Estrategia backup 3-2-1: guía completa 2026 (regla, herramientas, configuración paso a paso)

En 2018, perdí cuatro años de investigación doctoral en una sola noche. Un único disco externo, un fallo mecánico, ninguna copia en otro lugar. La recuperación en sala limpia costó 1.200 € y sólo salvó el 60% de los archivos — el 40% restante correspondía exactamente a los capítulos más recientes, nunca impresos. En 2022, el ransomware LockBit atacó el ordenador familiar: 15 años de fotos, vídeos de nacimientos, archivos fiscales. Mi mujer lloraba. Desde entonces aplico la regla 3-2-1 con disciplina militar — Borg cifrado en NAS, backup cloud continuo con Backblaze, disco externo rotado fuera del domicilio cada trimestre. Esos dos incidentes son la razón de ser de esta guía.

¿Qué es la regla de backup 3-2-1?

La regla 3-2-1 fue formalizada en 2009 por Peter Krogh, fotógrafo profesional estadounidense y autor del libro The DAM Book: Digital Asset Management for Photographers. Krogh buscaba una regla mnemotécnica simple para fotógrafos que perdían miles de imágenes por culpa de flujos de backup deficientes. Destilando décadas de buenas prácticas informáticas en tres números.

3 copias de tus datos. El original cuenta, más dos copias de respaldo independientes. El razonamiento estadístico: la probabilidad de fallo simultáneo de tres soportes independientes es ínfima. Un HDD tiene una tasa de fallo anual (AFR) del 1,5 al 2,5% según los datos de Backblaze 2024 sobre 300.000 discos. Dos discos independientes tienen una probabilidad de fallo simultáneo del 0,02 al 0,06%. Tres discos independientes: inferior al 0,001%. Suficiente para una protección práctica.

2 soportes diferentes. Dos discos de la misma marca, modelo y lote de fabricación tienen una probabilidad de fallo correlada: un defecto de fabricación o una sobretensión los afecta a todos simultáneamente. Dos soportes de distinta naturaleza — un HDD externo y un servicio cloud, o un disco local y un NAS — eliminan esta correlación. La diversidad tecnológica es el principio.

1 copia fuera del sitio. Es el número más habitualmente descuidado y el más crítico. Una inundación, un incendio, un robo: si todas tus copias están en la misma habitación, desaparecen juntas. La copia fuera del sitio puede ser física (disco en casa de los padres, oficina secundaria) o lógica (cloud). El almacenamiento cloud ha democratizado el acceso a esta copia externa, antes reservada a empresas con grandes presupuestos.

La regla 3-2-1 no fue inventada por Peter Krogh: los principios subyacentes existen en la informática empresarial desde los años 70 con las cintas magnéticas. Lo que Krogh aportó fue una formulación pedagógica que la hace memorable para cualquiera en treinta segundos.

Por qué la regla 3-2-1 funciona contra cada riesgo

La fortaleza de la regla 3-2-1 es que cada número protege contra un riesgo distinto. Entender esta lógica es entender por qué no puedes eliminar ninguno sin crear un punto ciego.

Fallo de hardware: el 3 es suficiente. Un HDD de escritorio o portátil tiene un AFR del 1,5 al 4% según los datos de Backblaze 2024. Un SSD tiene un AFR más bajo (0,5 al 1%) pero distintos modos de fallo (corrupción silenciosa, firmware, wear leveling). Con una sola copia, cada fallo de disco es una catástrofe. Con dos copias en soportes diferentes, la probabilidad de pérdida se divide por 100. Con tres copias independientes, la protección contra fallos de hardware simples es prácticamente total.

Ransomware: la copia 1 offline es crítica. El ransomware moderno (LockBit, BlackCat, Cl0p) ataca deliberadamente los backups. Recorre la red local, cifra los recursos compartidos del NAS, los discos USB conectados y las copias de Shadow Volume de Windows. Un backup permanentemente conectado ya no es una protección contra ransomware — es simplemente una copia cifrada en espera. La copia cloud fuera del sitio con versionado (Backblaze, Wasabi, B2) o el disco físicamente desconectado son las únicas defensas efectivas. Mi disco Borg cifrado — que siempre desconecto después de cada ejecución — sobrevivió intacto al incidente LockBit 2022.

Incendio e inundación: la copia física fuera del sitio es irreemplazable. Un incendio residencial destruye de media el 85% del contenido de una habitación en los primeros 15 minutos. Un apartamento inundado cortocircuita los aparatos electrónicos en cuestión de horas. Ni el NAS del salón, ni los discos en el cajón del escritorio, ni el portátil en la mesa sobreviven. Solo una copia en un lugar separado — cloud, casa de un familiar, caja de seguridad bancaria para datos muy críticos — garantiza la continuidad.

