Backup Aziendale: La Regola del 3-2-1 Spiegata Semplice
Se dovessi scegliere un'unica misura di sicurezza informatica per la tua azienda, ti direi: il backup aziendale. Non l'antivirus più costoso, non il firewall più potente — il backup. Perché un backup recente e funzionante può trasformare un disastro informatico in un inconveniente risolvibile in poche ore. Senza di esso, lo stesso disastro può significare la fine dell'azienda.
In questa guida ti spiego la regola del 3-2-1 — lo standard di riferimento per qualsiasi organizzazione — e come implementarla concretamente, anche se non sei un tecnico.
Per capire meglio il contesto delle minacce che rendono i backup indispensabili, leggi la mia Guida Completa alla Sicurezza Informatica per PMI. E se vuoi capire come i criminali entrano nei sistemi aziendali prima di colpire con il ransomware, l'articolo sul Phishing Aziendale è il punto di partenza.
Perché il Backup Aziendale Non è Più Opzionale
Lasciami raccontare una storia che ho vissuto in prima persona, seguendo un'azienda cliente.
Era una piccola società di servizi, dieci dipendenti, sede in provincia di Treviso. Un venerdì sera, un ransomware — entrato attraverso un'email di phishing cliccata da un dipendente — ha iniziato a cifrare silenziosamente tutti i file del server. Il lunedì mattina, al rientro in ufficio: tutto bloccato. Fatture, contratti, database clienti, anni di documentazione. La richiesta di riscatto era di 15.000 euro.
Il backup più recente? Una copia su un hard disk esterno — collegato fisicamente al server — che il ransomware aveva cifrato insieme a tutto il resto.
Cinque giorni di fermo totale. Recupero parziale dei dati da copie sparse nelle email. Un danno stimato di oltre 40.000 euro tra mancato fatturato, recupero dati e ripristino sistemi. Senza contare il trauma per i dipendenti e la perdita di fiducia dei clienti.
Quella storia si ripete ogni giorno in aziende italiane di ogni dimensione. E quasi sempre la causa scatenante — o il fattore che trasforma l'attacco in catastrofe — è l'assenza di un backup aziendale adeguato.
La Regola del 3-2-1: Il Fondamento del Backup Aziendale
La regola del 3-2-1 è lo standard di riferimento nel mondo della sicurezza informatica da decenni, ed è valida ancora oggi. È semplice da capire e da implementare:
3: Tieni 3 copie dei tuoi dati
2: Su 2 supporti o sistemi diversi
1: Con 1 copia conservata in una sede fisicamente separata (offsite)
Vediamo cosa significa nella pratica.
Le 3 Copie
La copia numero uno è il dato originale — quello sui tuoi server o PC aziendali che usi ogni giorno. Non conta come "backup": è il dato di lavoro.
La copia numero due è un backup locale: un NAS (Network Attached Storage, in sostanza un mini-server di backup) in ufficio, o un hard disk dedicato. Questa copia ti permette di ripristinare rapidamente file cancellati per errore o dati corrotti.
La copia numero tre è quella offsite — fisicamente separata dalla tua sede. Questa è la copia che ti salva in caso di ransomware che raggiunge la rete locale, incendio, allagamento, o furto.
I 2 Supporti Diversi
Non basta avere due copie sullo stesso tipo di dispositivo. Se conservi tutto su hard disk e il produttore di quel modello ha un difetto di fabbricazione, rischi di perdere tutto. Usa tecnologie diverse: un NAS locale e un cloud, oppure un disco locale e un nastro magnetico (ancora utilizzato nelle aziende più strutturate).
La Copia Offsite
Questo è l'elemento che manca nella maggior parte delle PMI che visito. La copia offsite deve essere:
- Fisicamente separata: non nello stesso edificio, non nello stesso rack, non sulla stessa rete locale
- Isolata dalla rete aziendale principale: per evitare che un ransomware la raggiunga
- Geographicamente distante: idealmente in un altro comune, almeno in un'altra stanza chiusa
Le opzioni pratiche sono due: backup su cloud (il sistema più comodo e moderno) o copia su supporto fisico portato in una sede diversa (casa del titolare, cassaforte ignifuga, datacenter).
Backup nel Cloud: Vantaggi, Limiti e Come Scegliere
Il cloud è la soluzione offsite più accessibile per le PMI italiane. Servizi come Azure Backup, AWS S3, Backblaze B2, o soluzioni verticali come Veeam Cloud Connect permettono di automatizzare il backup offsite senza doversi preoccupare di hard disk e trasporti.
Vantaggi del backup cloud:
- Automazione completa, nessuna operazione manuale
- Scalabilità: paghi per quanto spazio usi
- Accesso da remoto ai dati
- Alta ridondanza garantita dal provider
Limiti da considerare:
- Dipendenza da connessione internet per il ripristino
- Costi mensili ricorrenti
- Tempi di ripristino più lunghi rispetto al backup locale (dipende dalla quantità di dati e dalla velocità della connessione)
- Questioni di sovranità dei dati: dove sono fisicamente i tuoi dati?
Su quest'ultimo punto: se tratti dati personali (e quasi tutte le aziende lo fanno), devi assicurarti che il provider cloud conservi i dati nell'Unione Europea e abbia un accordo di trattamento dati (DPA) conforme al GDPR.
