Ciberseguridad · Backup 10 min de lectura
Hay dos tipos de empresas: las que han perdido datos críticos y las que todavía no saben que están a punto de perderlos. No es una frase dramática. Es la conclusión que comparten todos los profesionales de ciberseguridad que llevan años gestionando incidentes reales.
El error más común no es no tener backup. Es creer que se tiene backup cuando en realidad no se tiene. Y el caso más frecuente de ese error en 2026 es exactamente este: pensar que Microsoft 365 ya hace copias de seguridad de tus datos. No las hace. No de la forma en que crees.
Contenido del artículo
- El mito de Microsoft 365: lo que Microsoft protege y lo que no
- Las 5 formas más habituales en que las empresas pierden datos
- La regla 3-2-1: el estándar que toda empresa debería cumplir
- Qué datos críticos se olvidan en casi todos los backups
- RPO y RTO: las dos preguntas que tu empresa debe poder responder
- Backup e inmutabilidad: la protección que el ransomware no puede romper
- Las 5 preguntas que revelan si tu backup realmente funciona
- Cómo ayuda InnovaB2B
Empresas víctimas de ransomware
1 de cada 5
Ataques ransomware al propio backup
15%
Estándar de copias de seguridad
regla 3-2-1
Empresas que recuperan datos en horas con backup correcto
vs semanas sin él
El mito de Microsoft 365: lo que Microsoft protege y lo que no
Este es el malentendido más peligroso y más extendido en las empresas españolas que usan Microsoft 365. La confusión es comprensible: los datos están en la nube de Microsoft, con redundancia geográfica, en servidores de alta disponibilidad. ¿Para qué necesito un backup adicional?
La respuesta está en lo que Microsoft llama el modelo de responsabilidad compartida. Microsoft garantiza que el servicio esté disponible. No garantiza la recuperación de tus datos si algo les pasa dentro de tu cuenta.
✅ Lo que Microsoft SÍ garantiza
- Disponibilidad del servicio (uptime)
- Redundancia geográfica de la infraestructura
- Seguridad física de los centros de datos
- Papelera de reciclaje con retención limitada
- Versiones anteriores de archivos (periodo limitado)
❌ Lo que Microsoft NO garantiza
- Recuperación de correos eliminados permanentemente
- Restauración de archivos sobrescritos por sincronización
- Recuperación tras borrado masivo por ransomware
- Restauración tras borrado malicioso por empleado
- Copia independiente y controlada por tu empresa
Lo que dice Microsoft literalmente en su documentación: «La responsabilidad principal de Microsoft es garantizar un tiempo de actividad casi perfecto de su servicio en la nube. No confunda esto con un backup. Solo copias independientes y seguras de sus datos le ofrecen verdadera tranquilidad.»
Las 5 formas más habituales en que las empresas pierden datos
El ransomware acapara los titulares, pero no es la causa más frecuente de pérdida de datos en PYMES. Estas son las cinco más habituales, ordenadas por frecuencia real:
Borrado accidental por usuario
Un empleado elimina una carpeta completa creyendo que ya no es necesaria. O vacía la papelera sin mirar. O sincroniza OneDrive en el sentido equivocado y sobreescribe semanas de trabajo. Es la causa número uno de pérdida de datos en empresas.
Ransomware
1 de cada 5 empresas lo sufre. El malware cifra los archivos y pide rescate. Si el backup está en el mismo entorno que los datos atacados, también queda cifrado. El 15% de los ataques de ransomware apuntan específicamente al almacenamiento de copias de seguridad.
Empleado descontento o saliente
Un empleado que sale de la empresa, ya sea de forma voluntaria o no, puede borrar o llevarse información crítica. Sin trazabilidad ni backup, ese dato puede ser irrecuperable.
Fallo de hardware o sistema
Un servidor que falla, un disco duro que se rompe, una migración mal ejecutada. En entornos híbridos con servidores físicos, sigue siendo una de las causas más frecuentes de pérdida de datos.
Errores en migraciones o actualizaciones
Una migración a la nube mal planificada, una actualización de sistema que sobrescribe datos o una integración entre aplicaciones que funciona de forma inesperada. Son situaciones muy habituales y con frecuencia irreversibles sin backup.
⚠️ La trampa de la papelera de reciclaje: muchas empresas confunden la retención de la papelera de reciclaje de Microsoft 365 (30-93 días según configuración) con tener backup. No es lo mismo. Cuando ese plazo vence, los datos son irrecuperables sin una solución de backup independiente.
La regla 3-2-1: el estándar que toda empresa debería cumplir
La regla 3-2-1 es el principio más extendido en estrategias de copias de seguridad para empresas. Simple, lógica y eficaz:
3
copias de los datos
El original más dos copias adicionales. Una sola copia es, por definición, un punto único de fallo.
2
tipos de soporte diferentes
Por ejemplo, almacenamiento local más almacenamiento en la nube. Si un tipo de soporte falla, el otro sigue disponible.
1
copia en ubicación distinta
En otra ubicación física o en la nube. Protege frente a incendios, robos, inundaciones o cualquier evento que afecte a la sede principal.
La extensión recomendada en 2026: la regla 3-2-1-1. Añade una cuarta capa: al menos una copia inmutable, que no puede ser modificada ni cifrada por nadie durante un periodo determinado, ni siquiera por el administrador o por un atacante con acceso total. Es la única protección que el ransomware no puede romper.