Eliminación accidental: el versionado te salva. La regla 3-2-1 no especifica explícitamente el versionado, pero las implementaciones modernas lo incluyen. Si sobrescribes accidentalmente un archivo y tu backup cloud sincroniza la versión sobrescrita, todas tus copias están corrompidas simultáneamente — exactamente el modo de fallo de servicios de sincronización como Dropbox o Google Drive sin versionado activado. Backblaze Computer Backup conserva versiones 30 días (1 año con Extended Version History). BorgBackup conserva tantos snapshots como permita tu almacenamiento. Este versionado convierte el backup en una máquina del tiempo.

Evoluciones modernas: 3-2-1-1-0, 4-3-2 y cloud híbrido

La regla 3-2-1 de 2009 ha evolucionado para hacer frente a las amenazas modernas. Hay tres variantes establecidas.

La regla 3-2-1-1-0 (Veeam, 2012). Veeam Software, proveedor de soluciones de backup empresarial, formalizó dos adiciones críticas. El 1 extra: mantener al menos una copia offline o air-gapped — un disco físicamente desconectado o una cinta LTO fuera de línea. Este número neutraliza el ransomware de red que no puede cifrar lo que no puede ver. El 0: cero errores verificados en la última prueba de restauración. Esta es la adición prácticamente más importante, porque un backup no probado es aquel cuya funcionalidad se desconoce. Estudios del sector citados por Veeam indican que el 58% de las restauraciones fallan durante un incidente real cuando nunca se han probado en condiciones reales.

La regla 4-3-2 (fotógrafos profesionales y estudios creativos). Para los profesionales cuyos datos representan su capital empresarial — fotógrafos con archivos RAW de 50 MB por disparo, estudios de vídeo con rushes 4K, arquitectos con archivos BIM de 10 GB — la 4-3-2 añade una capa extra: 4 copias, 3 soportes, 2 fuera del sitio. La segunda copia externa suele ser un cloud secundario (Backblaze B2 + Amazon S3 Glacier) o un disco en una caja de seguridad bancaria para las capturas más valiosas. Un fotógrafo de bodas con 500 GB de RAW irrecuperables tiene una obligación económica hacia la 4-3-2.

El enfoque cloud híbrido local + cloud (estándar 2026). Para el 95% de usuarios domésticos y PYMES, el enfoque práctico en 2026 combina: un NAS local (Synology, QNAP) con RAID para redundancia de hardware + software de backup con programación (EaseUS Todo Backup, Acronis) para snapshots locales + Backblaze o Wasabi para backup cloud externo. Esta combinación cubre todos los riesgos a un coste razonable (menos de 30 €/mes para una PYME de 5 puestos con 2 TB de datos).

Herramientas recomendadas 2026: comparativa completa

EaseUS Todo Backup es la mejor opción para usuarios de Windows sin conocimientos técnicos. Crea imágenes del sistema completas (restaurables en hardware diferente mediante Universal Restore), admite backup incremental y diferencial, y programa automáticamente trabajos diarios. La edición Home a 29,95 €/año cubre un PC. La edición Workstation (59,95 €/año) añade restauración en hardware diferente. Precios verificados en easeus.com en junio de 2026.

BorgBackup destaca en entornos Linux y para fotógrafos con grandes volúmenes. La deduplicación por bloques de Borg es especialmente eficaz con archivos similares (exportaciones RAW de la misma sesión, bases de datos con pocos cambios). Un repositorio Borg de 500 GB de RAW suele ocupar entre 300 y 380 GB según los duplicados entre sesiones. Cifrado nativo ChaCha20-Poly1305 o AES-CTR disponible desde la inicialización.

Restic es superior a Borg para necesidades multi-cloud y Windows. Admite nativamente Backblaze B2, Amazon S3, Google Cloud Storage, Azure Blob, SFTP y repositorios locales — sin plugins de terceros. El comando restic backup es idéntico independientemente del backend.

Backblaze Computer Backup sigue siendo la opción externa más sencilla y barata para usuarios domésticos: instalar el cliente, olvidarse, saber que 9 USD/mes cubren un volumen ilimitado. Limitaciones clave: 1 ordenador por licencia, restauración de red lenta para volúmenes muy grandes, sin backup de directorios de red (solo discos locales).

Configuración 3-2-1 paso a paso: 3 escenarios concretos

Escenario 1 — Usuario doméstico (presupuesto ~220 €/año)

Objetivo: proteger fotos, documentos, correos, perfil Windows contra fallos, ransomware, incendio.

Hardware: disco HDD externo de 4 TB USB 3.0 (~90 €, WD Elements o Seagate Expansion) + Backblaze Computer Backup (9 USD/mes) + EaseUS Todo Backup Home (29,95 €/año).