Backup Aziendale e GDPR: Cosa Devi Sapere
Il GDPR impone obblighi specifici sulla protezione dei dati personali, e il backup aziendale rientra direttamente in questa sfera. I punti chiave:
Integrità e disponibilità: Il GDPR richiede misure per garantire la continua disponibilità e l'accesso ai dati personali in caso di incidente (art. 32). Un sistema di backup è praticamente obbligatorio.
Minimizzazione dei dati: I backup devono contenere solo i dati necessari. Non ha senso — né è corretto — accumulare anni di dati superflui nelle copie di backup.
Diritto alla cancellazione: Se un cliente esercita il diritto all'oblio, dovrai essere in grado di cancellare i suoi dati anche dai backup. Questo richiede una gestione attenta e documentata.
Data Processing Agreement (DPA): Se il tuo backup va su cloud, il provider è un responsabile del trattamento ai sensi del GDPR. Devi avere un DPA firmato con lui — la maggior parte dei provider seri lo propone automaticamente, ma verifica.
Notifica delle violazioni: Se i tuoi backup vengono compromessi da un attacco ransomware e contengono dati personali, potresti avere l'obbligo di notifica al Garante entro 72 ore.
Per approfondire le implicazioni legali, il sito del Garante Privacy italiano ha indicazioni specifiche per le organizzazioni.
Come Automatizzare il Backup Aziendale
Il backup manuale non funziona. L'essere umano dimentica, procrastina, si distrae. Il backup deve essere automatico, verificabile e monitorato.
Soluzioni per Piccole Realtà (1-10 dipendenti)
- NAS Synology o QNAP con Hyper Backup verso un account cloud (Synology C2, Backblaze B2, o simili). Costo: 300-600 euro per il NAS, più un piccolo canone cloud mensile. Automazione completa.
- Backup di Microsoft 365 o Google Workspace: Attenzione — questi servizi non fanno backup nel senso pieno del termine. Usa soluzioni dedicate come Veeam Backup for Microsoft 365 o Spanning Backup.
Soluzioni per Medie Realtà (10-50 dipendenti)
- Veeam Backup & Replication o Acronis Cyber Protect: soluzioni professionali che gestiscono backup di server fisici, virtuali e endpoint, con supporto cloud integrato.
- Backup as a Service (BaaS): molti provider di servizi IT offrono backup gestito come servizio mensile, con monitoraggio incluso.
Parametri Fondamentali da Definire
RPO (Recovery Point Objective): Quanti dati ti puoi permettere di perdere? Se il backup è giornaliero e l'attacco avviene alle 17:00, perdi tutti i lavori della giornata. Un RPO di 1 ora richiede backup ogni ora.
RTO (Recovery Time Objective): In quanto tempo devi essere operativo dopo un disastro? Se il tuo RTO è "entro 4 ore", devi pianificare backup e ripristino di conseguenza — un ripristino da cloud di 2 TB può richiedere molto più di 4 ore.
Testare il Backup: Il Passaggio che Nessuno Fa
Questo è il punto dove la maggior parte delle aziende fallisce. Hanno un backup. Non l'hanno mai testato. E quando serve, scoprono che non funziona.
Il backup non testato è come avere un estintore che non sai se funziona. Nel momento in cui ne hai bisogno, è tardi.
Cosa testare e con quale frequenza:
- Mensile: Ripristino di singoli file da backup (5 minuti di lavoro, ti dà certezza che il sistema funzioni)
- Trimestrale: Ripristino completo di un sistema in ambiente di test (richiede più tempo ma è l'unica verifica reale)
- Annuale: Simulazione di disaster recovery completo — quanto tempo ci vuole per tornare operativi partendo da zero?
Documenta ogni test con data, esito, e eventuali anomalie. Questa documentazione è utile anche in ottica GDPR e per la gestione delle polizze cyber.
Backup Immutabili: La Protezione Extra Contro il Ransomware
I ransomware moderni sono progettati per cercare e cifrare anche i backup raggiungibili dalla rete. La soluzione avanzata è il backup immutabile (immutable backup): una copia dei dati che, una volta scritta, non può essere modificata o cancellata per un periodo definito, nemmeno da un amministratore di sistema.
Le principali piattaforme cloud (AWS S3 con Object Lock, Azure Blob Storage con Immutability Policy, Backblaze B2) offrono questa funzionalità. Non è complessa da configurare, ma richiede la mano di un tecnico per impostarla correttamente.
Cosa Fare Adesso
- Oggi: Rispondi onestamente a questa domanda — quando è stato fatto l'ultimo backup e hai la certezza che funzioni? Se non lo sai, hai il tuo primo problema da risolvere.
- Questa settimana: Prova a ripristinare un file dal tuo backup corrente. Solo questo, per verificare che funzioni.
- Questo mese: Mappa i tuoi dati critici e stima quanto ti costerebbe perderli tutti. Usa questa cifra come riferimento per decidere quanto investire nella protezione.
- Entro il trimestre: Implementa la regola del 3-2-1 completa, con automazione e almeno una copia offsite su cloud.
La regola del 3-2-1 non è complicata da implementare, ma richiede pianificazione e continuità. Se vuoi costruire una strategia di backup aziendale solida, o hai bisogno di capire come integrarla nel tuo piano di sicurezza complessivo, contatta ISIPC: progettiamo insieme una soluzione su misura per la tua realtà.