Un ejercicio antes de hablar de tecnología. Imagina que mañana por la mañana nadie de tu empresa puede abrir un solo archivo: ni facturas, ni albaranes, ni el fichero de clientes, ni los presupuestos pendientes de enviar… No es que falle un ordenador ¡es que no hay datos!
Esa es exactamente la situación que provoca un ataque de ransomware, y es también el escenario que separa a las empresas que vuelven a trabajar esa misma tarde de las que tardan semanas, o no vuelven. La diferencia entre unas y otras casi nunca está en el antivirus. Está en cómo tenían planteadas sus copias de seguridad: dónde estaban, si se podían modificar y si alguien había comprobado alguna vez que se podían restaurar.
El coste real de un día sin datos.
Aunque asuste, conviene hacer números porque es el argumento que ordena todas las decisiones posteriores. Veamos un ejemplo sencillo con una empresa de doce personas y un coste medio de 20 €/hora por empleado:
- Una jornada completa parada: 12 personas × 8 horas × 20 € = 1.920 € solo en salarios de gente que no puede trabajar.
- La facturación que no se emite ese día, y los pedidos que no se atienden.
- El coste de la recuperación: horas técnicas, reinstalaciones y, si no hay copia, la tentación del rescate.
- El coste que no se contabiliza: el cliente que llamó, no pudo ser atendido y la próxima vez llamará a otro.
Ese cálculo, hecho con los números reales de cada empresa, suele dejar claro que la inversión en una política de copias seria cuesta bastante menos que una sola mañana detenida.
¿Por qué el ransomware también va a por tu copia de seguridad?
Este es el punto que más sorprende a quien se enfrenta por primera vez a un incidente. El ransomware moderno no se limita a cifrar los archivos de trabajo: busca activamente las copias de seguridad y las destruye primero. Sin copia, la víctima no tiene alternativa al rescate.
☠️ La copia conectada se cifra con todo lo demás:
Un disco externo permanentemente enchufado al servidor o una carpeta de red accesible desde cualquier equipo, no es una copia de seguridad: es otra carpeta más que el atacante va a cifrar. Si el proceso malicioso puede escribir en ella, la copia está perdida.
☠️ El atacante espera dentro antes de actuar:
Entre la intrusión inicial y el cifrado pueden pasar días o semanas. Durante ese tiempo el atacante estudia la red, localiza dónde están las copias y espera. Ese detalle tiene una consecuencia práctica muy concreta: si solo conservas los últimos días de copia es posible que todas tus versiones disponibles estén ya comprometidas cuando te des cuenta. La retención importa tanto como la frecuencia.
☠️ La extorsión doble:
Cada vez es más habitual que, antes de cifrar, el atacante extraiga una copia de la información y amenace con publicarla. Ahí la copia de seguridad te permite recuperar la operativa, pero no evita el problema de protección de datos. Por eso el cifrado de la información en origen deja de ser un extra.
¿Cómo debe ser una copia de seguridad en 2026?
Cualquier copia de seguridad hoy día debería cumplir la «regla 3-2-1», un estándar de referencia que sigue siendo válido:
- Tres copias de la información.
- En dos soportes o tecnologías distintas.
- Una de ellas fuera de las instalaciones.
La tercera condición es la que salva de verdad: un incendio, una inundación o un robo se llevan la oficina entera, con el servidor y con el disco de copia encima de la mesa.
✔️ Copias inmutables:
Una copia inmutable no se puede modificar ni eliminar durante el periodo de retención que se defina, ni siquiera por un administrador cuyas credenciales hayan sido comprometidas. Es la respuesta técnica directa al comportamiento del ransomware descrito más arriba, y hoy es el elemento que marca la diferencia entre una copia que aguanta un ataque y otra que no.
✔️ Cifrado en origen y en tránsito:
La información debe viajar cifrada hasta su destino y permanecer cifrada allí. Así, aunque alguien acceda al repositorio, lo que encuentra es ilegible. Es también lo que permite usar almacenamiento externo con tranquilidad.
✔️ Restauración probada:
Y aquí está el punto que casi nadie cumple: una copia que nunca se ha restaurado no es una copia, es una suposición. Nos hemos encontrado empresas con tres años de copias diarias aparentemente correctas que resultaron irrecuperables el día que hicieron falta, por un error de configuración que nadie había detectado porque nadie lo había comprobado jamás.
La buena práctica es programar restauraciones de prueba periódicas y dejar constancia documental de cada una. Esto es lo que convierte una intención en una garantía. Haz click aquí si necesitas consultar otras buenas prácticas en cuanto a ciberseguridad para empresas.
Del backup al plan de continuidad: RTO y RPO.
Tener copias es el punto de partida. La pregunta completa es otra… ¿cuánto tiempo puede estar parada la empresa y cuánta información puede permitirse perder? De ahí salen las dos cifras que estructuran cualquier plan de continuidad de negocio:
- RTO (Recovery Time Objective): el tiempo máximo aceptable hasta volver a operar.
- RPO (Recovery Point Objective): la cantidad máxima de información que se asume perder, medida en tiempo.
Un RPO de 24 horas significa aceptar que, en el peor caso, se pierde un día de trabajo. Si eso es inasumible para tu operativa, la frecuencia de copia tiene que cambiar. Estas dos cifras no las decide el departamento técnico en solitario: las decide la dirección, porque son una decisión de negocio con un coste asociado.
Definidos el RTO y el RPO, todo lo demás —frecuencia, retención, tecnología, redundancia— se deduce de ellos. Sin esas dos cifras, cualquier inversión en continuidad es pura intuición.
Los cinco errores más frecuentes en empresas.
Si hablamos de la seguridad de los datos en cualquier empresa u organización, hay errores comunes que se repiten:
- Copiar los datos pero no los sistemas. Recuperar los archivos está bien; reconstruir desde cero los servidores, las configuraciones y las aplicaciones añade días de parada.
- Dejar la copia conectada permanentemente a la misma red que protege.
- No vigilar que la copia se ejecuta. Los avisos de error acaban en una bandeja que nadie revisa.
- Retención demasiado corta, por el motivo explicado más arriba.
- No probar nunca la restauración. El error más caro de todos, y el más fácil de corregir.
Protege la continuidad de tu empresa con CentroMiPC.
En CentroMiPC diseñamos y gestionamos la política de copias de seguridad de las empresas y organizaciones con las que trabajamos, de forma que recuperar deje de ser una esperanza y pase a ser un procedimiento:
- Auditoría de tus copias actuales: qué se está copiando realmente, dónde, con qué frecuencia y si se puede restaurar hoy.
- Copias cifradas, inmutables y en varias localizaciones, con soluciones profesionales de backup gestionado.
- Restauraciones de prueba periódicas con informe, válidas como evidencia documental.
- Plan de recuperación con RTO y RPO definidos junto a la dirección de la empresa.
- Monitorización y soporte: alguien revisa cada día que la copia de anoche se hizo bien.
¡Empieza por saber si tu copia funciona! Antes de cambiar nada conviene responder a una sola pregunta: si esta mañana hubiera hecho falta, ¿se habría podido restaurar la copia de anoche? Si la respuesta no es un sí rotundo, ese es el punto de partida.
👉 Solicita una auditoría gratuita con nosotros y te analizaremos en qué estado están realmente tus copias de seguridad.