El RGPD no obliga a cifrar literalmente todas las copias de seguridad, pero su artículo 32 exige medidas adecuadas al riesgo. En la práctica, el backup cifrado resulta imprescindible cuando incluye datos personales y puede perderse, ser accesible por terceros o salir de tu control.
Índice
Anuncio
Cuándo el riesgo obliga a cifrar las copias
El contexto decide.
El Reglamento General de Protección de Datos (RGPD) pide medidas técnicas y organizativas apropiadas al riesgo. Es como decidir si una carpeta necesita una llave: no es igual guardar folletos públicos que contratos, nóminas y datos bancarios de clientes. La Ley Orgánica 3/2018 (LOPDGDD) mantiene ese enfoque de responsabilidad proactiva.
La regla práctica del artículo 32
El cifrado es esperable cuando una brecha del backup puede afectar a personas identificables. También lo es si recuperar la copia permite entrar en WordPress, porque puede incluir contraseñas hash, tokens, correos y archivos privados.
Matriz para decidir con criterio
| Situación de la copia | Riesgo habitual | Control defendible |
|---|---|---|
| Base MySQL con clientes, en servidor propio aislado | Medio | Cifrado, acceso por roles y MFA |
| Copia cloud gestionada por tercero | Medio o alto | Cifrado, contrato, región y registros |
| Disco portátil o portátil de teletrabajo | Alto | Cifrado fuerte y clave separada |
| Datos de salud, menores o finanzas | Muy alto | Cifrado, evaluación específica y controles extra |
Ecommerce y WordPress con datos de clientes
Una tienda no puede tratar sus copias como archivos corrientes.
WordPress suele guardar datos relevantes en la base de datos MySQL: usuarios, pedidos, direcciones de facturación, comentarios y formularios. La carpeta wp-content puede contener documentos subidos, facturas, exportaciones o configuraciones de plugins que conectan con servicios externos.
Qué debe entrar en la copia
Una restauración útil incluye la base MySQL, los archivos subidos, temas personalizados, plugins necesarios y ajustes críticos. El núcleo de WordPress puede descargarse de nuevo, pero las fotos de producto o los documentos de clientes quizá no.
Sincronizar no es tener respaldo
Una sincronización reproduce el estado actual en otro lugar. Si se borra una carpeta, se corrompe la base de datos o el ransomware cifra los archivos, la sincronización puede repetir ese daño casi al instante.
No todos los tipos de backup ofrecen el mismo equilibrio entre coste, velocidad y capacidad de recuperación. Una copia completa simplifica la restauración, pero consume más espacio; una incremental guarda solo los cambios desde la última copia y reduce la ventana de ejecución; una diferencial acumula los cambios desde la última copia completa. Para una base de datos MySQL, la copia debe ser consistente: no basta con archivar archivos si puede haber transacciones en curso.
Automatiza las ejecuciones, conserva varias versiones de respaldo y supervisa los fallos mediante alertas. Así se puede definir un RPO realista —cuántos datos se aceptan perder— y un RTO verificable para la restauración de WordPress, la base de datos y los archivos asociados.
Anuncio
Cifrado, tránsito y control de las claves
No todo cifrado protege igual.
El cifrado en tránsito protege los datos mientras viajan, como un sobre cerrado durante el reparto. TLS es el protocolo habitual para esa conexión segura. El cifrado en reposo protege los archivos ya guardados en el servidor o disco, habitualmente con algoritmos como AES-256.
La clave no puede vivir junto al backup
La gestión de claves de cifrado define quién crea, guarda, rota y recupera las claves. Guardar la contraseña del archivo cifrado en wp-config.php, en el mismo panel de hosting o en una hoja compartida equivale a pegar la llave a la puerta.
