Copias de seguridad para pymes y autónomos

Si solo recuerdas una cosa de este artículo, que sea esta: una copia que nunca has restaurado no es una copia, es un deseo. En consultas de seguridad y infraestructura lo primero que miro es si alguien ha probado recuperar un archivo — y casi siempre la respuesta es no. El hardware falla, el ransomware cifra, el portátil se roba en el coche, alguien borra la carpeta «vieja» pensando que sobra. Sin copias verificadas, cada día es ruleta.

La regla 3-2-1 en lenguaje llano

El esquema clásico recomienda:

• 3 copias de los datos importantes (el original cuenta como una).
• 2 tipos de medio distintos (disco interno + NAS, o NAS + nube, por ejemplo).
• 1 copia fuera del sitio (otro edificio, otro proveedor cloud, o al menos no en el mismo router que el NAS).

Para un autónomo con un Mac y Google Drive, puede ser: archivos en el portátil, copia en Time Machine a disco USB guardado en otro sitio, y sincronización cifrada a Backblaze o similar. Para una pyme de ocho personas: ficheros en servidor, snapshot en NAS, copia nocturna a cloud con retención de 30 días.

No hace falta cumplir la regla al milímetro desde el día uno. Hace falta mejorar cada mes hasta acercarte. Lo peor es el Excel «solo en el PC de contabilidad» sin ninguna copia automática.

Qué debes copiar (y qué a menudo se olvida)

Datos de negocio obvios

Facturas emitidas y recibidas, contratos, hojas de cálculo de gestión, bases de datos del TPV o CRM, proyectos de diseño, código fuente si desarrollas producto.

Correo

Si usas IMAP con proveedor serio, hay copia en servidor — pero no confíes ciegamente: buzones borrados, cuentas comprometidas o límites de retención te dejan sin historial. Exportación periódica o archivo legal según sector.

Configuración, no solo ficheros

Export del router, documentación de VLANs, inventario de licencias, contraseñas en gestor (Bitwarden, 1Password) con copia de la caja fuerte. Reconstruir un servidor sin saber cómo estaba montado cuesta días.

Webs y tiendas online

Base de datos + ficheros + entorno. Un plugin de backup de WordPress mal configurado guarda solo wp-content y olvida la base de datos. Antes de actualizar producción, lee actualizar la web sin romper.

Dónde guardar las copias

Disco externo o NAS

Barato, rápido para restaurar un archivo borrado ayer. Riesgo: robo, incendio, ransomware que cifra también el NAS si está siempre montado en el mismo PC infectado. Desconecta o usa snapshots inmutables si tu NAS lo permite.

Nube (S3, Backblaze B2, Wasabi, Google Cloud Storage)

Copia off-site automática. Elige proveedor con cifrado en tránsito, claves que controles tú si es posible, y facturación predecible. No uses «la nube» como sinónimo vago: define qué servicio y qué carpeta.

Sincronización no es backup

Google Drive, Dropbox o OneDrive sincronizan cambios en ambos sentidos. Si borras una carpeta por error y no hay versionado o papelera a tiempo, la pérdida se replica. El backup versionado conserva historial aunque borres en el original.

Frecuencia y retención

No existe una regla universal. Orientación práctica:

• Datos que cambian cada día (TPV, CRM activo): copia automática nightly como mínimo.
• Documentación estable: semanal puede bastar.
• Retención: 30 días de historial diario + copias mensuales de 12 meses cubre la mayoría de «lo borré hace tres semanas».

Los backups deben generar alerta si fallan. Un job que lleva dos semanas roto es peor que no tener job: da falsa seguridad.

Cómo probar que restaura

1. Elige un archivo de prueba o carpeta pequeña.
2. Restáurala en ubicación distinta (no sobrescribas producción).
3. Abre el archivo y comprueba integridad.
4. Para bases de datos, restaura en instancia de prueba y ejecuta consulta simple.
5. Anota fecha y resultado en calendario — repetir trimestralmente como mínimo.

