Estrategia backup 3-2-1: guía completa 2026 (regla, herramientas, configuración paso a paso)

La pérdida de datos es mucho más frecuente y costosa de lo que la mayoría imagina. Un simple fallo mecánico de disco, un ransomware como LockBit que cifra el ordenador familiar, o una sola eliminación accidental bastan para borrar años de archivos irremplazables - fotos, vídeos, archivos fiscales, una tesis cuyos capítulos más recientes nunca se imprimieron. El punto común de casi todas las historias de pérdida es el mismo: una única copia de los datos, sin ninguna segunda línea de defensa. Una copia única es un punto único de fallo. La regla 3-2-1 existe precisamente para eliminar ese punto único de fallo - y eso es lo que esta guía te ayuda a hacer.

¿Qué es la regla de backup 3-2-1?

La regla 3-2-1 fue formalizada en 2009 por Peter Krogh, fotógrafo profesional estadounidense y autor del libro The DAM Book: Digital Asset Management for Photographers. Krogh buscaba una regla mnemotécnica simple para fotógrafos que perdían miles de imágenes por culpa de flujos de backup deficientes. Destilando décadas de buenas prácticas informáticas en tres números.

3 copias de tus datos. El original cuenta, más dos copias de respaldo independientes. El razonamiento estadístico: aunque cualquier disco tiene cada año una probabilidad pequeña pero real de fallar (Backblaze publica abiertamente sus Drive Stats de su parque real), la probabilidad de que dos discos independientes fallen a la vez es mucho menor, y la de tres copias independientes perdidas a la vez es ínfima. Suficiente para una protección práctica.

2 soportes diferentes. Dos discos de la misma marca, modelo y lote de fabricación tienen una probabilidad de fallo correlada: un defecto de fabricación o una sobretensión los afecta a todos simultáneamente. Dos soportes de distinta naturaleza - un HDD externo y un servicio cloud, o un disco local y un NAS - eliminan esta correlación. La diversidad tecnológica es el principio.

1 copia fuera del sitio. Es el número más habitualmente descuidado y el más crítico. Una inundación, un incendio, un robo: si todas tus copias están en la misma habitación, desaparecen juntas. La copia fuera del sitio puede ser física (disco en casa de los padres, oficina secundaria) o lógica (cloud). El almacenamiento cloud ha democratizado el acceso a esta copia externa, antes reservada a empresas con grandes presupuestos.

La regla 3-2-1 no fue inventada por Peter Krogh: los principios subyacentes existen en la informática empresarial desde los años 70 con las cintas magnéticas. Lo que Krogh aportó fue una formulación pedagógica que la hace memorable para cualquiera en treinta segundos.

Por qué la regla 3-2-1 funciona contra cada riesgo

La fortaleza de la regla 3-2-1 es que cada número protege contra un riesgo distinto. Entender esta lógica es entender por qué no puedes eliminar ninguno sin crear un punto ciego.

Fallo de hardware: el 3 es suficiente. Todo disco - HDD o SSD - acaba fallando, y una parte no despreciable falla a los pocos años de uso; los SSD fallan con menos frecuencia que los HDD pero con distintos modos de fallo (corrupción silenciosa, firmware, wear leveling). Con una sola copia, cada fallo de disco es una catástrofe. Con dos copias en soportes diferentes, la probabilidad de perderlo todo cae drásticamente. Con tres copias independientes, la protección contra fallos de hardware simples es prácticamente total.

Ransomware: la copia 1 offline es crítica. El ransomware moderno (LockBit, BlackCat, Cl0p) ataca deliberadamente los backups. Recorre la red local, cifra los recursos compartidos del NAS, los discos USB conectados y las copias de Shadow Volume de Windows. Un backup permanentemente conectado ya no es una protección contra ransomware - es simplemente una copia cifrada en espera. La copia cloud fuera del sitio con versionado (Backblaze, Wasabi, B2) o el disco físicamente desconectado son las únicas defensas efectivas. Un disco de backup cifrado y desconectado después de cada ejecución no puede ser alcanzado por un ransomware que se ejecuta en la máquina.

Incendio e inundación: la copia física fuera del sitio es irreemplazable. Un incendio residencial puede destruir el contenido de una habitación en cuestión de minutos. Un apartamento inundado cortocircuita los aparatos electrónicos en cuestión de horas. Ni el NAS del salón, ni los discos en el cajón del escritorio, ni el portátil en la mesa sobreviven. Solo una copia en un lugar separado - cloud, casa de un familiar, caja de seguridad bancaria para datos muy críticos - garantiza la continuidad.

