Copias de seguridad que resisten al ransomware — La regla 3-2-1, almacenamiento que no se puede sobrescribir y comprobar que se puede restaurar

En los ataques de ransomware hay muchos casos en los que se tenían copias de seguridad y aun así no se pudo restaurar. La causa más frecuente es que las copias de seguridad se cifraron junto con todo lo demás. Este artículo explica cómo preparar copias de seguridad que resistan los ataques, para los PC con Windows y los servidores de archivos de las pequeñas y medianas empresas.

Hay tres puntos clave: tener una copia que un PC infectado no pueda sobrescribir, no usar las «versiones anteriores» en lugar de las copias de seguridad y comprobar que de verdad se puede restaurar. La regla 3-2-1 sirve para decidir cuántas copias tener y dónde, pero por sí sola deja huecos como defensa contra el ransomware.

Los comandos del artículo son solo para Windows, y su salida se comprobó en un símbolo del sistema de administrador de Windows Server 2022. Las pantallas de configuración y los precios de los productos pueden cambiar, así que consulte la documentación más reciente de cada fabricante cuando los implante.

Muchas empresas tenían copias de seguridad pero no pudieron restaurar

La Agencia Nacional de Policía de Japón pregunta a las empresas y organizaciones afectadas por ransomware por el estado de sus copias de seguridad. En su informe del primer semestre de 2025, 51 de las 53 que respondieron tenían copias de seguridad. Sin embargo, de las 48 a las que se preguntó si habían podido volver desde la copia de seguridad al estado de justo antes del ataque, solo 7 pudieron y 41 no¹.

De las 35 que indicaron por qué no pudieron restaurar, 23 respondieron «la copia de seguridad también estaba cifrada», 8 «fallos de operación» y 4 «otros»¹. El mismo informe dice que los grupos de ransomware borran los registros y las copias de seguridad de las víctimas para eliminar sus huellas e impedir la recuperación. A continuación, pide guardar las copias de seguridad en un entorno sin conexión².

flowchart TB
        accTitle: Cómo se puede tener copias de seguridad y no poder restaurar
        accDescr: Diagrama que muestra que, aunque se hagan copias de seguridad, se cifran junto con todo lo demás si están al alcance del PC infectado, y que si no se ha comprobado el procedimiento de restauración los fallos de operación impiden restaurar.
        A["Se hacen copias de seguridad"] --> B{"¿Las alcanza el PC infectado?"}
        B -->|"Las alcanza"| C["También se cifran o se borran"]
        B -->|"No las alcanza"| D{"¿Se comprobó el procedimiento de restauración?"}
        D -->|"No se comprobó"| E["No se puede restaurar por fallos de operación"]
        D -->|"Se comprobó"| F["Se puede restaurar"]

Figura 1: Las copias de seguridad sirven cuando el PC infectado no las alcanza y el procedimiento de restauración se ha comprobado.

También hay casos en los que se pudo restaurar. La versión 4.0 de la «Guía de medidas de seguridad de la información para pymes» del IPA recoge el caso de una constructora cuyos servidores de archivos y otros sistemas se cifraron tras una intrusión a través de un equipo VPN. En parte porque la empresa hacía simulacros de restauración dos veces al año, cinco días después de descubrir el ataque volvió a poner en marcha sus sistemas principales desde las copias de seguridad. Aun así, tardó 41 días en reanudar cada sistema interno y cuatro meses en reanudar el acceso remoto, y perdió algo más del 20 % de sus archivos internos³. Poder restaurar desde las copias de seguridad no hace desaparecer el daño.

