Copias de seguridad en un despacho: la regla 3-2-1

Un despacho de abogados o una pequeña empresa de servicios profesionales vive de su información: expedientes, contratos, correos, hojas de cálculo con cuentas de clientes. Si esa información desaparece por un fallo de disco, un ransomware o un simple error humano, el problema no es solo técnico. Es un problema de continuidad del negocio y, según qué datos se pierdan, también de cumplimiento normativo. La regla 3-2-1 es el estándar mínimo razonable para evitar ese escenario, y aplicarla no requiere un departamento de informática propio.

Qué es la regla 3-2-1

La fórmula es sencilla de recordar y bastante más difícil de implementar bien en la práctica diaria de un despacho pequeño:

• 3 copias de cada dato importante: el original más dos copias.
• 2 soportes distintos: por ejemplo, el disco del ordenador o servidor y, además, un disco externo o un NAS. No sirve tener dos copias en el mismo tipo de soporte si comparten el mismo punto de fallo.
• 1 copia fuera de las instalaciones (offsite): en la nube, en una sede distinta, o en un soporte físico que se guarde en otro lugar. Esta es la copia que te salva si hay un incendio, una inundación o un robo en el despacho.

La lógica detrás de la regla es evitar que un solo incidente, por grave que sea, se lleve por delante todas las versiones de tus datos a la vez. Un disco duro externo conectado permanentemente al mismo ordenador que cifra un ransomware no es una copia de seguridad: es una copia que se va a cifrar también.

Por qué un despacho pequeño no puede permitirse ignorarla

En un despacho de abogados, la pérdida de un expediente no es solo una molestia: puede significar incumplir plazos procesales, perder pruebas documentales o quedar expuesto frente a una reclamación de responsabilidad civil profesional. El Estatuto General de la Abogacía Española (Real Decreto 135/2021) impone al abogado deberes de diligencia y de custodia de la documentación del cliente que resultan incompatibles con una infraestructura de copias improvisada o inexistente.

A esto se suma la dimensión de protección de datos. El Reglamento General de Protección de Datos (RGPD) exige, en su artículo 32, medidas técnicas y organizativas apropiadas para garantizar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico, incluyendo expresamente la capacidad de restaurar la disponibilidad y el acceso a los datos. La Ley Orgánica 3/2018 (LOPDGDD) refuerza este enfoque de responsabilidad proactiva: no basta con tener copias, hay que poder demostrar que el sistema de copias funciona y que se ha probado.

Un despacho que gestiona datos de clientes, contrapartes y terceros (muchas veces categorías especiales de datos en asuntos de familia, laboral o penal) no puede tratar las copias de seguridad como un asunto opcional o de "ya lo haré cuando tenga tiempo".

Errores habituales al implementar la regla 3-2-1

En la práctica, los despachos pequeños suelen cometer los mismos fallos:

• Confiar únicamente en la sincronización en la nube (Dropbox, OneDrive, Google Drive) como si fuera una copia de seguridad. La sincronización replica también los errores y los cifrados maliciosos de forma casi instantánea; no es lo mismo que una copia versionada.
• No probar nunca la restauración. Tener copias que nadie ha verificado que se pueden recuperar es una falsa sensación de seguridad.
• Guardar la copia externa en el mismo edificio, en el cajón de al lado del servidor.
• No cifrar las copias que salen del despacho, especialmente si van a un disco físico que se traslada.
• Dejar las copias accesibles con las mismas credenciales que el sistema principal, de modo que un atacante que compromete un equipo también compromete las copias.

Cómo aplicarla sin complicarse

No hace falta una infraestructura compleja. Una combinación realista para un despacho de tres a quince personas podría ser: el servidor o NAS local como original, un segundo disco o NAS en red como primera copia, y un servicio de copia en la nube cifrada como copia offsite. Lo importante es automatizar el proceso (que no dependa de que alguien se acuerde de conectar un pendrive) y revisar periódicamente los registros de ejecución para confirmar que las copias se han completado sin errores.

También conviene definir qué se copia y con qué frecuencia. No es lo mismo el expediente de un procedimiento en curso que las plantillas de uso interno. Establecer una política mínima, aunque sea de una página, ayuda a que el criterio no dependa de la memoria de una sola persona del despacho.

Invertir una tarde en configurar y documentar correctamente el sistema de copias de seguridad evita después semanas de reconstrucción de expedientes, explicaciones incómodas a los clientes y, en el peor de los casos, responsabilidades que podían haberse evitado. En la sección de Privacidad y Seguridad del blog encontrarás más contenidos sobre cómo proteger la información de tu despacho; si buscas recursos generales de gestión y organización, puedes consultar también el resto de artículos del blog.