Il backup del nonno: tre cassetti, una busta sigillata e la prova del ripristino

Il backup di un’azienda è affidabile quando segue la regola 3-2-1 (tre copie dei dati, su due supporti diversi, una delle quali fuori sede), aggiunge una copia isolata che nessuno può modificare dalla rete e viene provato con ripristini veri, fino a zero errori: la formula completa si scrive 3-2-1-1-0. Prima delle copie, però, viene una decisione che spetta alla direzione: per ogni servizio, quanti dati si possono perdere e per quanto tempo può restare fermo. Da quelle due risposte dipendono frequenza delle copie, tecnologie e costi.

I tre cassetti del nonno

Il nonno di questa storia teneva i documenti importanti in tre posti: il cassetto dello studio, una cartelletta nel comò della camera, una busta a casa della zia, in campagna. A chi gli chiedeva il perché, rispondeva: «Se va a fuoco lo studio, restano il comò e la zia».

Due dettagli rendono il suo metodo più moderno di molti piani aziendali. La busta dalla zia era sigillata: nessuno poteva cambiarne il contenuto senza che si vedesse. E una volta l’anno il nonno apriva i cassetti, uno per uno, e controllava che i fogli ci fossero tutti e fossero ancora leggibili. Aveva capito una cosa che vale ancora oggi: un backup mai provato non è un backup, è una speranza.

Uno scenario tipico, all’opposto: la copia notturna finisce su un disco collegato allo stesso server e amministrato con le stesse credenziali. Il pannello di controllo segna «completato» ogni mattina. Il giorno in cui un ransomware cifra il server, cifra anche il disco: tre copie sulla carta, nessuna nella realtà.

Che cos’è la regola 3-2-1, e perché oggi diventa 3-2-1-1-0?

La regola 3-2-1 è il criterio più diffuso per organizzare le copie di sicurezza. Negli ultimi anni gli addetti ai lavori l’hanno estesa con due cifre, per rispondere al ransomware e alle copie mai verificate.

Da dove si parte per progettare il backup di un’azienda?

Dai servizi, non dalla tecnologia. Il NIST, l’ente statunitense per gli standard, nella sua guida alla continuità operativa usa due misure che conviene adottare anche in una riunione di direzione:

• RTO (recovery time objective): per quanto tempo un sistema può restare fermo prima che il danno diventi inaccettabile;
• RPO (recovery point objective): fino a che momento i dati devono poter essere recuperati, cioè quanti dati si accetta di perdere.

Più i due valori sono piccoli, più la soluzione costa. Per questo non li fissa l’IT da solo: li decide la direzione, servizio per servizio, e l’IT li traduce in tecnologia. Un esempio di come può apparire la tabella:

I valori sono solo un esempio: ogni azienda li stabilisce in base a clienti, contratti e processi.

Che cosa va copiato, oltre ai file?

Molti piani copiano bene le cartelle condivise e dimenticano ciò che serve per farle ripartire.

• Database, in modo coerente. Copiare i file mentre il database lavora produce copie inutilizzabili. Per Oracle si usano gli strumenti nativi, come RMAN, con prove di ripristino regolari: è parte del lavoro della divisione Oracle & Database Engineering.
• I sistemi delle identità. Senza la directory degli utenti, nessuno entra nei sistemi appena ripristinati.
• Le configurazioni. Firewall, rete, accessi remoti, centralino: ricostruirli a memoria durante un’emergenza richiede giorni.
• I servizi in cloud. Il fornitore risponde di norma della disponibilità del servizio, non sempre di ciò che un utente cancella o un attaccante cifra. Va letto nel contratto che cosa si recupera e per quanto tempo.
• Le immagini di riferimento dei sistemi critici. La CISA, l’agenzia statunitense per la cybersicurezza, raccomanda di tenere aggiornate copie già configurate da cui ripartire in fretta.
• Chiavi e credenziali del backup. Le chiavi di cifratura delle copie e l’accesso alla console vanno custoditi fuori dai sistemi che proteggono.
• Il documento di ripartenza. Ordine di ripristino, responsabili, contatti: anche su carta.
• L’archivio degli assistenti di intelligenza artificiale. Se l’azienda usa un Company Brain, cioè un assistente che risponde sui documenti interni, nel piano entrano anche il suo archivio, gli indici e le regole di accesso. Senza le regole, un assistente ripristinato in fretta potrebbe mostrare a tutti ciò che era riservato.

Perché la copia isolata fa la differenza?

