Copias de seguridad: la regla 3-2-1 explicada para despachos pequeños

Imagine que un jueves se estropea el disco del servidor del despacho. El técnico llega, mira y le pregunta con prudencia: «¿Y la copia?». Hay una, en un disco USB conectado al mismo equipo, que se estropeó con él. En ese disco estaban las actas escaneadas de doce comunidades, la contabilidad y todos los contratos.

La regla que evita esa situación se llama 3-2-1: tres copias de los datos, en dos soportes distintos, con una copia fuera del despacho. Es sencilla y vale tanto para un despacho de dos personas como para uno de veinte.

Qué significa cada número

• Tres copias. Los datos originales cuentan como una. Hacen falta dos copias más, porque dos fallos a la vez son raros, pero uno solo es habitual.
• Dos soportes. Por ejemplo, un disco externo o un NAS, y un servicio en la nube. Si un fallo afecta a un tipo de soporte, el otro sigue vivo.
• Una copia fuera. Incendio, inundación, robo o un virus que cifra todo lo conectado: la copia que está dentro del despacho puede perderse con el original. La que está fuera, no.

Hay una pieza que se suele añadir: que una de las copias esté desconectada o sea inmutable, es decir, que ni un virus ni un empleado puedan borrarla. Es lo que salva un ataque de ransomware, que busca y cifra también las copias que encuentra conectadas.

Qué copiar

No todo está donde uno cree. Haga una lista de dónde viven realmente los datos:

• El programa de administración de fincas y su base de datos.
• Las carpetas con actas, contratos, escrituras escaneadas y contabilidad.
• Los correos, que muchas veces son el único archivo de ciertas gestiones.
• Los portátiles y los móviles del personal, si guardan documentos en local.
• Las hojas de cálculo «que nadie sabe dónde están».

Si el programa de gestión está en la nube, pregunte al proveedor cada cuánto hace copias y si usted puede pedir una. No dé por hecho que la hay. Y revise qué papel tiene ese proveedor; le ayuda software de administración de fincas y RGPD.

Cada cuánto y cómo comprobarlo

Pregúntese: si hoy lo pierdo todo, ¿cuánto trabajo puedo permitirme repetir? Si la respuesta es «un día», necesita una copia diaria. Si es «una semana», le basta con una semanal. Esa respuesta marca la frecuencia.

Y la parte que casi todos olvidan: probar la restauración. Una copia que nunca se ha restaurado es una esperanza, no una copia. Al menos dos veces al año, recupere un archivo y una carpeta completa en otro equipo, y compruebe que se abren. Apúntelo con la fecha.

Cifrar las copias

Una copia es un duplicado de datos personales, con los mismos riesgos que el original. Un disco externo en el bolso de alguien o un servicio en la nube mal configurado son dos formas de que los datos de los vecinos acaben donde no deben. Por eso las copias se cifran, y la clave de cifrado se guarda aparte. Una copia cifrada que se pierde tiene mucho menos riesgo que una sin cifrar: lo vemos en portátil o móvil perdido.

Si usa un servicio en la nube para la copia externa, ese proveedor trata datos por cuenta del despacho y hace falta el contrato de encargo correspondiente. Compruebe también dónde se alojan los datos. Si duda, es mejor preguntar antes de contratar.

Lo que dice el RGPD

El RGPD cita expresamente, entre las medidas de seguridad, la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico (art. 32.1.c). Dicho de otro modo, tener copias y saber restaurarlas no es solo una buena práctica: forma parte de las medidas de seguridad que el Reglamento menciona. Puede leerlo en el Reglamento (se abre en una ventana nueva).

Hay una tensión que conviene conocer. Si un vecino ejerce su derecho de supresión, los datos desaparecen del sistema, pero siguen en las copias hasta que estas se renueven. Lo razonable es fijar un plazo de rotación de las copias, documentarlo y, si alguna vez hay que restaurar, volver a aplicar las supresiones pendientes. Los plazos de conservación se tratan en conservación de documentos de la comunidad.

Un plan mínimo para esta semana

1. Apunte qué datos tiene y dónde están.
2. Configure una copia automática diaria en un soporte local cifrado.
3. Añada una copia en un servicio externo, también cifrada, o un disco que se guarde fuera.
4. Pruebe una restauración y anote la fecha.
5. Deje por escrito quién es responsable de revisarlo cada mes.

Errores típicos

• Copiar a un disco que queda siempre conectado al equipo: si hay un virus, cae también la copia.
• Hacer copias que nadie revisa. Un aviso de error que llevaba meses sin leerse es lo habitual.
• Guardar la clave de cifrado solo en el equipo que se estropea.
• Dejar la copia externa en casa de un empleado, sin cifrar ni acordarlo por escrito.
• Olvidar los móviles y portátiles, donde a menudo vive trabajo que no está en el servidor.

En resumen

• La regla 3-2-1: tres copias, dos soportes, una fuera del despacho.
• Procure que una copia esté desconectada o sea inmutable, para resistir al ransomware.
• Cifre las copias y compruebe a qué proveedores confía una de ellas.
• Pruebe la restauración: una copia no comprobada no es una garantía.
• El RGPD pide poder restaurar los datos con rapidez tras un incidente (art. 32.1.c).

Una vez ordenadas las copias, conviene dejar su política escrita junto con el resto de la documentación de protección de datos del despacho.