Si el primer ensayo falla, celebra haberlo descubierto sin drama real. Arregla procedimiento y vuelve a probar.

Ransomware y copias

El malware moderno busca backups conectados. Estrategias que funcionan en pymes:

• Copia off-site con credenciales distintas, no montada 24/7 en el PC del contable.
• Snapshots en NAS con protección contra borrado masivo (Synology Snapshot Replication, etc.).
• Segmentar red: el TPV no necesita acceso de escritura al repositorio de backups.

Ninguna medida es perfecta; la combinación reduce probabilidad de quedarte sin nada.

Herramientas que funcionan en la práctica

No existe una única herramienta mágica. Algunas combinaciones que veo a menudo en autónomos y pymes pequeñas:

• Windows + Veeam Agent o Macrium Reflect para imagen del PC crítico, más copia de documentos a cloud.
• Synology Hyper Backup hacia S3 o Backblaze B2 con cifrado cliente.
• Restic o Borg en Linux para servidores — deduplicación y versionado sin vendor lock-in grave.
• Hosting con snapshots (Hetzner, OVH) si tienes VPS: activa snapshots automáticos además de tu script.
• WordPress: UpdraftPlus o BackupBuddy bien configurados, con destino remoto, no solo «copia en el mismo servidor».

La herramienta importa menos que la disciplina: job programado, alerta si falla, prueba de restore trimestral.

Copias y RGPD

Si tus backups contienen datos de clientes (CRM, historiales clínicos ligeros, expedientes), el backup también es tratamiento de datos personales. Implica cifrado en tránsito y reposo, control de acceso, contrato con el proveedor cloud si es encargado, y política de borrado cuando ya no necesites retener. No es excusa para no copiar; es motivo para copiar bien. En la política de privacidad de este sitio detallo el enfoque general; en tu negocio conviene reflejarlo en tu propia documentación si aplica.

Presupuesto orientativo

Un autónomo puede montar esquema serio por debajo de 15–30 €/mes (disco rotativo + cloud ligero). Una pyme de diez usuarios quizá 80–200 €/mes entre NAS amortizado, licencias y almacenamiento. Comparado con un día cerrado por pérdida de datos, suele ser barato. El coste real suele ser el tiempo de alguien que configura y prueba — por eso muchos acaban contratando seguridad o infraestructura una vez y luego mantienen solos con un checklist.

Escenario real: el ransomware del viernes

Un empleado abre un adjunto. A las dos horas las carpetas compartidas muestran extensión rara y un readme pidiendo rescate. Si solo tienes sincronización cloud sin versionado, el cifrado puede haberse propagado. Si tienes copia inmutable de ayer en NAS o B2, el lunes montas máquina limpia, restauras y pierdes como mucho un día de trabajo — incómodo, no catastrófico. La diferencia no es suerte; es haber pagado el «seguro» de backups verificados. Después del incidente, revisamos juntos reglas de acceso y formación mínima; es el paquete que encaja entre seguridad y soporte.

Copias en sectores regulados

Abogados, clínicas o asesorías tienen obligaciones extra de confidencialidad y plazos de conservación. Eso no impide usar cloud cifrado o NAS; exige contrato de encargo de tratamiento, cifrado en tránsito, registro de quién restaura qué y borrado cuando expire el plazo legal. Si tu colegio profesional publica guías, las cruzamos con la regla 3-2-1 para no duplicar esfuerzos ni ignorar requisitos.

Checklist rápido

• ¿Sabes qué datos son imprescindibles para operar mañana?
• ¿Hay al menos una copia automática fuera del portátil principal?
• ¿Alguien recibe aviso si el backup falla?
• ¿Has restaurado algo este trimestre?
• ¿Las copias de la web incluyen base de datos?

Si alguna respuesta es no, tienes trabajo — o puedes pedir ayuda para priorizar. Una tarde bien invertida hoy evita un fin de semana entero reconstruyendo facturas a mano.