¿Cada cuánto debe hacer copias de seguridad una empresa? Frecuencia, retención y pruebas según el tipo de dato

Es una de las preguntas que más nos hacen, y la respuesta corta decepciona: depende. Pero depende de algo muy concreto, que cualquier empresa puede responder en una reunión de media hora: cuántas horas de trabajo te puedes permitir perder si mañana se estropea o se cifra un sistema. Esa cifra marca la frecuencia de la copia. Si perder una mañana de pedidos es inasumible, una copia nocturna no basta.

La frecuencia de la copia no la decide el software: la decide cuánto trabajo estás dispuesto a repetir. Si la última copia es de anoche, todo lo de hoy se pierde.

La pregunta que lo decide: cuánto puedes perder

En el sector se llama RPO (punto de recuperación): el máximo de datos, medido en tiempo, que puedes perder. Si haces copia una vez al día a las 23:00 y el servidor cae a las 18:00, pierdes casi un día entero de trabajo. Si la haces cada hora, como mucho pierdes una hora. Y conviene no confundirlo con el RTO (tiempo de recuperación): cuánto tardas en volver a trabajar. Una copia muy frecuente que tarda dos días en restaurarse tampoco resuelve el problema.

La clave es que no todos los datos valen lo mismo. El ERP o la base de datos de facturación puede necesitar copias varias veces al día; el archivo de proyectos cerrados de hace tres años, una vez a la semana o al mes. Tratar todo igual sale caro o deja huecos.

Frecuencia orientativa por tipo de dato

Esta tabla es un punto de partida razonable para una pyme. Ajústala a lo que te cueste perder cada cosa:

Cuánto tiempo guardar las copias

La frecuencia dice cada cuánto copias; la retención, cuánto tiempo conservas cada copia. Es igual de importante, porque muchos problemas se descubren tarde: un fichero dañado que nadie abre en semanas o un ransomware que cifra en silencio antes de dar la cara. Con solo siete días de copias, cuando te das cuenta ya no queda ninguna limpia.

• Copias diarias: al menos dos o cuatro semanas.
• Copias semanales: uno o dos meses.
• Copias mensuales: un año como mínimo.
• Copias anuales: lo que exija la ley o tu sector para cada tipo de documento (contabilidad, personal, contratos). Confírmalo con tu gestoría.

La regla 3-2-1, en una frase

Tres copias del dato, en dos soportes distintos y una fuera de la oficina. En la práctica: los datos en producción, una copia local para restaurar rápido (un NAS, por ejemplo) y otra en la nube o en otra sede para el día que la oficina no esté disponible. Y, hoy, una condición más: que al menos una de esas copias no se pueda borrar ni modificar con las credenciales normales (copia inmutable o desconectada), porque es lo primero que busca un ransomware.

Cada cuánto probar que la copia funciona

Una copia que nunca se ha restaurado es una suposición. El correo de «copia correcta» solo dice que el trabajo terminó, no que los datos sirvan. Como norma: una prueba de restauración real cada trimestre para los sistemas centrales y una al año para el resto, además de cada vez que cambies algo importante en la infraestructura. Y anota cuánto ha tardado: descubrir el día del incidente que restaurar el servidor lleva dos jornadas es justo lo que la prueba debe evitar.

Errores habituales

• Pensar que Dropbox, OneDrive o Drive son una copia de seguridad. Sincronizan, y si un ransomware cifra la carpeta, la nube recibe los ficheros cifrados.
• Tener el disco o el NAS de copias siempre conectado y accesible con la misma contraseña que el servidor: el ataque se lleva los datos y la copia a la vez.
• Que las alertas de fallo lleguen a un buzón que nadie lee. La copia puede llevar meses fallando sin que nadie lo sepa.
• Copiar el servidor pero no los portátiles, donde vive buena parte del trabajo real.

Conclusión práctica

La frecuencia correcta sale de una conversación, no de un ajuste por defecto: qué sistemas son críticos, cuánto trabajo puedes perder en cada uno y cuánto puedes estar parado. Con eso claro, el resto (frecuencia, retención, copia fuera de la oficina y pruebas) se diseña solo. Si quieres profundizar en cómo proteger la empresa frente al ransomware, empieza por nuestra guía de ciberseguridad para pymes.

Si no tienes claro cada cuánto se hacen hoy tus copias, cuánto tiempo se guardan o si se podrían restaurar, lo revisamos contigo: medimos el tiempo real de restauración de tus sistemas críticos y te decimos qué falta. Y si ya está bien planteado, también te lo diremos.