En el diagrama, una línea continua marca una relación que siempre se cumple y una línea discontinua una relación condicional (las condiciones están en la explicación de cada relación en la página de detalle). La lista completa de relaciones (13 en total, con evidencia y grado de certeza) y las definiciones de los conceptos principales están reunidas en la página de detalle del mapa de conocimiento (en japonés). Datos: JSON-LD / Turtle

Los atacantes borran las copias de seguridad que alcanzan

La guía #StopRansomware que publican CISA y otras agencias de Estados Unidos dice que muchas variantes de ransomware intentan encontrar y borrar o cifrar las copias de seguridad accesibles, para que la víctima no pueda recuperarse sin pagar el rescate. Por eso considera importante guardar las copias de seguridad sin conexión⁴.

Microsoft también escribe que los atacantes se centran en inutilizar el software de copia de seguridad y funciones del sistema operativo como las instantáneas de volumen⁵. Las copias de seguridad que alcanza un PC infectado incluyen las siguientes.

• Discos externos siempre conectados al PC
• Carpetas compartidas de un NAS o servidor de archivos asignadas a una letra de unidad
• Carpetas de sincronización en la nube en las que la cuenta de uso diario puede escribir
• Instantáneas (versiones anteriores) en el mismo volumen

Incluso con los comandos incluidos en el sistema operativo se pueden borrar las instantáneas y el catálogo de copias de seguridad. MITRE ATT&CK clasifica esta técnica como «Inhibit System Recovery» (T1490). Ahí aparecen ejemplos como borrar todas las instantáneas con vssadmin.exe delete shadows /all /quiet y borrar el catálogo de copias de seguridad de Windows con wbadmin.exe delete catalog -quiet⁶. La guía de CISA también pide vigilar el uso sospechoso de vssadmin.exe, wbadmin.exe, wmic.exe (shadowcopy) y herramientas similares⁴.

flowchart TB
        accTitle: Copias de seguridad que un PC infectado alcanza y que no alcanza
        accDescr: Diagrama que muestra que un PC infectado puede escribir en discos externos siempre conectados, carpetas compartidas asignadas, carpetas de sincronización e instantáneas, pero no en soportes desconectados ni en almacenamiento que no se puede sobrescribir.
        P["PC infectado"] --> R["Lugares en los que puede escribir"]
        P -.-x N["Soportes desconectados, almacenamiento que no se puede sobrescribir"]
        R --> A["Disco externo siempre conectado"]
        R --> B["Carpeta compartida asignada"]
        R --> C["Carpeta de sincronización en la nube"]
        R --> D["Instantáneas"]

Figura 2: Las copias de seguridad que están donde un PC infectado puede escribir se convierten en objetivo del ataque.

También hay que tener cuidado con los ataques que llevan tiempo. Microsoft escribe que el ransomware a veces cifra poco a poco dejando la clave en el sistema. Mientras tanto, los usuarios siguen usando los datos con normalidad, así que se van acumulando copias de seguridad de datos cifrados sin que nadie lo note. Cuando todo está cifrado y se borra la clave, ni siquiera las copias de seguridad recientes se pueden leer⁵. Si solo se guarda la generación más reciente, en este caso no hay a qué volver.

Las «versiones anteriores» no sustituyen a las copias de seguridad

Las «versiones anteriores» de Windows y las instantáneas de carpetas compartidas usan el servicio de instantáneas de volumen (VSS). El proveedor del sistema de VSS que incluye Windows usa un método de copia en escritura que guarda el contenido de un bloque en un área de diferencias antes de que se sobrescriba, y así reproduce el volumen tal como estaba en un momento dado⁷.

En su documentación de VSS, Microsoft explica así la diferencia entre instantáneas y copias de seguridad. Cuando se copian los datos de una instantánea a un soporte extraíble como una cinta, el contenido de ese soporte pasa a ser la copia de seguridad. Después de copiarlos, la propia instantánea se puede eliminar⁷. La documentación también dice que, cuando falta espacio en el área de diferencias, se eliminan primero las instantáneas más antiguas⁷.

flowchart TB
        accTitle: La diferencia entre instantáneas y copias de seguridad
        accDescr: Diagrama que muestra que una instantánea es un conjunto de diferencias respecto al volumen original y se elimina por falta de espacio o por un atacante, mientras que una copia de seguridad copiada a otro soporte se conserva aunque se pierda el volumen original.
        V["Volumen original"] --> S["Instantánea (diferencias)"]
        S --> L["Se elimina empezando por la más antigua si falta espacio"]
        S --> K["Un atacante la elimina con vssadmin"]
        S -->|"Copiar a otro soporte"| B["Copia de seguridad"]
        B --> R["Se conserva aunque se pierda el volumen original"]

Figura 3: Las instantáneas dependen de los datos del volumen original; lo que se copia a otro soporte es la copia de seguridad.