Eliminación accidental: el versionado te salva. La regla 3-2-1 no especifica explícitamente el versionado, pero las implementaciones modernas lo incluyen. Si sobrescribes accidentalmente un archivo y tu backup cloud sincroniza la versión sobrescrita, todas tus copias están corrompidas simultáneamente - exactamente el modo de fallo de servicios de sincronización como Dropbox o Google Drive sin versionado activado. Backblaze Computer Backup conserva versiones 30 días (1 año con Extended Version History). BorgBackup conserva tantos snapshots como permita tu almacenamiento. Este versionado convierte el backup en una máquina del tiempo.

Evoluciones modernas: 3-2-1-1-0, 4-3-2 y cloud híbrido

La regla 3-2-1 de 2009 ha evolucionado para hacer frente a las amenazas modernas. Hay tres variantes establecidas.

La regla 3-2-1-1-0 (Veeam, 2012). Veeam Software, proveedor de soluciones de backup empresarial, formalizó dos adiciones críticas. El 1 extra: mantener al menos una copia offline o air-gapped - un disco físicamente desconectado o una cinta LTO fuera de línea. Este número neutraliza el ransomware de red que no puede cifrar lo que no puede ver. El 0: cero errores verificados en la última prueba de restauración. Esta es la adición prácticamente más importante, porque un backup no probado es aquel cuya funcionalidad se desconoce. Una restauración nunca probada falla mucho más a menudo de lo que se cree durante un incidente real - justamente para eso sirve el 0 (restauración verificada).

La regla 4-3-2 (fotógrafos profesionales y estudios creativos). Para los profesionales cuyos datos representan su capital empresarial - fotógrafos con archivos RAW de 50 MB por disparo, estudios de vídeo con rushes 4K, arquitectos con archivos BIM de 10 GB - la 4-3-2 añade una capa extra: 4 copias, 3 soportes, 2 fuera del sitio. La segunda copia externa suele ser un cloud secundario (Backblaze B2 + Amazon S3 Glacier) o un disco en una caja de seguridad bancaria para las capturas más valiosas. Un fotógrafo de bodas con 500 GB de RAW irrecuperables tiene una obligación económica hacia la 4-3-2.

El enfoque cloud híbrido local + cloud (estándar 2026). Para la gran mayoría de usuarios domésticos y PYMES, el enfoque práctico en 2026 combina: un NAS local (Synology, QNAP) con RAID para redundancia de hardware + software de backup con programación (EaseUS Todo Backup, Acronis) para snapshots locales + Backblaze o Wasabi para backup cloud externo. Esta combinación cubre todos los riesgos a un coste razonable (menos de 30 €/mes para una PYME de 5 puestos con 2 TB de datos).

Herramientas recomendadas 2026: comparativa completa

EaseUS Todo Backup es la mejor opción para usuarios de Windows sin conocimientos técnicos. Crea imágenes del sistema completas (restaurables en hardware diferente mediante Universal Restore), admite backup incremental y diferencial, y programa automáticamente trabajos diarios. La edición Home a 29,95 €/año cubre un PC. La edición Workstation (59,95 €/año) añade restauración en hardware diferente. Precios verificados en easeus.com en junio de 2026.

BorgBackup destaca en entornos Linux y para fotógrafos con grandes volúmenes. La deduplicación por bloques de Borg es especialmente eficaz con archivos similares (exportaciones RAW de la misma sesión, bases de datos con pocos cambios): un repositorio de datos muy parecidos puede acabar bastante más pequeño que el tamaño bruto de las fuentes. Cifrado nativo ChaCha20-Poly1305 o AES-CTR disponible desde la inicialización.

Restic es superior a Borg para necesidades multi-cloud y Windows. Admite nativamente Backblaze B2, Amazon S3, Google Cloud Storage, Azure Blob, SFTP y repositorios locales - sin plugins de terceros. El comando restic backup es idéntico independientemente del backend.

Backblaze Computer Backup sigue siendo la opción externa más sencilla y barata para usuarios domésticos: instalar el cliente, olvidarse, saber que 9 USD/mes cubren un volumen ilimitado. Limitaciones clave: 1 ordenador por licencia, restauración de red lenta para volúmenes muy grandes, sin backup de directorios de red (solo discos locales).

Configuración 3-2-1 paso a paso: 3 escenarios concretos

Escenario 1 - Usuario doméstico (presupuesto ~220 €/año)

Objetivo: proteger fotos, documentos, correos, perfil Windows contra fallos, ransomware, incendio.

Hardware: disco HDD externo de 4 TB USB 3.0 (~90 €, WD Elements o Seagate Expansion) + Backblaze Computer Backup (9 USD/mes) + EaseUS Todo Backup Home (29,95 €/año).