Perché chi entra nei sistemi cerca le copie. Il ransomware resta la minaccia di maggiore impatto nell’Unione europea secondo l’ultimo rapporto annuale dell’ENISA, l’agenzia europea per la cybersicurezza, e i suoi autori sanno che un’azienda con copie intatte non ha motivo di pagare. La guida #StopRansomware della CISA avverte che molte varianti di ransomware provano a trovare e cancellare i backup raggiungibili, e raccomanda copie offline e cifrate. In pratica:

• almeno una copia non raggiungibile dalla rete aziendale, oppure bloccata in scrittura per un periodo stabilito;
• credenziali di amministrazione del backup separate da quelle di tutti i giorni, con secondo fattore di autenticazione. Una password riciclata, come nel racconto dell’imbianchino digitale, non deve poter aprire anche la console delle copie;
• avvisi quando qualcuno cambia i tempi di conservazione o cancella copie.

La stessa guida segnala un limite: le copie immutabili, se configurate male, possono costare molto e non sempre si conciliano con le regole di conservazione di alcuni dati. La durata del blocco si decide quindi insieme al legale e a chi si occupa della protezione dei dati.

Come si dimostra che il ripristino funziona?

Ripristinando. Il GDPR, all’articolo 32, chiede a chi tratta dati personali la capacità di ripristinarli tempestivamente dopo un incidente e una procedura per verificare regolarmente l’efficacia delle misure; la Legge sammarinese n. 171/2018 lo ripete all’articolo 33. Per le aziende soggette alla NIS2, la verifica dei backup compare tra le misure di base indicate dall’Agenzia per la Cybersicurezza Nazionale.

Ogni prova finisce in un registro: data, sistema, copia usata, tempo effettivo, esito, problemi trovati e correzioni. Il registro serve due volte. Mostra se il tempo reale di ripartenza rispetta quello deciso dalla direzione. E risponde ai questionari dei clienti, che sempre più spesso chiedono la data dell’ultimo ripristino di prova.

Chi risponde del backup quando i sistemi li gestisce un fornitore?

Il lavoro si può affidare, la responsabilità di sapere se funziona no. Nel contratto con il fornitore conviene scrivere che cosa viene copiato e dove, per quanto tempo, chi esegue le prove e con quale cadenza, chi può accedere alle copie, in quali tempi si ripristina, che cosa succede alle copie alla fine del rapporto. E l’azienda deve ricevere i resoconti delle prove, non solo le fatture.

In sintesi

• La regola 3-2-1-1-0 chiede tre copie, su due supporti, una fuori sede, una isolata e zero errori nelle prove.
• Si parte da due decisioni di direzione per ogni servizio: quanti dati si possono perdere e quanto a lungo si può restare fermi.
• Oltre ai file vanno copiati database, identità, configurazioni, servizi in cloud, chiavi e procedure.
• La copia isolata e le credenziali separate impediscono a un attaccante di distruggere anche le copie.
• Solo un ripristino registrato dimostra che il backup funziona, e che i tempi reali sono quelli decisi.

Domande frequenti

Una replica in tempo reale vale come backup?

No. La replica copia subito anche gli errori, le cancellazioni e i file cifrati da un ransomware. Serve a ridurre i fermi, ma va affiancata da copie con più versioni nel tempo, tra cui scegliere un momento precedente al problema.

Per quanto tempo si conservano le copie?

Dipende da tre fattori: quanto tempo può passare prima che un problema venga scoperto, gli obblighi di conservazione di documenti e contabilità, e il principio che limita la conservazione dei dati personali al necessario. Uno schema diffuso alterna copie giornaliere, settimanali e mensili; la durata si decide con l’amministrazione e con il responsabile della protezione dei dati.

Il backup protegge anche dal furto dei dati?

No. Permette di ripartire, ma non impedisce a chi ha sottratto i dati di pubblicarli o di usarli per un ricatto. Per questo le copie vanno cifrate e le difese che impediscono l’accesso restano indispensabili.

Chi deve approvare il piano di backup?

La direzione, insieme a chi gestisce i sistemi. I tempi di fermo e le perdite accettabili sono decisioni d’impresa, perché ogni riduzione ha un costo; all’IT spetta tradurle in tecnologia e dimostrare con le prove che vengono rispettate.

Stabilire i tempi accettabili per ogni servizio, progettare le copie isolate e ripetere le prove a calendario fa parte del lavoro su continuità operativa e disaster recovery della divisione Cybersecurity. Il primo passo, spesso, è lo stesso del nonno: aprire i cassetti e guardare che cosa c’è dentro davvero.

Fonti

Consultate il 16 settembre 2026.

• CISA, #StopRansomware Guide, versione di settembre 2023
• NIST, SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems, maggio 2010
• ENISA, Threat Landscape 2025, ottobre 2025
• Regolamento (UE) 2016/679 (GDPR), articolo 32, EUR-Lex
• Consiglio Grande e Generale, Legge 21 dicembre 2018 n. 171, articolo 33
• Agenzia per la Cybersicurezza Nazionale, Domande frequenti NIS – Misure e notifiche di base