Las instantáneas son prácticas para que los usuarios recuperen por su cuenta archivos que sobrescribieron por error. Sin embargo, como se vio en la sección anterior, los atacantes a veces las borran. El mecanismo y su uso se explican en detalle en «Instantáneas de volumen (VSS): el mecanismo y la práctica».

Para ver qué instantáneas quedan, ejecute vssadmin list shadows en un símbolo del sistema de administrador. Este subcomando se puede usar tanto en clientes como en servidores⁸.

vssadmin list shadows

El historial de versiones y la papelera de reciclaje de OneDrive y SharePoint también permiten a los usuarios recuperar archivos. Microsoft recomienda enseñar a los usuarios a restaurar todo su OneDrive a un momento anterior. También indica que solo se les deje restaurar cuando se esté seguro de haber expulsado al atacante, y que se prepare una medida para el caso en que los usuarios restauren también el malware⁵.

La regla 3-2-1 decide cuántas copias y dónde

La regla 3-2-1 es una regla práctica sobre cómo guardar las copias de seguridad. «Data Backup Options», elaborado para US-CERT en 2012, la explica así⁹.

• 3: guardar tres copias de los archivos importantes, el original y dos copias de seguridad.
• 2: guardarlas en dos tipos de soporte distintos para protegerse de distintos tipos de desastre.
• 1: guardar una copia fuera de casa o del lugar de trabajo.

Como fuente, este documento cita «The DAM Book», un libro sobre la gestión de fotografías digitales del fotógrafo Peter Krogh⁹. Microsoft también cita esta regla en su documentación sobre copias de seguridad contra el ransomware, y describe el «1» como «copia externa o en frío»⁵.

Lo que pide la regla 3-2-1 es guardar una copia fuera de la empresa. No exige que la copia externa esté sin conexión ni que no se pueda sobrescribir. Por eso, si la copia externa está en una nube en la que un PC infectado siempre puede escribir, puede cifrarse junto con las copias locales. La guía de CISA y la documentación de Microsoft mencionan el almacenamiento sin conexión como defensa contra el ransomware. Microsoft también menciona el almacenamiento que no se puede sobrescribir⁴⁵.

flowchart TB
        accTitle: La regla 3-2-1 y la protección frente al ransomware
        accDescr: Diagrama que muestra que a la regla 3-2-1 de tres copias, dos tipos de soporte y una fuera de la empresa se añade una copia sin conexión o que no se puede sobrescribir, y después se comprueba que se puede restaurar.
        A["Tres copias"] --> B["Dos tipos de soporte"]
        B --> C["Una fuera de la empresa"]
        C --> D["Una sin conexión o que no se puede sobrescribir"]
        D --> E["Comprobar que se puede restaurar"]

Figura 4: A la regla 3-2-1 se añaden una copia que un PC infectado no puede sobrescribir y la comprobación de que se puede restaurar.

El fabricante de software de copia de seguridad Veeam difunde esto como la «regla 3-2-1-1-0». En la documentación de Veeam, el «1» adicional significa tener una copia sin conexión, aislada (air-gapped) o inmutable, y el «0» significa cero errores en la verificación periódica de la restauración¹⁰. Es un nombre que aparece en la documentación de un fabricante, no una norma oficial. Aun así, los dos elementos adicionales coinciden con lo que piden CISA y el IPA.

