Il tassello mancante: perché il backup non basta senza prevenzione e rilevazione

Il backup è indispensabile, ma da solo non protegge un’azienda: rimedia a un danno già avvenuto, non impedisce a nessuno di entrare e non avvisa quando qualcuno è entrato. La difesa di base poggia su tre pilastri che lavorano insieme: la prevenzione, che rende difficile l’ingresso, la rilevazione, che si accorge in tempo di chi è riuscito a entrare, e il backup, che permette di ripartire. Se ne manca uno, anche gli altri due rendono meno. Una revisione trimestrale, fatta dall’IT con un referente della direzione, basta a capire se tutti e tre reggono.

Perché il backup da solo non basta?

«Abbiamo il backup» è spesso la prima risposta quando si parla di sicurezza, ed è una buona notizia. Un’azienda che ha solo il backup, però, somiglia a una casa con la sola assicurazione contro il furto: dopo il furto arriva un rimborso, ma il vetro rotto, i giorni persi e la fiducia dei clienti non li restituisce nessuno.

Nella pratica il backup lascia scoperti almeno quattro casi.

• Il furto di dati. Molti attacchi oggi copiano le informazioni prima di cifrarle e minacciano di pubblicarle. Il backup riporta indietro i file, ma non richiama i dati usciti.
• L’attacco alle copie. Secondo il rapporto M-Trends 2026 di Mandiant, pubblicato a marzo 2026, nel 2025 diversi gruppi ransomware hanno preso di mira proprio l’infrastruttura di backup, fino a cancellare le copie conservate in cloud, per togliere alle vittime la possibilità di ripartire.
• La porta rimasta aperta. Se l’attaccante ha lasciato un accesso nascosto prima che la copia venisse fatta, il ripristino rimette in funzione anche quello.
• Il tempo. Ripristinare sistemi interi richiede ore o giorni, e intanto l’azienda lavora a metà.

Per questo il backup va pensato come ultimo pilastro, non come unico. Come si costruisce una copia che regge (più copie, supporti diversi, una copia separata) è il tema dell’articolo sul backup del nonno.

Che cosa si intende per prevenzione?

Prevenzione significa rendere costoso entrare. Gli attacchi per denaro sono in gran parte automatici e scelgono le porte più facili, come racconta la lettera immaginaria di un attaccante pentito. Le misure che contano di più sono poche:

• aggiornamenti con priorità: prima i sistemi esposti su internet e le vulnerabilità di cui è noto lo sfruttamento;
• accessi forti: secondo fattore su posta, accessi remoti, servizi in cloud e account amministrativi; password uniche, gestite con un programma dedicato, per non ripetere l’errore delle password riciclate;
• privilegi minimi: gli utenti lavorano senza diritti di amministratore, gli amministratori usano account separati;
• meno superficie esposta: pannelli di gestione e accessi remoti raggiungibili solo da chi ne ha bisogno;
• persone preparate: regole semplici contro le truffe più comuni, come la telefonata del falso supporto tecnico;
• protezione dei computer: strumenti che osservano i comportamenti sospetti, non solo i virus conosciuti, come spiega l’articolo sull’antivirus.

Come si capisce che qualcuno è entrato?

È il compito della rilevazione, il pilastro più trascurato. Nel 2025, secondo lo stesso rapporto M-Trends, tra l’ingresso di un attaccante e la sua scoperta sono passati in mediana 14 giorni. Due settimane in cui chi è dentro può copiare dati, allargare gli accessi e cercare le copie di sicurezza.

Rilevare non vuol dire guardare tutto. Vuol dire tre cose:

1. raccogliere i registri giusti, cioè accessi remoti, autenticazioni, posta, firewall e sistemi critici, e conservarli lontano dai server che descrivono, come spiega l’articolo su Sherlock Holmes e i file di log;
2. scegliere pochi allarmi utili: accessi falliti in serie, un accesso da un Paese insolito, un nuovo amministratore, una protezione disattivata, una cancellazione di backup;
3. dare a ogni allarme un destinatario che sa che cosa fare, dentro l’azienda o presso un servizio esterno.

Come stanno insieme i tre pilastri?

Il quadro di riferimento più usato, il Cybersecurity Framework 2.0 del NIST pubblicato nel 2024, organizza la sicurezza in sei funzioni: governare, identificare, proteggere, rilevare, rispondere, ripristinare. I tre pilastri ne sono la versione essenziale.

Per le aziende soggette alla NIS2 in Italia i tre pilastri corrispondono a misure precise. Le specifiche di base dell’Agenzia per la Cybersicurezza Nazionale chiedono backup periodici con copie offline per i sistemi rilevanti e, per i soggetti essenziali, test di ripristino periodici (misura PR.DS-11); la registrazione degli accessi remoti e amministrativi e la conservazione sicura dei log (PR.PS-04); strumenti per rilevare tempestivamente gli incidenti significativi (DE.CM-01).

