Ciberseguridad para pymes
¿Copias en la nube o en un disco externo? Para una pyme, las dos: qué cubre cada una, la regla 3-2-1 del INCIBE y cómo montarlas en 6 pasos.
Un martes cualquiera, alguien de la oficina borra sin querer la carpeta de presupuestos. No pasa nada, piensas: «Eso está en la nube». Abres OneDrive y la carpeta tampoco está. Se ha borrado allí también.
En otra empresa, el disco externo de las copias lleva meses enchufado al servidor. El día que entra un virus que cifra los archivos, cifra también el disco.
Las dos empresas tenían copias. Ninguna tenía copias que funcionaran.
La pregunta de si es mejor la nube o un disco externo tiene una respuesta corta. Y una manera sencilla de hacerlo bien.
En este artículo
Una copia de seguridad es un duplicado de tus datos guardado en otro sitio, para poder recuperarlos si los originales se pierden. Lo importante no es dónde está. Es que el día que la necesites, se pueda recuperar.
Piensa en las llaves de casa. Tienes las tuyas, unas de repuesto en un cajón y otras en casa de alguien de confianza. Si pierdes el llavero, entras. Si hay un incendio, también.
Con las copias pasa lo mismo. La nube y el disco externo no compiten: se cubren el uno al otro. La nube te protege si se inunda la oficina o te roban el portátil. El disco desconectado te protege si un virus o un error llega a la nube.
El INCIBE lo recoge en su política de copias de seguridad para la pyme: pide guardar al menos una copia completa fuera de la organización y, si usas la nube, cifrarla y firmar un acuerdo de servicio con el proveedor.
Ninguna de las dos opciones es perfecta. Cada una falla en un caso distinto, y por eso se combinan.
Un disco duro externo es como una caja fuerte que tienes en la oficina. Es tuyo, es barato y no depende de internet. Recuperar muchos datos de golpe es rápido, porque lo enchufas y copias.
Su punto débil es que depende de ti. Alguien tiene que acordarse de conectarlo, de desconectarlo y de llevarse una copia fuera. Y si se queda siempre enchufado, deja de ser una caja fuerte: queda al alcance de lo mismo que el ordenador.
La copia en la nube es como un trastero en otra ciudad. Se hace sola, cada noche, y está lejos de la oficina. Si hay un robo, un incendio o una inundación, tus datos siguen allí.
Su punto débil es que depende de internet, de un proveedor y de una contraseña. Si alguien entra en esa cuenta, entra en tus copias. Por eso conviene protegerla con doble factor de autenticación y elegir un servicio que guarde versiones antiguas.
| Disco externo | Copia en la nube | |
|---|---|---|
| Coste | Pago único por el disco | Cuota mensual o anual |
| Se hace sola | No, si nadie lo conecta | Sí, programada |
| Protege de un robo o un incendio | Solo si se guarda fuera de la oficina | Sí |
| Protege de un virus que cifra archivos | Sí, si está desconectado | Sí, si guarda versiones antiguas |
| Recuperar muchos datos | Rápido | Depende de tu conexión |
| Lo que te pide el INCIBE | Etiquetarlo, guardarlo bajo llave y destruirlo bien al desecharlo | Cifrar la copia y firmar un acuerdo de servicio con el proveedor |
Este es el malentendido más habitual en las pymes. Muchas empresas creen que tienen copias porque usan OneDrive, Google Drive o Dropbox para compartir archivos.
Esos servicios sincronizan. Es decir, mantienen lo mismo en el ordenador y en la nube. Es muy útil para trabajar, pero tiene una consecuencia: si borras un archivo en tu ordenador, se borra también en la nube. Si un virus lo cifra, la versión cifrada se sube a la nube.
Es como tener un espejo. Si rompes el jarrón, el espejo te enseña el jarrón roto.
Muchos de estos servicios guardan versiones anteriores y una papelera durante un tiempo. Ayuda, y conviene saber cuánto tiempo guarda la tuya. Pero no sustituye a una copia de seguridad de verdad, que es independiente de lo que hagas en el día a día.
La prueba es sencilla: si tus únicas copias son la carpeta compartida de la nube, no tienes copias. Tienes los mismos archivos en dos sitios.
¿No sabes si tus copias son copias de verdad?
En el diagnóstico gratuito revisamos contigo qué se copia, dónde, si hay una copia desconectada y si se puede recuperar. Te llevas una lista clara de lo que falta.
El INCIBE presenta la estrategia 3-2-1 en su guía de copias de seguridad para empresas. Es la forma más sencilla de no depender de un solo sitio:
Con las llaves de casa sería así: el llavero que llevas, el repuesto del cajón y el juego que tiene tu hermana. Para quedarte en la calle tendrían que fallar los tres a la vez.
Nosotros añadimos un matiz para las pymes: que al menos una de las copias esté desconectada. Un disco que se conecta solo para hacer la copia y después se guarda. Si un día entra un ransomware en la red, no puede llegar a lo que no está enchufado.
Un detalle del INCIBE que sorprende a muchos: no guardes en casa copias con datos personales de clientes o de empleados. Si te llevas un disco fuera, que sea a un sitio controlado o, mejor, usa la nube cifrada para esa copia.
La política del INCIBE para pymes incluye una lista de comprobación con los controles básicos. Aquí la tienes traducida a seis pasos que se hacen en una mañana.
