Copias de seguridad en un despacho: la regla 3-2-1

Un despacho de abogados o una consultora de servicios profesionales vive de la información: expedientes, correos, contratos, documentación fiscal y laboral. Si esa información se pierde (por un fallo de disco, un ataque de ransomware o un simple error humano), el problema no es solo técnico. Es un problema legal, reputacional y económico. La forma más eficaz de evitarlo, y la más citada por profesionales de seguridad informática, es aplicar la llamada regla 3-2-1.

Qué es la regla 3-2-1

La regla 3-2-1 es un criterio práctico para organizar las copias de seguridad de forma que resistan casi cualquier incidente. Consiste en lo siguiente:

• 3 copias de cada dato importante: el original y al menos dos copias adicionales.
• 2 soportes distintos: por ejemplo, disco local y almacenamiento en la nube, para no depender de un único tipo de fallo.
• 1 copia fuera del local (off-site), de modo que un robo, un incendio o una inundación en el despacho no afecte a todas las copias a la vez.

La lógica es simple: cuantos más puntos únicos de fallo elimines, menos probable es que un solo incidente te deje sin datos ni forma de recuperarlos.

Por qué no es opcional en un despacho

La conservación y la seguridad de la información no son solo buenas prácticas: son obligaciones legales en varios frentes que afectan directamente a despachos y firmas de servicios profesionales.

El RGPD (Reglamento UE 2016/679) exige en su artículo 32 aplicar medidas técnicas y organizativas apropiadas para garantizar la disponibilidad y la resiliencia de los sistemas que tratan datos personales, incluyendo expresamente la capacidad de restaurar el acceso a los datos de forma rápida en caso de incidente físico o técnico. La LOPDGDD (Ley Orgánica 3/2018) desarrolla este marco a nivel estatal y refuerza el deber de responsabilidad proactiva: no basta con tener copias, hay que poder demostrar que existen y que funcionan.

Para la abogacía, el Estatuto General de la Abogacía Española (Real Decreto 135/2021) establece deberes de secreto profesional y de conservación diligente de los expedientes de los clientes, lo que exige que la documentación esté disponible incluso años después de cerrado un asunto. La Ley 18/2022 (Crea y Crece) y la Ley 11/2021 de medidas de prevención y lucha contra el fraude, ambas relacionadas con la facturación electrónica y su conservación, añaden otra capa: los registros contables y fiscales también deben poder recuperarse íntegros durante los plazos legales de conservación. Y si el despacho tiene empleados, el Estatuto de los Trabajadores obliga a conservar determinada documentación laboral, algo imposible de garantizar sin una política de copias fiable.

Cómo aplicar la regla 3-2-1 en la práctica

No hace falta un departamento de sistemas para implementarla. En un despacho pequeño o mediano, un esquema razonable es:

• Copia principal en el equipo o servidor de trabajo (el original).
• Segunda copia en un disco externo o NAS ubicado en el propio despacho, actualizada automáticamente cada día.
• Tercera copia en un servicio de almacenamiento en la nube, sincronizada fuera del horario de máxima carga y con acceso restringido.

Lo importante no es la herramienta concreta, sino que las tres copias existan de forma simultánea y que al menos una esté físicamente fuera del despacho. También conviene cifrar las copias que contengan datos personales o información confidencial de clientes, especialmente las que se almacenan en la nube.

El error más habitual: copias que nadie ha probado

Tener copias no sirve de nada si, cuando se necesitan, no se pueden restaurar. Es frecuente encontrar despachos con rutinas de copia configuradas hace años que llevan meses fallando sin que nadie lo haya detectado, porque nadie ha intentado recuperar un archivo desde ellas. Verificar periódicamente que las copias son legibles y completas es tan importante como generarlas.

Otro fallo típico es depender de un único proveedor o soporte para las tres copias. Guardar todo en la nube, aunque sea en carpetas distintas, no cumple la regla 3-2-1 si un problema en la cuenta (bloqueo, error de sincronización, ataque al proveedor) afecta a todas las réplicas a la vez.

La regla 3-2-1 no elimina el riesgo de perder información, pero reduce drásticamente su probabilidad y, sobre todo, garantiza que un incidente puntual no se convierta en una crisis. En un despacho, donde la confidencialidad y la disponibilidad de los expedientes son parte de la obligación profesional, invertir una tarde en revisar y documentar la política de copias suele ser una de las decisiones más rentables que se pueden tomar. Puedes profundizar en otros aspectos de seguridad y cumplimiento en la sección de Privacidad y Seguridad o revisar más artículos prácticos en el blog.