La revisione trimestrale: tre controlli con IT e direzione

Una volta ogni tre mesi, mezza giornata con l’IT e un referente della direzione. Tre controlli, uno per pilastro, con un esito scritto.

1. Prevenzione: che cosa è rimasto indietro?

• Elenco dei sistemi esposti su internet, confrontato con quello del trimestre precedente.
• Aggiornamenti in sospeso, con il motivo di ogni rinvio.
• Account amministrativi e accessi remoti: chi li ha, chi non dovrebbe più averli, dove manca il secondo fattore.

2. Rilevazione: gli allarmi funzionano?

• Un evento di prova (per esempio una serie di accessi falliti su un account di test) e il tempo in cui qualcuno se ne accorge.
• Fonti di log che hanno smesso di inviare dati.
• Allarmi degli ultimi tre mesi: quanti, chi li ha gestiti, con quale esito.

3. Backup: si riparte davvero?

• Un ripristino vero, a rotazione: un archivio, una casella di posta, un intero server.
• Il tempo impiegato, confrontato con il fermo massimo che la direzione considera accettabile.
• Le copie separate: esistono, sono aggiornate, sono protette da chi amministra i sistemi di tutti i giorni?

L’esito è una pagina per la direzione: che cosa funziona, che cosa no, che cosa si fa entro il trimestre successivo e chi lo fa.

Quando conviene farsi aiutare?

Quando le stesse persone costruiscono i sistemi e li controllano, è facile non vedere ciò che si è sempre dato per scontato. Uno sguardo esterno serve soprattutto in quattro momenti: la prima volta che si imposta la revisione, dopo un cambiamento importante (un nuovo gestionale, il passaggio al cloud, un’acquisizione), quando un cliente o un’assicurazione chiedono prove e quando si vuole mettere alla prova il piano di ripartenza con un’esercitazione.

In sintesi

• Il backup ripara un danno avvenuto: non ferma l’ingresso, non lo segnala e non richiama i dati rubati.
• Prevenzione, rilevazione e backup funzionano solo insieme.
• Prevenzione: aggiornamenti con priorità, secondo fattore, privilegi minimi, persone preparate.
• Rilevazione: registri conservati altrove, pochi allarmi utili, un destinatario per ciascuno.
• Backup: copie separate e protette, provate con ripristini veri e tempi misurati.
• Una revisione trimestrale con IT e direzione, con un esito scritto, tiene in piedi i tre pilastri.

Domande frequenti

Se abbiamo un buon backup, un ransomware è un problema risolto?

No. Il backup permette di ripartire, ma non evita il fermo, non protegge dai dati copiati prima della cifratura e può essere a sua volta attaccato. Serve insieme a prevenzione e rilevazione.

Che cosa si controlla in una prova di ripristino?

Che i dati tornino davvero leggibili, in quanto tempo e con quali passaggi. La prova va fatta a rotazione su oggetti diversi, dal singolo archivio al server intero, e il tempo va confrontato con il fermo che l’azienda può permettersi.

Chi deve partecipare alla revisione trimestrale?

L’IT, interno o esterno, e un referente della direzione che possa decidere su priorità e spese. Quando si toccano dati personali è utile coinvolgere anche il DPO.

La rilevazione richiede una struttura dedicata?

Non necessariamente. Molte aziende partono da registri centralizzati e da pochi allarmi con un responsabile interno, e crescono per gradi. Conta che ogni allarme abbia una persona che lo riceve e una risposta prevista.

Le misure NIS2 impongono questi controlli?

Per i soggetti NIS in Italia le specifiche di base dell’ACN prevedono backup con copie offline, registrazione e conservazione dei log e strumenti di rilevazione; per i soggetti essenziali anche test di ripristino periodici. Per le imprese sammarinesi il quadro è diverso e va valutato caso per caso.

Tre pilastri, un calendario e una pagina di esito: è il modo più semplice per sapere se la difesa regge. La divisione Cybersecurity di Strategic aiuta a impostare la revisione, a verificare la prevenzione con penetration test e a preparare continuità operativa e ripristino, con prove misurate.

Fonti

• Mandiant (Google Cloud), M-Trends 2026, marzo 2026
• NIST, The NIST Cybersecurity Framework (CSF) 2.0, febbraio 2024
• Agenzia per la Cybersicurezza Nazionale, NIS – Modalità e specifiche di base (Determinazione n. 379907/2025, misure PR.DS-11, PR.PS-04 e DE.CM-01)
• CISA, #StopRansomware Guide
• Direttiva (UE) 2022/2555 (NIS2), articolo 21, EUR-Lex