Nube gestionada o cifrado propio
| Modelo | Quién suele gestionar la clave | Cuándo encaja |
|---|---|---|
| Cifrado del proveedor | Proveedor cloud | Riesgo moderado y proveedor auditado |
| Clave gestionada por empresa | Empresa o servicio de claves | Datos sensibles o exigencia contractual |
| Cifrado previo al envío | Empresa | Copias portátiles o máximo aislamiento |
Copias 3-2-1 frente a ransomware
Tres copias son un inicio.
La regla 3-2-1 propone tres copias de los datos, en dos soportes distintos y una fuera del entorno principal. Para WordPress, puede significar producción, una copia en almacenamiento externo y otra versión aislada. No es una norma legal, sino una práctica de continuidad ampliamente aceptada.
Recuperar limpio, no solo rápido
Tras ransomware, restaura primero en un entorno aislado. Revisa administradores de WordPress, tareas programadas, archivos modificados, plugins, temas y credenciales antes de devolver la web a producción.
La prueba que convierte una promesa en evidencia
Las copias automáticas sin pruebas son una alarma sin batería. Registra al menos una restauración cada 3 o 6 meses, la versión usada, el tiempo real, los fallos y la persona responsable.
No se restaura directamente una copia tomada después de una intrusión sin validar su estado.
La evolución 3-2-1-1-0 añade dos controles que importan especialmente frente al ransomware: una de las copias debe permanecer offline o ser inmutable durante el periodo de retención, y las pruebas de recuperación deben terminar con cero errores no resueltos. La inmutabilidad impide modificar o borrar determinadas versiones de respaldo hasta la fecha configurada, pero no sustituye el control de claves, el acceso por roles ni la autenticación multifactor: un atacante con privilegios sobre la cuenta, las políticas o las claves puede comprometer la estrategia.
En un backup cloud, conviene separar la cuenta administrativa de producción, conservar copias de seguridad cifradas en otro dominio de seguridad y comprobar periódicamente que una restauración funciona con los permisos reales de emergencia.
Hosting y proveedores: responsabilidades reales
El backup incluido no equivale a cumplimiento.
Tu empresa suele ser el responsable del tratamiento: decide para qué usa los datos. El hosting, la nube o el mantenimiento WordPress pueden ser encargados del tratamiento: tratan esos datos siguiendo instrucciones y un contrato conforme al artículo 28 RGPD.
Un disco externo cifrado como capa separada
Un disco externo cifrado puede servir como copia fuera de línea si se guarda en un lugar seguro y no permanece conectado. No debe ser la única copia, ni sustituye el contrato y los controles de una nube.
Un disco externo con cifrado por hardware o software puede aportar una copia aislada frente al ransomware. Debe guardarse desconectado y con la clave custodiada fuera del equipo principal.
- Permite conservar una versión fuera de la cuenta de hosting comprometida
- Reduce la exposición si el disco se pierde durante un traslado
- Facilita una copia offline dentro de una estrategia 3-2-1
La protección de datos de las copias también exige saber desde qué países pueden almacenarse o administrarse. Si un proveedor, un subencargado o su soporte accede desde fuera del Espacio Económico Europeo, la empresa debe analizar si existe una decisión de adecuación o si son necesarias garantías como cláusulas contractuales tipo y medidas complementarias. Esta revisión debe quedar alineada con el artículo 32 del RGPD, la LOPDGDD y el contrato de encargado.
Además, la política de retención debe fijar cuándo caduca cada copia, cómo se elimina de repositorios activos y archivados y qué evidencia de borrado seguro entrega el proveedor al finalizar el servicio. Conservar backups indefinidamente aumenta la exposición y dificulta justificar la limitación del plazo de conservación.
Anuncio
El plan verificable para tu empresa
Documentar es proteger.
Una política breve debe indicar qué se copia, cada cuánto, dónde se guarda, quién accede, qué cifrado se usa y cuándo se borra. Relaciónala con el análisis de riesgos, el registro de actividades de tratamiento y el plan de continuidad de negocio.
Checklist que puedes auditar
- Inventario de copias, datos incluidos y ubicación de cada destino.
- Análisis de riesgos que justifique cifrado, acceso y periodo de conservación.