Configuración:

1. Conectar el disco externo. En EaseUS Todo Backup, crear un trabajo "Imagen del sistema" - destino: disco externo. Programar: semanal (domingo a las 3 AM). Modo incremental con retención de 4 semanas.
2. Instalar Backblaze Computer Backup. En el primer inicio, seleccionar carpetas: Documentos, Fotos, Escritorio, carpetas de proyectos. Dejar que la subida se realice en segundo plano (contar 2 a 5 días para 100 GB según la velocidad de subida).
3. Configurar la expulsión automática del disco externo después de cada trabajo EaseUS (activar "Expulsar después del backup" en la configuración del trabajo). Un disco desconectado no puede ser cifrado por un ransomware.
4. Verificación mensual: abrir Backblaze, comprobar la fecha del último snapshot. En EaseUS, comprobar el informe del último trabajo (estado "Correcto"). Restaurar un archivo de prueba desde cada soporte.

Resultado: 3 copias (Windows original + imagen EaseUS + Backblaze cloud), 2 soportes (HDD local + cloud), 1 externo (Backblaze). Regla 3-2-1 cumplida por aproximadamente 220 € el primer año.

Escenario 2 - PYME 5 puestos (presupuesto 150-250 €/mes)

Objetivo: cumplimiento RGPD, continuidad del negocio, protección contra ransomware dirigido a PYMES.

Infraestructura: NAS Synology DS423+ con 4 × Seagate IronWolf 4 TB en RAID 6 (tolera 2 fallos simultáneos de disco) + EaseUS Todo Backup Business (licencia de red) + bucket Backblaze B2 cifrado.

Configuración:

1. En cada puesto, configurar EaseUS Todo Backup Business con un trabajo diferencial diario hacia el NAS (carpetas de proyectos y perfiles de usuario). Programar a las 23h, fuera del horario laboral.
2. En el NAS Synology, activar Cloud Sync hacia Backblaze B2 (aplicación nativa Synology). Configurar la sincronización solo del destino de backup - no el espejo completo del NAS, demasiado costoso. Cifrado del lado del cliente con clave propia de la empresa antes de la subida.
3. Configurar una tarea Synology Hyper Backup hacia un disco externo rotativo (3 discos físicos etiquetados A/B/C, rotación semanal, un disco siempre fuera de las instalaciones). Esta es la copia air-gapped de la regla 3-2-1-1-0.
4. Probar la restauración completa de un puesto (desde la imagen del NAS) una vez por trimestre. Documentar el tiempo real de restauración (RTO real vs RTO objetivo).

Resultado: 3-2-1-1-0 implementada. Copias incrementales locales diarias + NAS RAID + cloud B2 cifrado + disco air-gapped fuera de las instalaciones. Cumplimiento del artículo 32 del RGPD (medidas técnicas apropiadas).

Escenario 3 - Fotógrafo profesional (presupuesto 80-120 €/mes)

Objetivo: proteger archivos RAW irrecuperables (típicamente 50 a 200 GB por boda o sesión), regla 4-3-2 recomendada.

Flujo de trabajo en campo: después de cada sesión, copiar inmediatamente las tarjetas SD al portátil Y a un SSD portátil (Samsung T7 Shield o SanDisk Extreme Pro). No borrar jamás las tarjetas SD antes de verificar ambas copias.

Infraestructura del estudio: NAS Synology DS923+ con 4 × WD Red Plus 8 TB en RAID 5 + BorgBackup en el NAS para snapshots deduplicados hacia un segundo NAS remoto (oficina o familiar de confianza con buena conexión) + Backblaze B2 para archivo frío de las sesiones entregadas.

Frecuencia:

• Inmediata (campo): tarjeta SD → portátil + SSD portátil
• Diaria (estudio): portátil → NAS RAID via BorgBackup (la dedup por bloques reduce el repositorio cuando las sesiones comparten datos similares)
• Mensual: NAS → Backblaze B2 Glacier (archivo frío, 2 USD/TB/mes para recuperación infrecuente)
• Anual: exportar proyectos más valiosos a cinta LTO-8 si el volumen es > 10 TB

Resultado: 4-3-2 cumplida. Tarjeta SD (1) + portátil (2) + NAS RAID estudio (3) + NAS remoto (4). Soportes: flash/SD, SSD portátil, HDD NAS, cloud. Dos copias externas: NAS remoto + B2.

Prueba y verificación: el paso que la mayoría de la gente se salta

Un backup no probado no es un backup. Es una copia que esperas que funcione cuando la necesites. Esa distinción no es retórica: una restauración nunca probada falla mucho más a menudo de lo que se cree durante un incidente real. Las causas más frecuentes: archivo de backup silenciosamente corrompido, degradación física del soporte no detectada, cambio de software o versión incompatible con el formato antiguo.

Prueba mínima mensual. Restaurar un archivo aleatorio de cada soporte de backup y verificar que se abre correctamente. Con EaseUS Todo Backup, usar la función "Explorar backup" para acceder a archivos sin una restauración completa. Con Backblaze, descargar un archivo a través de la interfaz web. Con BorgBackup: borg extract --dry-run ::nombre-archivo ruta/al/archivo para verificar sin restauración física.

