simplemente asumidas como funcionales.
A primera vista parece una progresión natural, pero los dos dígitos adicionales —el segundo «1» y el «0»— no formaban parte de la fórmula original. Se añadieron años más tarde, como respuesta directa a que el ransomware aprendió a atacar específicamente las copias de seguridad. Entender por qué se añadieron dice más sobre la estrategia de backup moderna que la lista de comprobación por sí sola.
De dónde viene la regla
La parte «3-2-1» del nombre es completamente anterior al ransomware. El fotógrafo Peter Krogh acuñó la expresión en su libro de 2006 The DAM Book: Digital Asset Management for Photographers, destilando un conjunto de prácticas que había observado entre profesionales de TI en una fórmula lo bastante sencilla como para que los fotógrafos en activo —que de repente eran responsables de archivos digitales irremplazables sin ser administradores de sistemas— pudieran seguirla de verdad. Krogh no inventó la idea subyacente de las copias redundantes y externas; le dio un nombre fácil de recordar. La regla se le atribuyó formalmente más tarde, en una publicación de US-CERT de 2012 sobre opciones de backup de datos, momento en el que ya se había convertido en la recomendación por defecto en toda la TI empresarial, y hoy sigue siendo una base respaldada tanto por CISA como por NIST.
La regla 3-2-1 original se diseñó para las amenazas de su época: fallos de disco, incendios, inundaciones, robos y eliminaciones accidentales. Su premisa central era que ningún evento físico aislado podía destruir de forma plausible tres copias de datos repartidas en dos tipos de soporte y dos ubicaciones. Durante aproximadamente una década, esa premisa se mantuvo.
Por qué el 3-2-1 por sí solo dejó de ser suficiente
La premisa se rompió cuando los operadores de ransomware empezaron a tratar la infraestructura de backup como un objetivo principal en lugar de un obstáculo que rodear. Tres copias en dos tipos de soporte con una externa siguen cumpliendo plenamente el 3-2-1 aunque las tres copias sean accesibles desde el mismo conjunto de credenciales de producción comprometidas, que es exactamente el escenario que buscan los grupos de ransomware actuales.
La magnitud del cambio es contundente. El informe 2025 Ransomware Trends de Veeam encontró que el 89% de las víctimas de ransomware tuvo sus repositorios de backup como objetivo directo durante el ataque, entre las 1,300 organizaciones encuestadas. El informe State of Ransomware 2025 de Sophos registró la tasa de recuperación de backup más baja en los seis años que lleva realizándose la encuesta: solo el 54% de las organizaciones pudo utilizar copias de seguridad para restaurar sus datos, y entre las que terminaron pagando más de lo que exigía originalmente el atacante, el 38% citó copias de seguridad fallidas o defectuosas como causa directa.
Tres copias separadas geográficamente no hacen nada por detener a un atacante que ya tiene las credenciales para eliminar las tres. Esa es precisamente la brecha que los dos dígitos adicionales se diseñaron para cerrar.
El «1» adicional: una copia a la que el atacante realmente no puede llegar
El «1» adicional exige al menos una copia que sea inmutable —protegida frente a la modificación o eliminación durante un periodo de retención definido, normalmente mediante bloqueo de objetos en almacenamiento en la nube, hardware Write Once Read Many (WORM) o un repositorio reforzado con la retención aplicada a nivel de almacenamiento— o con air gap, es decir, sin ninguna ruta de red permanente desde la producción.
Es un requisito más estricto de lo que parece a primera vista. Dos regiones en la nube del mismo proveedor, ambas accesibles con la misma cuenta administrativa, no lo cumplen: la separación geográfica sin separación de credenciales no es una protección real frente a un atacante que ya cuenta con privilegios de administrador de dominio. Las implementaciones genuinas suelen combinar almacenamiento inmutable en la nube, para una recuperación rápida, con una copia offline o con air gap más profunda para el peor escenario posible, aquel en el que incluso el plano de gestión del nivel inmutable se ha visto comprometido.
La guía de CISA sobre ransomware es explícita al señalar que las copias de seguridad offline y cifradas deben tratarse como la última línea de defensa precisamente porque quedan fuera del radio de alcance de una identidad comprometida.
El «0»: demostrar que la copia de seguridad realmente funciona
El «0» es la mitad operativa de la regla, y la que las organizaciones más suelen saltarse. Exige cero copias de seguridad sin verificar: toda copia de seguridad comprobada en su integridad, toda ruta de restauración probada periódicamente de principio a fin, no solo monitorizada en busca de una notificación verde de «trabajo completado con éxito».