Tener una copia que un PC infectado no pueda sobrescribir

Hay dos grandes formas de tener una copia que no se pueda sobrescribir: desconectar el soporte del PC y guardarlo, o usar un almacenamiento en la nube en el que los datos no se pueden sobrescribir ni borrar durante un periodo fijado. Elija la que elija, separe los permisos para gestionar las copias de seguridad del trabajo diario.

Desconectar el soporte del PC y guardarlo

Como ejemplo de medida en su autoevaluación, la guía del IPA dice que los dispositivos y soportes que se usan para las copias de seguridad se conecten al PC solo mientras se hace la copia. También menciona decidir cómo se hacen las copias de seguridad, guardarlas en un lugar seguro y comprobar periódicamente que se pueden restaurar¹¹.

Para la etapa en que la empresa se lo toma más en serio, menciona el «aislamiento físico». Consiste en guardar las copias de seguridad en un lugar físicamente separado del sistema original, almacenando el almacenamiento externo o las cintas de copia de seguridad lo más lejos posible. Como ejemplos de lugar de almacenamiento cita una caja de seguridad de un banco, o un socio comercial o una empresa vinculada de confianza¹².

Una copia de seguridad guardada así, separada de los sistemas de producción, se llama copia de seguridad sin conexión. Un PC infectado no puede escribir en un soporte desconectado. A cambio, son personas las que conectan, desconectan y transportan los soportes, así que se olvidan copias o se olvida llevar el soporte fuera. Decida quién conecta el soporte, quién lo desconecta y lo lleva al lugar de almacenamiento, y cuándo.

Usar un almacenamiento en la nube que no se pueda sobrescribir

El almacenamiento en la nube tiene funciones que impiden sobrescribir o borrar los datos durante un periodo fijado. Guardan los datos en un estado llamado WORM (Write Once, Read Many).

En el almacenamiento inmutable de Azure Blob Storage, al configurar una directiva de retención basada en tiempo, durante ese periodo los datos se pueden crear y leer, pero no modificar ni borrar¹³. La directiva se crea primero en estado desbloqueado y se bloquea después de probarla. Una directiva bloqueada no se puede eliminar, y su periodo de retención se puede alargar pero no acortar¹³. Microsoft explica que ni siquiera los usuarios con permisos de administrador de la cuenta pueden modificar ni borrar los datos¹³.

Object Lock de Amazon S3 tiene dos modos. En el modo de cumplimiento, nadie, ni siquiera el usuario raíz de la cuenta de AWS, puede sobrescribir ni borrar una versión de un objeto durante el periodo de retención. En el modo de gobernanza, solo los usuarios con permisos especiales pueden cambiar o quitar la configuración de retención¹⁴. Object Lock solo se puede usar en buckets con el control de versiones de S3 habilitado¹⁴.

flowchart TB
        accTitle: Dos ejemplos de almacenamiento que no se puede sobrescribir
        accDescr: Diagrama que muestra que en el almacenamiento inmutable de Azure Blob Storage una directiva bloqueada no se puede eliminar ni acortar su periodo de retención, y que con S3 Object Lock ni el usuario raíz puede borrar en el modo de cumplimiento, mientras que en el modo de gobernanza se puede cambiar con permisos especiales.
        W["Almacenamiento que no se puede sobrescribir"] --> AZ["Almacenamiento inmutable de Azure Blob Storage"]
        W --> S3["S3 Object Lock"]
        AZ --> AZ1["Tras bloquearla no se puede acortar la retención"]
        S3 --> C["Modo de cumplimiento"]
        S3 --> G["Modo de gobernanza"]
        C --> C1["Ni el usuario raíz puede borrar"]
        G --> G1["Se puede cambiar con permisos especiales"]

Figura 5: Ambos almacenamientos rechazan la sobrescritura y el borrado durante un periodo fijado; el grado de protección depende de la configuración.

