Una rutina de copias que sobrevive a la caja de la que copia

Empieza por el montón que no podrías rehacer, porque es más pequeño de lo que crees

Una rutina de copias que intenta cubrirlo todo es una rutina que va lenta, llena su destino y acaba apagada. Empieza separando lo que de verdad no se puede reemplazar: fotografías y vídeo de personas, documentos que escribiste, registros, todo lo hecho en vez de descargado.

Ese montón es casi siempre una fracción pequeña del total, y es el que merece más copias, más sitios y más comprobación. Los contenidos que podrían volver a extraerse de un disco, los programas que podrían volver a descargarse y las cachés de cualquier cosa pertenecen a un segundo nivel, más relajado: vale la pena copiarlos, no vale la pena montar una ingeniería alrededor.

Anota la separación antes de configurar nada. Cada decisión posterior se vuelve más fácil en cuanto sabes qué archivos estás protegiendo realmente.

Tres copias, dos clases de sitio, una de ellas en otra parte

La convención que se repite en todo el sector es tres copias, en dos clases distintas de almacenamiento, con una de ellas fuera del edificio. Es una convención y no una medición, y sobrevive porque cada parte responde a un fallo distinto.

Tres copias significa el original y dos más, de modo que perder una todavía deja un repuesto mientras rehaces el resto.

Dos clases de sitio significa no poner todas las copias en la misma clase de material comprado el mismo día. Las unidades de un mismo lote, en la misma caja y con la misma fuente de alimentación comparten más modos de fallo de lo que parece.

Una en otra parte es la parte que cubre el edificio entero: robo, incendio, agua y cualquier cosa que estropee todo lo que hay en una habitación. Una unidad en el cajón del escritorio, al lado de la carcasa, no pasa esa prueba; una unidad guardada en casa de un familiar, o una copia en manos de un servicio remoto, sí la pasa.

Qué cubre la redundancia de la carcasa, y las cuatro cosas que no cubre

Este es el punto sobre el que gira toda la página, y conviene ser exactos.

Un nivel de redundancia mantiene un volumen legible cuando falla una unidad, y permite sustituir esa unidad sin parar. Eso es real, es para lo que se diseñó la función, y vale la pena tenerlo.

Cuatro sucesos habituales quedan por completo fuera, porque alcanzan a todas las unidades a la vez:

• Un borrado. El archivo se elimina, y la carcasa lo elimina de todas las unidades en las que estaba replicado, de inmediato y correctamente.
• Una sobrescritura. Una aplicación guarda encima de una carpeta, o una sincronización se ejecuta en el sentido equivocado. El contenido nuevo se propaga exactamente como estaba diseñado.
• Un cifrado hostil. Un programa que se ejecuta con tus permisos alcanza lo mismo que alcanza tu cuenta, incluido un recurso compartido montado, y la carcasa guarda fielmente la versión cifrada.
• El edificio. El robo, el incendio y el agua no distinguen entre unidades que se replican entre sí.

Hay un quinto que merece nombrarse: un fallo de la propia carcasa, o una corrupción de los metadatos del conjunto, que puede dejar ilegibles fuera de esa máquina un grupo de unidades perfectamente sanas.

Nada de esto es un argumento contra la redundancia. Es la razón de que las copias existan como cosa aparte.

Guarda versiones, no solo copias, porque casi todas las pérdidas son cosa tuya

Una copia que replica fielmente el estado actual de una carpeta replicará fielmente un error. Si un archivo se sobrescribió el martes y la copia se ejecutó el martes por la noche, la copia guarda ahora la versión sobrescrita y el original ha desaparecido de las dos.

Lo que cubre eso son las versiones: conservar estados anteriores de un archivo durante un tiempo. Los fabricantes de carcasas lo implementan como instantáneas o como control de versiones de archivo, y los programas de copia lo implementan como pasadas antiguas conservadas. En cualquiera de los dos casos, los ajustes que hay que mirar son cuántas versiones se conservan, hasta dónde llegan hacia atrás y cuánto espacio se les permite ocupar, porque la función existe únicamente mientras haya sitio para ella.

Cuando una carcasa ofrece instantáneas que no pueden alterarse ni borrarse durante un plazo fijado, ese ajuste merece entenderse, ya que apunta justo al caso en el que algo con tus permisos intenta destruirlas.

Haz una copia que nada de la red pueda alcanzar

Todo lo que está montado de forma permanente lo alcanza cualquier cosa que llegue a la máquina. Esa es la propiedad que hay que romper, al menos en un sitio.

La forma más sencilla es una unidad que se enchufa, recibe la copia y se vuelve a desenchufar. No está de moda y funciona, y para un montón de archivos irreemplazables que crece despacio, hacerlo una vez al mes es una defensa real. Dos unidades rotando entre dos sitios es todavía mejor, porque una de las dos está siempre fuera del edificio.

Un servicio remoto es la otra forma, y lo que hay que comprobar no es la cantidad de espacio sino qué hace con las versiones y los borrados: cuánto tiempo sigue siendo recuperable un archivo borrado, y si una cuenta comprometida hoy puede arrasar con lo que guarda. Lee esas dos respuestas en la documentación del propio proveedor antes de elegir por precio.

Automatiza la copia, y después comprueba que se ejecutó

Una rutina sin automatizar sobrevive unas tres semanas de vida corriente. Usa lo que ofrezcan la carcasa o el sistema operativo, fija el calendario a partir del intervalo que decidiste arriba, y déjala correr.

Después añade el paso que la gente se salta: una manera de enterarte de que no se ejecutó. Casi cualquier programa envía un aviso cuando falla; actívalo y mándalo a un sitio que leas de verdad. Una rutina que se paró en silencio hace cuatro meses es peor que ninguna rutina, porque llevas cuatro meses tomando decisiones dando por hecho que funcionaba.

Pon un recordatorio periódico en un calendario para mirar las copias una vez al trimestre. Dos minutos, cuatro veces al año.

Ocúpate de las claves y las contraseñas antes de que te dejen fuera

Cifrar una unidad o un recurso compartido merece la pena, y trae consigo un fallo propio: una copia que nadie puede abrir es una copia que no existe.

Decide dónde vive la clave o la frase de contraseña, asegúrate de que exista en un sitio independiente de la máquina que protege, y asegúrate de que al menos otra persona pueda encontrarla si le hace falta. Un gestor de contraseñas, una nota lacrada en una caja fuerte o una hoja impresa en manos de alguien de confianza son respuestas razonables; la única respuesta irrazonable es una clave que existe únicamente en la máquina cifrada.

Lo mismo vale para las credenciales de acceso a un servicio remoto y para cualquier método de recuperación asociado a ellas.

Prueba una restauración, y deja la rutina escrita como procedimiento

Los dos últimos pasos son los que convierten un montaje en un plan.

Restaura algo, a propósito, desde cada copia que mantengas. No el conjunto entero: una carpeta basta. Lo que estás comprobando es que la copia se lee, que recuerdas cómo llegar a ella, y que los archivos de dentro son los que esperabas y no una estructura vacía copiada fielmente de algún sitio.

Déjalo escrito como un procedimiento que otra persona pudiera seguir: qué se copia, de dónde a dónde, cada cuánto, dónde se guardan las unidades, dónde están las claves, y qué hacer primero si la carcasa está muerta. Guarda esa página en un sitio que no sea la carcasa.

La persona que la sigue en una emergencia no suele ser la que montó todo, e incluso cuando lo es, es una versión de esa persona que acaba de perder algo y no está pensando con claridad.