Prueba de restauración completa anual. Una vez al año, restaurar una imagen completa en una máquina de prueba o VM. Para una PYME, esto valida el RTO real - cuántas horas se necesitan realmente para devolver un puesto a un estado operativo. En Windows con EaseUS Todo Backup, un puesto de 256 GB se restaura en 45 a 90 minutos desde un NAS local por Gigabit Ethernet.

Monitorización automatizada. Las herramientas profesionales envían alertas por correo en caso de fallo del trabajo. Configurar estas alertas en EaseUS Todo Backup (Centro de notificaciones → Email SMTP) o en Backblaze (Dashboard → Notificaciones). Para BorgBackup, el script borgmatic añade monitorización y alertas mediante servicios como Healthchecks.io - se envía un ping HTTP después de cada ejecución correcta, y se dispara una alerta si no llega ningún ping en la ventana prevista.

Verificación de integridad de archivos. Las cintas magnéticas se degradan, los HDD acumulan sectores defectuosos, los archivos .zip o .tar pueden corromperse silenciosamente. BorgBackup tiene borg check --verify-data que lee y verifica cada chunk del repositorio. Restic tiene restic check --read-data para el mismo propósito. EaseUS Todo Backup incluye una opción "Verificar backup" en las propiedades de cada trabajo - activarla sistemáticamente.

Errores críticos que hay que evitar absolutamente

Error 1: el backup no probado. Detallado anteriormente, es uno de los errores más costosos. Incluso una verificación mensual de 5 minutos detecta la mayoría de los problemas antes de que se conviertan en catastróficos.

Error 2: el backup conectado permanentemente. Un disco externo USB enchufado 24/7 es cifrado en 3 a 8 minutos por ransomware moderno como LockBit 3.0 o BlackCat. Si esa es tu única copia de backup, has perdido. La solución: desconectar después de cada trabajo (manual o automático mediante EaseUS "Expulsar después del backup"), o usar un servicio cloud con versionado inmutable. Backblaze B2 o AWS S3 Object Lock impide cualquier eliminación o modificación de una versión, incluso por el propietario del bucket, durante la duración configurada.

Error 3: RAID no es un backup. El RAID 1 (espejo) duplica los datos en tiempo real. Si eliminas accidentalmente una carpeta, la eliminación se propaga instantáneamente a ambos discos del espejo. Si un ransomware cifra tu volumen RAID, ambos discos se cifran simultáneamente. El RAID protege contra el fallo de hardware de un disco - útil, incluso recomendado para un NAS. Pero no es un backup. Es una capa de disponibilidad.

Error 4: snapshot no es un backup. Los snapshots de LVM, ZFS o Synology Snapshot Manager son estados instantáneos del sistema de archivos almacenados en el mismo volumen - a menudo en el mismo disco. Un snapshot te protege contra la eliminación accidental reciente si el disco sigue funcionando. Si el disco falla o el NAS es robado, los snapshots desaparecen con el disco. Los snapshots complementan una estrategia 3-2-1, no la reemplazan.

Error 5: descuidar el cifrado de los backups. Un backup cloud no cifrado o un disco externo perdido/robado expone todos tus datos personales y profesionales. BorgBackup y Restic cifran por defecto en la inicialización. EaseUS Todo Backup ofrece cifrado AES-256 en las opciones de cada trabajo. Backblaze cifra por defecto en el servidor, con opción de clave privada personal para quienes no quieran confiar en el servicio.

Error 6: backup sin plan de restauración documentado. En una situación de crisis (ransomware a las 2 AM, fallo del NAS la víspera de una entrega a un cliente), nadie busca documentación. El procedimiento de restauración debe estar escrito, impreso o almacenado en un lugar sin conexión a la red (gestor de contraseñas local, caja de seguridad bancaria), y probado. Dos páginas A4 son suficientes: cómo arrancar en modo rescate, dónde está el disco de restauración, qué software, en qué orden.

Para profundizar en la recuperación cuando el backup falla, consulta nuestra guía completa de recuperación de datos en disco duro 2026 y nuestra comparativa de precios de recuperación profesional. Para herramientas de recuperación de código abierto, nuestra guía TestDisk vs PhotoRec cubre ambas herramientas en profundidad. Si necesitas configurar backup automático en Windows o Mac, lee nuestra guía de backup automático Windows y Mac 2026. Para elegir el mejor software de recuperación, nuestra comparativa 2026 compara 8 herramientas de recuperación.

Guías relacionadas

• Automatizar copias de seguridad en Linux con cron y rsync
• La mejor copia en la nube tras una recuperación
• ¿Qué es un NAS? El almacenamiento en red explicado