Una copia de seguridad o copia de respaldo (en inglés, backup) es una copia de los datos de un dispositivo que se guarda en otro dispositivo o sistema para poder recuperarlos si el original se pierde, se estropea o deja de ser accesible, sea por una avería, un robo, un borrado accidental o un ataque informático. No debe confundirse con el archivo (archive): las copias de seguridad se hacen para recuperar datos a corto y medio plazo, mientras que el archivo consiste en conservar a largo plazo los ficheros que tienen interés informativo o histórico, y trasladarlos a un lugar donde no se modifican.
Hay tres tipos principales de copia. La copia completa (full backup) guarda todos los datos cada vez; es la más sencilla de restaurar, pero la que más tiempo y espacio ocupa. La copia incremental (incremental backup) guarda solo lo que ha cambiado desde la última copia de cualquier tipo, lo que es muy rápido, pero para restaurar hace falta la última completa y todas las incrementales posteriores. La copia diferencial (differential backup) guarda lo que ha cambiado desde la última copia completa, un término medio entre las dos. Lo habitual es combinarlas, por ejemplo con una copia completa semanal y copias incrementales diarias, y guardar varias versiones, para poder volver a cómo estaban los datos hace un día, una semana o un mes.
La recomendación clásica es la regla 3-2-1 (3-2-1 rule): tres copias de los datos, en dos soportes distintos, y al menos una fuera del lugar donde está el original. Una copia local, en el mismo ordenador o en un disco junto a él, es rápida de usar pero se pierde en un incendio o un robo; una copia en la nube o en otro edificio protege contra esos desastres. Desde que se extendió el secuestro de datos (ransomware), que cifra todos los ficheros a los que llega, incluidos los de los discos conectados, se recomienda además tener al menos una copia desconectada (offline o air-gapped) o que no se pueda modificar durante un tiempo.
Las empresas planifican sus copias con dos medidas. El punto de recuperación objetivo (recovery point objective, RPO) es cuántos datos se puede permitir perder, es decir, cada cuánto hay que copiar: si es una hora, hay que hacer copias al menos cada hora. El tiempo de recuperación objetivo (recovery time objective, RTO) es cuánto tiempo se puede tardar en volver a funcionar. Y hay una regla que se olvida a menudo: una copia de seguridad que nunca se ha intentado restaurar (restore) no se sabe si funciona. Muchas organizaciones han descubierto el día que la necesitaban que sus copias estaban incompletas, corruptas o cifradas por el mismo atacante. Por eso forman parte de las acciones proactivas de defensa de cualquier organización.