Configuración:

1. Conectar el disco externo. En EaseUS Todo Backup, crear un trabajo "Imagen del sistema" — destino: disco externo. Programar: semanal (domingo a las 3 AM). Modo incremental con retención de 4 semanas.
2. Instalar Backblaze Computer Backup. En el primer inicio, seleccionar carpetas: Documentos, Fotos, Escritorio, carpetas de proyectos. Dejar que la subida se realice en segundo plano (contar 2 a 5 días para 100 GB según la velocidad de subida).
3. Configurar la expulsión automática del disco externo después de cada trabajo EaseUS (activar "Expulsar después del backup" en la configuración del trabajo). Un disco desconectado no puede ser cifrado por un ransomware.
4. Verificación mensual: abrir Backblaze, comprobar la fecha del último snapshot. En EaseUS, comprobar el informe del último trabajo (estado "Correcto"). Restaurar un archivo de prueba desde cada soporte.

Resultado: 3 copias (Windows original + imagen EaseUS + Backblaze cloud), 2 soportes (HDD local + cloud), 1 externo (Backblaze). Regla 3-2-1 cumplida por aproximadamente 220 € el primer año.

Escenario 2 — PYME 5 puestos (presupuesto 150-250 €/mes)

Objetivo: cumplimiento RGPD, continuidad del negocio, protección contra ransomware dirigido a PYMES.

Infraestructura: NAS Synology DS423+ con 4 × Seagate IronWolf 4 TB en RAID 6 (tolera 2 fallos simultáneos de disco) + EaseUS Todo Backup Business (licencia de red) + bucket Backblaze B2 cifrado.

Configuración:

1. En cada puesto, configurar EaseUS Todo Backup Business con un trabajo diferencial diario hacia el NAS (carpetas de proyectos y perfiles de usuario). Programar a las 23h, fuera del horario laboral.
2. En el NAS Synology, activar Cloud Sync hacia Backblaze B2 (aplicación nativa Synology). Configurar la sincronización solo del destino de backup — no el espejo completo del NAS, demasiado costoso. Cifrado del lado del cliente con clave propia de la empresa antes de la subida.
3. Configurar una tarea Synology Hyper Backup hacia un disco externo rotativo (3 discos físicos etiquetados A/B/C, rotación semanal, un disco siempre fuera de las instalaciones). Esta es la copia air-gapped de la regla 3-2-1-1-0.
4. Probar la restauración completa de un puesto (desde la imagen del NAS) una vez por trimestre. Documentar el tiempo real de restauración (RTO real vs RTO objetivo).

Resultado: 3-2-1-1-0 implementada. Copias incrementales locales diarias + NAS RAID + cloud B2 cifrado + disco air-gapped fuera de las instalaciones. Cumplimiento del artículo 32 del RGPD (medidas técnicas apropiadas).

Escenario 3 — Fotógrafo profesional (presupuesto 80-120 €/mes)

Objetivo: proteger archivos RAW irrecuperables (típicamente 50 a 200 GB por boda o sesión), regla 4-3-2 recomendada.

Flujo de trabajo en campo: después de cada sesión, copiar inmediatamente las tarjetas SD al portátil Y a un SSD portátil (Samsung T7 Shield o SanDisk Extreme Pro). No borrar jamás las tarjetas SD antes de verificar ambas copias.

Infraestructura del estudio: NAS Synology DS923+ con 4 × WD Red Plus 8 TB en RAID 5 + BorgBackup en el NAS para snapshots deduplicados hacia un segundo NAS remoto (oficina o familiar de confianza con buena conexión) + Backblaze B2 para archivo frío de las sesiones entregadas.

Frecuencia:

• Inmediata (campo): tarjeta SD → portátil + SSD portátil
• Diaria (estudio): portátil → NAS RAID via BorgBackup (dedup por bloques, 500 GB de RAW comprimidos a típicamente 320 GB en repositorio Borg)
• Mensual: NAS → Backblaze B2 Glacier (archivo frío, 2 USD/TB/mes para recuperación infrecuente)
• Anual: exportar proyectos más valiosos a cinta LTO-8 si el volumen es > 10 TB

Resultado: 4-3-2 cumplida. Tarjeta SD (1) + portátil (2) + NAS RAID estudio (3) + NAS remoto (4). Soportes: flash/SD, SSD portátil, HDD NAS, cloud. Dos copias externas: NAS remoto + B2.

Prueba y verificación: el paso que el 90% de la gente se salta

Un backup no probado no es un backup. Es una copia que esperas que funcione cuando la necesites. Esa distinción no es retórica: según un estudio de Veeam sobre 3.000 empresas, el 58% de las restauraciones fallan durante un incidente real cuando los backups nunca se han probado. Las causas más frecuentes: archivo de backup silenciosamente corrompido, degradación física del soporte no detectada, cambio de software o versión incompatible con el formato antiguo.