La brecha entre los trabajos de backup que informan de éxito y las restauraciones que realmente funcionan es amplia y está bien documentada. Una encuesta del sector de 2025 encontró que el 62% de las organizaciones no realiza pruebas periódicas de backup y restauración, y que el 37% no pudo recuperarse dentro de su objetivo de tiempo de recuperación exigido, específicamente porque faltaban copias de seguridad o nunca se habían validado. Cuando se intentan restauraciones sin un escaneo adecuado de integridad y de malware, se estima que el 63% de las organizaciones corre el riesgo de reintroducir la misma infección que causó la interrupción en primer lugar, convirtiendo un intento de recuperación en un segundo incidente.
El «0» existe porque una copia de seguridad que nunca se ha restaurado no es un control, es una suposición. La verificación, realizada de forma programada y medida frente a objetivos de tiempo de recuperación realistas, es lo que convierte esa suposición en un hecho en el que se puede confiar durante un incidente real.
Errores comunes al implementar el 3-2-1-1-0
- Contar dos regiones en la nube como «dos soportes». La diversidad de tipos de soporte implica tecnologías o plataformas de almacenamiento genuinamente diferentes, no dos instancias del mismo almacén de objetos.
- Dar por satisfecho el «1» adicional con cualquier copia externa. Lo externo (offsite) resuelve la geografía; lo inmutable o con air gap resuelve el compromiso de credenciales. Una copia externa que cumple la regla pero comparte plano de identidad con la producción no cierra la brecha que motivó añadir el dígito.
- Saltarse el «0» porque los trabajos de backup se muestran en verde. Un trabajo de backup exitoso confirma que los datos se escribieron. No confirma que esos datos sean restaurables, consistentes a nivel de aplicación ni que estén libres del malware que hará necesaria la restauración.
- Aplicar la regla de manera uniforme sin tener en cuenta la criticidad de los datos. Los sistemas de nivel uno generalmente requieren una verificación más frecuente y RTO más cortos que los datos de archivo; una única política de retención y pruebas para todo el entorno suele desproteger los sistemas que más importan y gastar de más en los que no.
¿Sigue siendo suficiente el 3-2-1-1-0 en 2026?
Para la mayoría de las organizaciones, implementar correctamente el 3-2-1-1-0 —con el «1» y el «0» adicionales realmente aplicados, no simplemente marcados como cumplidos— cierra la mayor parte de la brecha que permitió que el ransomware empezara a atacar las copias de seguridad en primer lugar. Sigue siendo una base operativa sólida, y tanto CISA como NIST continúan respaldándola como tal.
Donde se queda corta es en la arquitectura: el 3-2-1-1-0 responde a «cuántas copias, dónde y en qué estado», pero no dice nada sobre la gobernanza de accesos, la segmentación de red y la monitorización continua que determinan si esas copias siguen así bajo un ataque. Esa es la brecha que la propia Regla Fibonacci de Seguridad de Backup de BackupSec (5-3-2-1-1-0) está diseñada para cerrar, añadiendo cinco principios de seguridad fundamentales debajo de la misma fórmula de recuento de copias. Aun así, para una organización que apenas está implementando el 3-2-1-1-0 de forma completa y verificable, eso es un siguiente paso, no un requisito previo.
Aquí es donde entra BackupSec
En BackupSec, ayudamos a los equipos de las empresas a verificar que su implementación del 3-2-1-1-0 es real, no solo documentada, haciendo que la seguridad de backup sea observable, asesorable y demostrable.
Nuestro enfoque combina tres capas:
- ZeroMON ofrece observabilidad continua sobre todo el entorno de backup: monitorización lista para Veeam con seguimiento de trabajos en tiempo real, comprobaciones de seguridad automatizadas, registros de auditoría forense para detectar desviaciones de configuración e informes de cumplimiento con un solo clic. Esta es la capa que convierte el requisito de «0 errores» de la regla de una esperanza en una evidencia.
- ZeroTAM proporciona asesoramiento experto dedicado sobre arquitectura de backup, configuración de inmutabilidad y planificación de recuperación ante ransomware: la capa humana que la mayoría de las empresas necesita para confirmar que su «1» adicional está genuinamente aislado, no solo geográficamente distante.
- ZeroPEN somete su infraestructura de backup a pruebas de penetración tal y como lo haría un adversario real —apuntando a los planos de gestión, los controles de acceso y la configuración de inmutabilidad— y después ejecuta escenarios de restauración reales para demostrar que puede recuperarse de forma limpia, completa y dentro del RTO establecido.
BackupSec se implementa on-premise, se conecta a sus aplicaciones de backup mediante acceso de API de solo lectura y nunca traslada los datos de backup fuera de su entorno.
Hable con BackupSec sobre su postura de seguridad de backup →
¿Quiere ver cómo se posiciona su propio entorno? Evalúelo con la evaluación gratuita de seguridad de backup.