En Azure, aunque se descubra un error de configuración después de bloquear la directiva, no se puede acortar el periodo de retención¹³. La guía de CISA menciona que algunos proveedores de nube ofrecen almacenamiento que no se puede sobrescribir, y advierte que un error de configuración puede generar costes elevados. También señala que puede no cumplir los requisitos de ciertas normativas⁴. Si se fija un periodo de retención largo y se bloquea, durante ese periodo no se pueden borrar los datos y se siguen pagando los costes de almacenamiento. Empiece probando sin bloquear o con un periodo corto, compruebe que se puede restaurar y después aplique la configuración definitiva.

Separar los permisos para gestionar las copias de seguridad

Aunque se use un almacenamiento que no se puede sobrescribir, si la configuración y las directivas de las copias de seguridad se pueden cambiar con la cuenta de administrador de uso diario, un atacante puede cambiarlas. Microsoft recomienda exigir un paso adicional, como la autenticación multifactor o un PIN de seguridad, antes de modificar o eliminar las copias de seguridad en línea. También menciona limitar las operaciones de copia de seguridad y restauración a usuarios con funciones asignadas, y reducir los recursos compartidos de archivos en los que muchos usuarios pueden escribir y borrar⁵.

Aunque la misma persona gestione los PC y las copias de seguridad, no use la cuenta con la que gestiona el destino de las copias para iniciar sesión en el PC a diario, y protéjala con autenticación multifactor.

Conservar varias generaciones

La guía del IPA menciona la «gestión de generaciones», que consiste en tener copias de seguridad de varios momentos. Permite volver a un momento concreto cuando los datos se dañan o se pierden¹². Como se vio en una sección anterior, si se tarda en notar el cifrado, las copias de seguridad más recientes contendrán datos ya cifrados. Decida cuántas generaciones conservar en función del tiempo que podría tardarse en notar el cifrado y del coste del almacenamiento.

flowchart TB
        accTitle: Tres medidas para tener una copia que no se pueda sobrescribir
        accDescr: Diagrama que muestra guardar soportes desconectados o usar almacenamiento que no se puede sobrescribir, separar los permisos para gestionar las copias de seguridad de las cuentas de uso diario y conservar varias generaciones.
        A["Una copia que no se puede sobrescribir"] --> B["Guardar soportes desconectados"]
        A --> C["Almacenamiento que no se puede sobrescribir"]
        B --> D["Separar los permisos de gestión"]
        C --> D
        D --> E["Conservar varias generaciones"]

Figura 6: Después de decidir dónde guardarla, separe los permisos de gestión y conserve generaciones para poder volver aunque se note tarde.

Comprobar que se puede restaurar

En el informe de la Agencia Nacional de Policía, el segundo motivo más frecuente para no poder restaurar fueron los «fallos de operación»¹. No se sabe si una copia de seguridad se puede restaurar de verdad hasta que se intenta. El trabajo de restaurar de verdad desde la copia de seguridad para comprobarlo se llama prueba de restauración.

La guía del IPA divide la gestión de las copias de seguridad en tres partes: hacerlas, guardarlas y recuperar. Para la recuperación, pide elaborar un plan de recuperación y comprobar que se puede restaurar correctamente³. Para los sistemas importantes para el negocio, pide ajustar cómo se hacen las copias de seguridad y los procedimientos al objetivo de tiempo de recuperación (RTO) y al objetivo de punto de recuperación (RPO), y verificar su eficacia con simulacros. El RTO es el tiempo que se tarda en volver al nivel objetivo, y el RPO es el momento al que se vuelve, es decir, el de la copia de seguridad más reciente¹⁵. La guía de CISA también pide comprobar periódicamente, pensando en la recuperación ante desastres, que las copias de seguridad están disponibles y no están dañadas⁴.

flowchart TB
        accTitle: Cómo hacer una prueba de restauración
        accDescr: Diagrama que muestra el flujo de decidir el orden de restauración, restaurar en otro entorno, comparar el tiempo empleado y el punto restaurado con el RTO y el RPO, y corregir el manual de procedimientos.
        A["Decidir el orden de restauración"] --> B["Restaurar en otro entorno"]
        B --> C["Comparar el tiempo empleado con el RTO"]
        B --> D["Comparar el punto restaurado con el RPO"]
        C --> E["Corregir el manual de procedimientos"]
        D --> E
        E -.->|"Siguiente comprobación"| A

Figura 7: Pruebe a restaurar, compruebe si el tiempo y el punto cumplen los objetivos y lleve el resultado al manual de procedimientos.