Prueba mínima mensual. Restaurar un archivo aleatorio de cada soporte de backup y verificar que se abre correctamente. Con EaseUS Todo Backup, usar la función "Explorar backup" para acceder a archivos sin una restauración completa. Con Backblaze, descargar un archivo a través de la interfaz web. Con BorgBackup: borg extract --dry-run ::nombre-archivo ruta/al/archivo para verificar sin restauración física.

Prueba de restauración completa anual. Una vez al año, restaurar una imagen completa en una máquina de prueba o VM. Para una PYME, esto valida el RTO real — cuántas horas se necesitan realmente para devolver un puesto a un estado operativo. En Windows con EaseUS Todo Backup, un puesto de 256 GB se restaura en 45 a 90 minutos desde un NAS local por Gigabit Ethernet.

Monitorización automatizada. Las herramientas profesionales envían alertas por correo en caso de fallo del trabajo. Configurar estas alertas en EaseUS Todo Backup (Centro de notificaciones → Email SMTP) o en Backblaze (Dashboard → Notificaciones). Para BorgBackup, el script borgmatic añade monitorización y alertas mediante servicios como Healthchecks.io — se envía un ping HTTP después de cada ejecución correcta, y se dispara una alerta si no llega ningún ping en la ventana prevista.

Verificación de integridad de archivos. Las cintas magnéticas se degradan, los HDD acumulan sectores defectuosos, los archivos .zip o .tar pueden corromperse silenciosamente. BorgBackup tiene borg check --verify-data que lee y verifica cada chunk del repositorio. Restic tiene restic check --read-data para el mismo propósito. EaseUS Todo Backup incluye una opción "Verificar backup" en las propiedades de cada trabajo — activarla sistemáticamente.

Errores críticos que hay que evitar absolutamente

Error 1: el backup no probado. Detallado anteriormente, es estadísticamente el error más costoso. Incluso una verificación mensual de 5 minutos detecta el 80% de los problemas antes de que se conviertan en catastrófico.

Error 2: el backup conectado permanentemente. Un disco externo USB enchufado 24/7 es cifrado en 3 a 8 minutos por ransomware moderno como LockBit 3.0 o BlackCat. Si esa es tu única copia de backup, has perdido. La solución: desconectar después de cada trabajo (manual o automático mediante EaseUS "Expulsar después del backup"), o usar un servicio cloud con versionado inmutable. Backblaze B2 o AWS S3 Object Lock impide cualquier eliminación o modificación de una versión, incluso por el propietario del bucket, durante la duración configurada.

Error 3: RAID no es un backup. El RAID 1 (espejo) duplica los datos en tiempo real. Si eliminas accidentalmente una carpeta, la eliminación se propaga instantáneamente a ambos discos del espejo. Si un ransomware cifra tu volumen RAID, ambos discos se cifran simultáneamente. El RAID protege contra el fallo de hardware de un disco — útil, incluso recomendado para un NAS. Pero no es un backup. Es una capa de disponibilidad.

Error 4: snapshot no es un backup. Los snapshots de LVM, ZFS o Synology Snapshot Manager son estados instantáneos del sistema de archivos almacenados en el mismo volumen — a menudo en el mismo disco. Un snapshot te protege contra la eliminación accidental reciente si el disco sigue funcionando. Si el disco falla o el NAS es robado, los snapshots desaparecen con el disco. Los snapshots complementan una estrategia 3-2-1, no la reemplazan.

Error 5: descuidar el cifrado de los backups. Un backup cloud no cifrado o un disco externo perdido/robado expone todos tus datos personales y profesionales. BorgBackup y Restic cifran por defecto en la inicialización. EaseUS Todo Backup ofrece cifrado AES-256 en las opciones de cada trabajo. Backblaze cifra por defecto en el servidor, con opción de clave privada personal para quienes no quieran confiar en el servicio.

Error 6: backup sin plan de restauración documentado. En una situación de crisis (ransomware a las 2 AM, fallo del NAS la víspera de una entrega a un cliente), nadie busca documentación. El procedimiento de restauración debe estar escrito, impreso o almacenado en un lugar sin conexión a la red (gestor de contraseñas local, caja de seguridad bancaria), y probado. Dos páginas A4 son suficientes: cómo arrancar en modo rescate, dónde está el disco de restauración, qué software, en qué orden.

Para profundizar en la recuperación cuando el backup falla, consulta nuestra guía completa de recuperación de datos en disco duro 2026 y nuestra comparativa de precios de recuperación profesional. Para herramientas de recuperación de código abierto, nuestra guía TestDisk vs PhotoRec cubre ambas herramientas en profundidad. Si necesitas configurar backup automático en Windows o Mac, lee nuestra guía de backup automático Windows y Mac 2026. Para elegir el mejor software de recuperación, nuestra comparativa 2026 prueba 8 herramientas en 200 escenarios reales.