Qué datos críticos se olvidan en casi todos los backups
La mayoría de empresas hace backup de los servidores de archivos. Pero hay elementos críticos que quedan fuera con más frecuencia de la que se cree:
Bases de datos en uso. Un backup de archivos no protege una base de datos activa si no se hace correctamente. El ERP, el CRM y cualquier aplicación de gestión necesitan backup específico en caliente.
Correo electrónico en Microsoft 365. El correo en M365 tiene retención limitada pero no es backup contra borrados accidentales ni ataques. Necesita solución de backup específica.
SharePoint, Teams y OneDrive. Los datos de colaboración en Microsoft 365 necesitan backup independiente. Un archivo sobrescrito por sincronización puede perder versiones anteriores de forma permanente.
Configuraciones de sistemas críticos. Routers, firewalls y switches gestionables. Perder la configuración de un firewall puede tardar días en recuperarse, dejando la empresa sin conectividad o sin protección.
Imágenes completas de servidor. Para poder restaurar un servidor en hardware nuevo en horas en lugar de en días, se necesita una imagen completa del sistema operativo y las aplicaciones, no solo los datos.
Aplicaciones SaaS distintas de M365. CRM, ERP en nube, plataformas de e-commerce, herramientas de gestión de proyectos. Muchas empresas asumen que el proveedor SaaS hace backup. Muchos no lo hacen o no de la forma que se cree.
RPO y RTO: las dos preguntas que tu empresa debe poder responder
Antes de diseñar cualquier estrategia de backup, hay dos preguntas que la empresa debe ser capaz de responder. Si no puedes contestarlas, no sabes si tu backup es suficiente:
RPO — Recovery Point Objective
¿Cuántos datos puedes permitirte perder?
Si haces backup cada 24 horas y tienes un incidente a las 23:00, pierdes casi un día entero de trabajo. ¿Tu empresa puede asumir esa pérdida? Cada empresa tiene un RPO distinto según su actividad.
RTO — Recovery Time Objective
¿Cuánto tiempo puedes estar sin operar?
Si restaurar un sistema tarda 3 días y tu empresa no puede operar sin él, ese es un problema crítico. El backup debe garantizar que el RTO sea inferior al tiempo máximo tolerable de parada.
Backup inmutable: la protección que el ransomware no puede romper
El 15% de los ataques de ransomware apuntan específicamente al almacenamiento de copias de seguridad. Si el backup está accesible desde el mismo entorno que los datos atacados, el ransomware puede cifrarlo también. La solución es el backup inmutable: copias que no pueden ser modificadas ni eliminadas por nadie durante un periodo determinado, incluyendo administradores con acceso total.
En 2026 el backup inmutable es el estándar recomendado para cualquier empresa que maneje datos críticos. No es una opción premium: es la red de seguridad que hace que las demás capas tengan sentido.
Las 5 preguntas que revelan si tu backup realmente funciona
Un backup no verificado es como un paracaídas sin probar. Estas cinco preguntas te dirán si tu estrategia actual de backup está realmente funcionando:
- ¿Sabemos exactamente qué sistemas y datos están incluidos en el backup, y cuáles no?
- ¿Existe al menos una copia que un atacante con acceso total no podría borrar ni cifrar?
- ¿Cuándo fue la última vez que se restauró algo desde el backup como prueba real?
- ¿Microsoft 365 (correo, SharePoint, OneDrive, Teams) tiene una copia independiente de la plataforma?
- ¿Hay más de una persona en la empresa capaz de ejecutar una restauración completa?
Si alguna respuesta es «no lo sé», esa es exactamente la prioridad número uno antes de invertir en cualquier otra cosa relacionada con seguridad o digitalización.
Cómo ayuda InnovaB2B a proteger los datos de tu empresa
En InnovaB2B diseñamos e implantamos estrategias de backup que cubren todos los puntos críticos de la empresa: servidores físicos y virtuales, Microsoft 365 completo (correo, SharePoint, OneDrive, Teams), bases de datos, configuraciones de red y aplicaciones SaaS críticas.
El primer paso es siempre una revisión de la estrategia actual: qué se está protegiendo, qué se está dejando fuera, cuál es el RPO y el RTO real de la empresa y si existe al menos una copia inmutable que el ransomware no pueda alcanzar. Esa revisión es gratuita y suele revelar puntos ciegos que nadie había detectado.
💡 La diferencia entre una empresa que recupera su actividad en horas y otra que tarda semanas no suele estar en la tecnología que usan. Está en si alguna vez se pararon a comprobar que su backup realmente funcionaba.
¿Sabes exactamente qué pasaría si mañana perdieras tus datos?
Revisamos tu estrategia actual de copias de seguridad sin coste, incluyendo Microsoft 365, y te decimos exactamente dónde están tus puntos ciegos antes de que un incidente real te lo descubra.
Artículos relacionados
→ Migración de servidor físico a la nube: ventajas, inconvenientes y todo lo que debes saber
→ Shadow AI: el 77% de tus empleados ya usa IA sin que lo sepas
#Backup
#Ciberseguridad
#Microsoft365
#Ransomware
#InnovaB2B