Qué comprobar

A partir de la documentación del IPA y de Microsoft, lo que hay que comprobar se puede ordenar así.

Microsoft recomienda decidir primero cuáles son los sistemas imprescindibles para el negocio y hacer copias de seguridad de ellos periódicamente. La lista de prioridades de copias de seguridad que resulta se convierte tal cual en la lista del orden de restauración. Como prioridad alta, menciona en primer lugar los mecanismos de autenticación, como Active Directory, necesarios para entrar en todos los demás sistemas⁵. También recomienda hacer periódicamente simulacros de poner en marcha el negocio desde un estado en el que todos los sistemas están parados. En esos simulacros se supone que tampoco funcionan el correo ni el chat⁵.

Microsoft escribe que los atacantes buscan a propósito los manuales de restauración y los diagramas de red. Recomienda protegerlos o tenerlos impresos a mano⁵. Si el manual de procedimientos solo está en el servidor de archivos, no se puede leer cuando ese servidor de archivos está cifrado.

Precauciones al restaurar después de un ataque

Después de un ataque real, elimine el propio ransomware del entorno antes de restaurar⁵. Microsoft menciona elegir una copia de seguridad de un momento en el que se sepa que no había infección, y examinar la copia de seguridad en busca de malware antes de restaurar⁵. El informe de la Agencia Nacional de Policía dice que los grupos de ransomware a veces instalan software que se puede controlar a distancia como puerta trasera para volver a entrar aunque se cierre el punto de entrada². Antes de restaurar hay que investigar la vía de intrusión y lo que dejaron los atacantes.

flowchart TB
        accTitle: El orden para restaurar desde una copia de seguridad después de un ataque
        accDescr: Diagrama que muestra eliminar el propio ransomware y la vía de intrusión, elegir una copia de seguridad de un momento sin infección, examinarla en busca de malware y después restaurar primero los sistemas de mayor prioridad.
        A["Eliminar el propio ransomware"] --> B["Investigar la vía de intrusión y lo que dejaron"]
        B --> C["Elegir un momento sin infección"]
        C --> D["Examinar la copia de seguridad"]
        D --> E["Restaurar primero lo de mayor prioridad"]

Figura 8: Después de un ataque, elimine lo que dejaron los atacantes y confirme un momento sin infección antes de restaurar.

Con qué frecuencia comprobar

Tanto la guía del IPA como la guía de CISA piden comprobar «periódicamente» que se puede restaurar, pero no indican un número de veces¹¹⁴. La empresa del caso del IPA presentado antes hacía simulacros de restauración dos veces al año³. Decida cuánto tiempo puede estar parado el negocio y cuán antiguo puede ser el punto al que se vuelve, y compruébelo con una frecuencia que le permita confirmar que lo cumple.

Qué decidir primero

Lo visto hasta aquí se puede resumir como lo que una pyme debe decidir primero.

flowchart TB
        accTitle: El orden para decidir las copias de seguridad que resisten al ransomware
        accDescr: Diagrama que muestra el orden de decidir el alcance, decidir dónde guardar las copias y la copia que no se puede sobrescribir, decidir los permisos y las generaciones, decidir el RTO y el RPO y comprobar que se puede restaurar.
        A["Decidir el alcance"] --> B["Decidir dónde guardar las copias"]
        B --> C["Decidir la copia que no se puede sobrescribir"]
        C --> D["Decidir permisos y generaciones"]
        D --> E["Decidir el RTO y el RPO"]
        E --> F["Comprobar que se puede restaurar"]

Figura 9: Decídalo todo en una sola secuencia, desde el alcance hasta la comprobación final de que se puede restaurar.

