Copias de seguridad en el despacho: la regla 3-2-1 explicada

Un despacho de abogados o una pequeña consultora maneja información que no se puede permitir perder: expedientes, correspondencia con clientes, contratos, documentación fiscal y laboral, y en muchos casos datos especialmente protegidos. Un fallo de disco, un ransomware o un simple error humano pueden borrar años de trabajo en segundos. La regla 3-2-1 es el estándar más extendido para evitarlo, y no requiere grandes inversiones, sino organización.

Qué es la regla 3-2-1

La regla 3-2-1 establece un criterio sencillo para distribuir las copias de seguridad de forma que un único incidente no pueda destruirlas todas:

• 3 copias de cada dato importante: el original y al menos dos copias adicionales.
• 2 soportes distintos: por ejemplo, un disco local y un servicio en la nube, o un NAS y una unidad externa. No sirve tener tres copias en el mismo disco duro.
• 1 copia fuera de las instalaciones (off-site): en la nube, en otra sede o en un soporte físico que se guarde en un lugar distinto al despacho, para que un incendio, una inundación o un robo no acabe con todo a la vez.

Es una regla de sentido común aplicada a la tecnología: no pongas todos los huevos en la misma cesta, y menos aún si esa cesta está en el mismo armario que el resto.

Qué exige la normativa sobre conservación y seguridad de los datos

El Reglamento General de Protección de Datos (RGPD) no impone un formato concreto de copia de seguridad, pero sí obliga a implantar medidas técnicas y organizativas apropiadas al riesgo. El artículo 32 del RGPD menciona expresamente la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico, lo que en la práctica obliga a tener un sistema de copias de seguridad probado, no solo configurado.

La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), refuerza esta idea al vincular la seguridad de los tratamientos con la responsabilidad proactiva del responsable, que en un despacho suele ser el titular o los socios. No basta con decir que se hacen copias: hay que poder demostrar cuándo se hicieron, dónde están y que funcionan.

Para la abogacía existe además una capa adicional: el deber de secreto profesional recogido en el Estatuto General de la Abogacía Española (Real Decreto 135/2021). Perder un expediente por falta de copias de seguridad, o exponerlo por guardarlo sin cifrar en un soporte que luego se extravía, puede convertirse también en un problema deontológico, no solo técnico.

En el ámbito laboral, conviene recordar que nóminas, contratos y documentación del personal están sujetos a plazos de conservación derivados del Estatuto de los Trabajadores y de la normativa de protección de datos, por lo que también deben estar incluidos en la política de copias, no solo los expedientes de clientes.

Backups y facturación electrónica: la Ley 11/2021

La Ley 11/2021, de medidas de prevención y lucha contra el fraude fiscal, introdujo requisitos para los sistemas y programas informáticos que soportan los procesos de facturación: integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros. Esto afecta directamente a cualquier despacho que use software de facturación o gestión que deba cumplir estos requisitos, porque esas garantías de conservación solo son reales si existe una política de copias de seguridad sólida detrás del programa. Un sistema de facturación "a prueba de manipulación" de poco sirve si el disco donde vive se estropea y no hay copia.

Cómo aplicar la regla 3-2-1 en un despacho pequeño

No hace falta un departamento de informática para cumplir la regla 3-2-1. En la práctica, un despacho de tamaño pequeño o mediano puede organizarlo así:

• Copia principal: los datos de trabajo en el ordenador o servidor local del despacho.
• Segunda copia: sincronización automática a un servicio en la nube con cifrado, distinto del proveedor donde se trabaja a diario.
• Tercera copia: un disco externo o NAS que se actualice periódicamente y se guarde, al menos una vez por semana, fuera del despacho (en casa de un socio, en otra sede, o en una caja de seguridad).
• Comprobación periódica: restaurar un archivo de prueba cada cierto tiempo para verificar que la copia realmente funciona, no solo que "se ha ejecutado" el proceso.

Conviene además documentar por escrito quién es responsable de las copias, con qué frecuencia se hacen y cómo se verifican. Ese documento, aunque sea breve, es también la evidencia que acredita la responsabilidad proactiva exigida por la LOPDGDD si algún día hay que justificarla ante un cliente o ante la Agencia Española de Protección de Datos.

Errores comunes que conviene evitar

El error más frecuente no es la falta de copias, sino la falsa sensación de seguridad: se activa una copia automática y se asume que ya está todo resuelto, sin comprobar nunca si realmente se puede recuperar la información. Otro fallo habitual es guardar la copia "externa" en el mismo edificio, lo que anula la protección frente a incendios o robos. Y un tercero, cada vez más relevante, es no cifrar las copias que viajan a la nube o a un disco externo, lo que convierte una medida de seguridad en una nueva vía de fuga de datos si ese soporte se pierde o es sustraído.

La regla 3-2-1 no es una moda tec