- Contrato de encargado con hosting, nube y mantenimiento.
- MFA y permisos mínimos en hosting, almacenamiento y WordPress.
- Claves separadas de las copias y proceso documentado de recuperación.
- Prueba de restauración limpia cada 3 o 6 meses.
- Registro de accesos, restauraciones, borrados y revisión de cuentas inactivas.
Cuándo esta guía no basta
Preguntas y respuestas
¿El RGPD obliga a cifrar todos los backups?
El RGPD no exige literalmente cifrar todas las copias, pero exige medidas adecuadas al riesgo según su artículo 32. Si contienen datos personales y pueden perderse, compartirse o salir del control de la empresa, cifrar suele ser la opción defendible.
¿El backup del hosting ya cumple RGPD?
El backup del hosting solo puede considerarse suficiente si conoces cifrado, accesos, región, retención y contrato de encargado. Una frase comercial como “copias diarias” no demuestra esos cinco controles.
¿Qué datos de WordPress deben ir cifrados?
Las copias con usuarios, pedidos, formularios, direcciones o documentos privados deben cifrarse cuando salen del entorno controlado. La base MySQL y los archivos subidos suelen concentrar esos datos.
¿Qué diferencia hay entre backup y sincronización?
Un backup guarda versiones recuperables de distintos momentos, mientras una sincronización replica el estado actual. Si el ransomware cifra archivos, la sincronización puede propagar el daño en minutos.
¿Cada cuánto debo probar una restauración?
Una pyme debería probar una restauración al menos cada 3 o 6 meses y tras cambios relevantes de infraestructura. La prueba debe registrar tiempo, errores y versión recuperada.
¿Qué es un backup inmutable?
Un backup inmutable no se puede modificar ni borrar durante un plazo establecido. Protege frente a ransomware y errores administrativos, siempre que las credenciales también estén separadas.
¿Quién responde si el proveedor pierde mi copia?
La empresa sigue respondiendo como responsable del tratamiento, aunque el proveedor pueda incumplir su contrato como encargado. Por eso deben constar funciones, accesos, plazos y aviso de incidentes.
¿Basta con poner una contraseña a un archivo ZIP?
Una contraseña simple en un ZIP no basta si está guardada en el mismo servidor o se comparte por correo. Usa cifrado fuerte, MFA y una custodia separada de claves.
Decide, documenta y prueba la recuperación
La decisión correcta combina riesgo y evidencia.
Si manejas datos personales en WordPress, cifra las copias externas, portátiles o accesibles por terceros. Conserva varias versiones separadas, define RPO y RTO según el daño que tu negocio pueda asumir, y valida restauraciones limpias.
Una copia segura no es la que dice estar cifrada, sino la que puedes restaurar sin exponer datos ni repetir el incidente.
- El RGPD exige una medida proporcional al riesgo, pero el cifrado es difícilmente prescindible en copias con datos personales fuera de control.
- El cifrado del proveedor no basta si las claves y los permisos quedan expuestos en la misma cuenta.
- Una estrategia 3-2-1 con versiones aisladas reduce el impacto de ransomware y borrados.
- Contrato, retención, registros y restauraciones probadas son la evidencia que sostiene el cumplimiento.
Anuncio
Fuentes de interés
Otros artículos que pueden complementar lo que acabas de leer:
- Tu proveedor puede darte stock ficticio en dropshipping
- Backups cifrados: proteger y recuperar WordPress sin fallos
Josu Barrios
Somos especialistas en mantenimiento WordPress para empresas, profesionales y tiendas online. Contamos con experiencia en seguridad web, optimización de rendimiento, actualizaciones, copias de seguridad y resolución de incidencias técnicas, ayudando a que cada sitio funcione de forma rápida, estable y protegida. Nuestro enfoque combina soporte técnico profesional, buenas prácticas de seguridad y seguimiento continuo para ofrecer un servicio fiable, transparente y orientado a resultados reales.