En la versión 4.0 de la guía del IPA, «¡Haga copias de seguridad!» se añadió a los «cinco principios básicos de seguridad de la información» con los que se empieza, que pasaron a ser seis¹⁶. Cómo recorrer la guía en su conjunto se resume en «Medidas de seguridad para pymes, por dónde empezar». Si tiene previsto sustituir servidores, consulte también «Preparing for Windows Server 2016 End of Support».

Artículos relacionados

• Medidas de seguridad para pymes, por dónde empezar — Cómo recorrer la versión 4.0 de la «Guía de medidas de seguridad de la información para pymes» del IPA
• Instantáneas de volumen (VSS): el mecanismo y la práctica — por qué se puede hacer copia de seguridad de archivos en uso
• Preparing for Windows Server 2016 End of Support

Referencias

Artículos relacionados

Artículos recientes con las mismas etiquetas para profundizar en temas cercanos.

Temas relacionados

Estas son páginas de temas cercanos a este. A partir del artículo, puede pasar a los servicios relacionados y a otros artículos.

Servicios relacionados con este tema

Este artículo enlaza con las siguientes páginas de servicios. Puede empezar por una entrada cercana a su situación.

Preguntas frecuentes

Preguntas habituales en las consultas sobre el tema del artículo.

Si hago copias de seguridad, ¿podré restaurarlo todo tras una infección de ransomware?

Muchas veces no basta con hacerlas para poder restaurar. En los daños que recopiló la Agencia Nacional de Policía de Japón para el primer semestre de 2025, 41 de las 48 empresas y organizaciones que tenían copias de seguridad y respondieron no pudieron volver al estado de justo antes del ataque. El motivo más frecuente fue que las copias de seguridad también estaban cifradas. Hace falta tener una copia que un PC infectado no pueda sobrescribir y comprobar que se puede restaurar desde ella.

Si Windows tiene las «versiones anteriores», ¿sigo necesitando copias de seguridad?

Sí. Las versiones anteriores son instantáneas de volumen, es decir, diferencias guardadas en el volumen original. Microsoft considera copia de seguridad lo que se copia desde una instantánea a un soporte como una cinta. El ransomware a veces borra las instantáneas con herramientas como vssadmin, así que conviene combinarlas con copias de seguridad en otro soporte.

¿Basta con cumplir la regla 3-2-1 para protegerse del ransomware?

A veces no basta. La regla 3-2-1 pide tres copias, dos tipos de soporte y una copia fuera de la empresa, pero no exige que la copia externa esté sin conexión ni que no se pueda sobrescribir. Una copia en la nube en la que un PC infectado siempre puede escribir puede cifrarse de la misma manera. Añada una copia en un soporte sin conexión o en un almacenamiento que no se pueda sobrescribir.

¿Con qué frecuencia debo comprobar que puedo restaurar desde las copias de seguridad?

Tanto la guía del IPA como la guía de CISA dicen «periódicamente» y no indican un número de veces. La guía del IPA recoge el caso de una empresa que hacía simulacros de restauración dos veces al año y volvió a poner en marcha sus sistemas principales cinco días después de descubrir el ataque. Decida cuánto tiempo puede estar parado el negocio y cuán antiguo puede ser el punto al que se vuelve, y compruébelo con una frecuencia que le permita confirmar que lo cumple.

Perfil del autor

Página de presentación del autor del artículo.

Go Komura

Representante de KomuraSoft LLC

Especializado en desarrollo de software para Windows, consultoría técnica e investigación de fallos, con especial solvencia en proyectos en los que perduran activos existentes y en investigaciones de fallos cuya causa cuesta ver.