No hace falta copiarlo todo igual. Apunta lo que te para si desaparece: la facturación, la contabilidad, los archivos de clientes, el correo y la web. El INCIBE incluye también la información que exige la ley y la que te piden tus contratos.
Las copias que son de todos no son de nadie. Decide quién las vigila y quién le sustituye en vacaciones. El INCIBE pide además que solo las personas autorizadas tengan acceso a ellas.
Depende de cuánto cambian tus datos. Si facturas cada día, la copia es diaria. Si una carpeta solo cambia una vez al mes, con una copia mensual basta.
Elige un servicio de copias, no solo una carpeta compartida. Que se haga sola cada noche, que guarde versiones antiguas y que el contrato diga qué pasa con tus datos. El INCIBE pide cifrar la información confidencial antes de subirla y firmar un acuerdo de nivel de servicio con el proveedor.
Un disco externo que se conecta para la copia semanal y después se guarda bajo llave. El INCIBE recomienda etiquetar los discos y apuntar qué copia hay en cada uno. Así, el día que busques un archivo, sabrás dónde está.
Es el paso que casi nadie hace y el que más importa. Una copia que no se puede recuperar no es una copia. El INCIBE pide fijar una frecuencia para estas pruebas de restauración.
El INCIBE no da una cifra única: deja que cada empresa la fije según cuánto cambian sus datos, lo que cuesta guardarlos y lo que exige la ley. Esta tabla es la referencia que solemos proponer a una pyme pequeña. Ajústala a tu caso.
| Qué | Cada cuánto | Dónde |
|---|---|---|
| Facturación, contabilidad y archivos de clientes | Cada día, automática | Nube con versiones |
| Copia completa de lo importante | Cada semana | Disco externo que se desconecta |
| Probar a recuperar un archivo | Cada mes | De la nube y del disco, alternando |
| Revisar qué se copia y quién se encarga | Cada año o tras un cambio importante | Gerencia y responsable de las copias |
La revisión anual también es del INCIBE: pide repasar los procedimientos de copia y restauración cada año y con cada cambio importante. Un programa nuevo, una mudanza o un empleado que se va son buenos momentos.
Si tratas datos personales, hay un motivo más. El artículo 32 del RGPD pide, según el riesgo, poder restaurar la disponibilidad y el acceso a los datos rápidamente tras un incidente. Unas copias que funcionan son la forma más sencilla de cumplirlo.
Las copias son también el corazón de un plan de continuidad de negocio. Si ya tienes las copias en orden, tienes hecha la mitad del plan.
¿Nube o disco externo? Las dos. La nube te protege de lo que pasa en la oficina, y el disco desconectado te protege de lo que llega por la red. Con la regla 3-2-1 no dependes de un solo sitio.
Lo que de verdad marca la diferencia es sencillo: una copia que se hace sola, otra que no está enchufada y una prueba al mes para ver que se pueden recuperar.
Las copias no se notan hasta el día que hacen falta. Ese día, lo cambian todo.
Si quieres saber cómo están las tuyas, pide el diagnóstico inicial gratuito de CALMA. Son 20 minutos, sin compromiso y sin tecnicismos.
Lo mejor son las dos a la vez. La nube guarda una copia lejos de la oficina y se hace sola, así que te protege de un robo, un incendio o una inundación. El disco externo, si lo desconectas después de copiar, te protege de un virus que llegue por la red. Una cubre lo que la otra no.
Es una forma sencilla de no depender de un solo sitio: tener tres copias de lo importante, en dos soportes distintos, como un disco externo y la nube, y una de ellas fuera de la oficina. El INCIBE la presenta en su guía de copias de seguridad para empresas.
Tal como los usa la mayoría de empresas, no del todo. Sincronizan: si borras o un virus cifra un archivo en el ordenador, el cambio pasa también a la nube. Muchos guardan versiones y papelera durante un tiempo, lo que ayuda, pero conviene tener además una copia independiente.
Depende de cuánto cambian tus datos. El INCIBE deja que cada empresa fije la frecuencia. Como referencia para una pyme pequeña: copia automática diaria en la nube de la facturación y los archivos de clientes, y una copia completa semanal en un disco externo que se desconecta al terminar.
Probando a recuperarlas. Elige un archivo al azar cada mes, restáuralo desde la copia y comprueba que se abre bien. Alterna entre la nube y el disco. El INCIBE pide fijar una frecuencia para estas pruebas, porque una copia que no se puede recuperar no sirve de nada.
El INCIBE recomienda cifrar las copias que contienen información confidencial y todo lo que subas a la nube. Así, si alguien roba el disco o entra en la cuenta del proveedor, no puede leer los datos. Guarda la clave de cifrado en un sitio seguro, porque sin ella tampoco podrás recuperarlos tú.
El INCIBE desaconseja guardar en casa copias con datos personales de clientes o de empleados. Si necesitas una copia fuera de la oficina, es mejor usar un servicio en la nube cifrado o un lugar controlado, como otra sede de la empresa o un servicio de custodia.
Si la copia está siempre conectada, el ransomware puede cifrarla junto con el resto. Por eso conviene tener al menos una desconectada y una en la nube con versiones antiguas. Con eso puedes recuperar tus archivos sin depender de los atacantes. Para los primeros pasos, mira nuestra guía de qué hacer si te hackean.
¿Quieres saber cómo está tu empresa?
Empieza con un diagnóstico inicial gratuito. Te lo presentamos en 20 minutos, con un plan claro. Sin compromiso y sin tecnicismos.
