Backup aziendale e ransomware: la regola del 3-2-1

01I cinque modi in cui un'azienda perde i dati

Quasi tutti pensano al backup come a una protezione contro il guasto: il disco che si rompe, il computer che non si accende più. È il caso più facile da immaginare, ma non l'unico e nemmeno il più insidioso. I dati di un'attività, cioè anagrafiche, fatture, prenotazioni, progetti, archivi di anni, si perdono in cinque modi diversi, e ognuno chiede qualcosa di diverso alla copia di sicurezza.

Prova a immaginare un lunedì mattina qualunque. Accendi il computer dell'ufficio e i file hanno nomi strani, nessuno si apre, sul desktop c'è un messaggio che chiede un pagamento. Oppure, più banalmente, il commercialista ti chiede il foglio delle spese di marzo e scopri che qualcuno l'ha sovrascritto a giugno. In quel momento c'è una sola domanda che conta: da dove riparto? Questo capitolo serve ad avere la risposta pronta prima che arrivi quel lunedì.

• Il guasto. Dischi, alimentatori e schede si rompono, anche quelli nuovi. Un disco a stato solido non avvisa: un giorno funziona, il giorno dopo non viene più riconosciuto.
• L'errore umano. Il file sovrascritto con la versione sbagliata, la cartella trascinata nel posto sbagliato, il foglio cancellato per fare spazio. È la causa più frequente nella vita di tutti i giorni, e spesso ci si accorge dopo settimane.
• Il furto o lo smarrimento. Il portatile lasciato in macchina, il telefono dimenticato al bar. Se i dati stanno solo lì, se ne vanno con lui.
• Il ransomware. Un programma malevolo cifra i file e chiede un riscatto per restituirli; sempre più spesso li copia anche altrove e minaccia di pubblicarli. Lo vediamo in dettaglio più avanti.
• Il disastro locale. Un incendio, un allagamento, un fulmine sull'impianto elettrico. Tutto quello che si trova nello stesso edificio sparisce insieme, backup compresi.

Le tre cose che sembrano un backup e non lo sono

Prima di parlare di come si fa un backup, conviene togliere di mezzo tre equivoci molto diffusi, perché danno una sicurezza che non c'è.

02La regola del 3-2-1, e la sua versione moderna

La regola più usata per organizzare i backup si ricorda con tre numeri, ed è diventata uno standard di fatto perché risponde una per una alle minacce che abbiamo appena visto.

• 3 copie dei dati: l'originale su cui lavori più due copie di sicurezza. Due copie, perché anche una copia può essere danneggiata proprio quando serve.
• 2 supporti di tipo diverso: per esempio il disco del server e un NAS, oppure un disco esterno e uno spazio in cloud. Un difetto o un evento che colpisce un tipo di supporto difficilmente colpisce anche l'altro.
• 1 copia fuori sede: lontana dall'ufficio, così un incendio, un allagamento o un furto non portano via tutto insieme.

Negli ultimi anni, con la diffusione dei ransomware che vanno a caccia dei backup, la regola si è allungata in 3-2-1-1-0:

• +1 copia offline o immutabile: una copia che non è collegata alla rete, oppure che il sistema su cui sta non permette di modificare né cancellare fino a una certa data. Un attacco che entra nei computer dell'ufficio non la può raggiungere.
• 0 errori: i backup vengono verificati e il ripristino viene provato. Un backup mai ripristinato è una speranza, non una garanzia.

03Completo, incrementale, differenziale: quanto copiare ogni volta

Copiare tutto ogni notte è il modo più semplice, ma con l'archivio che cresce diventa lento e occupa molto spazio. Per questo esistono tre modi di fare la copia, che quasi sempre si combinano fra loro.

• Completo (full): copia tutti i dati, ogni volta. Il ripristino è il più semplice, perché basta una copia sola; il prezzo è il tempo e lo spazio.
• Incrementale: dopo un backup completo, copia solo quello che è cambiato dall'ultimo backup di qualunque tipo. È il più veloce e il più leggero; per ripristinare però servono il completo e tutti gli incrementali successivi, in ordine.
• Differenziale: dopo un backup completo, copia tutto quello che è cambiato dall'ultimo completo. Ogni giorno cresce un po', ma per ripristinare bastano due pezzi: il completo e l'ultimo differenziale.

Quante versioni tenere

Avere una copia di ieri non basta. L'errore umano si scopre spesso dopo settimane, e un ransomware può restare nascosto per giorni prima di attivarsi: in entrambi i casi la copia di ieri contiene già il problema. Per questo si conservano più versioni a scalare, uno schema che nel settore si chiama «nonno, padre, figlio»:

• le copie giornaliere degli ultimi sette o quattordici giorni;
• le copie settimanali delle ultime quattro o cinque settimane;
• le copie mensili degli ultimi dodici mesi, e per alcuni archivi una copia all'anno.

Quanto tenere dipende dal tipo di dati e, per quelli personali o contabili, anche da quanto la legge chiede di conservarli o di cancellarli: un backup contiene gli stessi dati personali dell'originale, con gli stessi obblighi. Ne parlo nel capitolo su GDPR e cookie per il sito di una piccola attività.

04RPO e RTO: i due numeri che decidono il backup

«Quanto spesso devo fare il backup?» non ha una risposta uguale per tutti. La risposta giusta viene da due domande che ogni attività dovrebbe farsi a mente fredda, prima che succeda qualcosa.

• RPO (Recovery Point Objective): quanti dati posso permettermi di perdere? Se il backup è notturno e il guasto arriva alle sei di sera, si perde il lavoro di una giornata. Se una giornata di prenotazioni o di ordini persi è inaccettabile, il backup deve essere più frequente.
• RTO (Recovery Time Objective): per quanto tempo posso restare fermo? Ripristinare un computer da zero può richiedere una giornata; un portale con le prenotazioni, se resta spento un giorno, perde clienti e reputazione. Più l'RTO è corto, più il ripristino va preparato e automatizzato.

Sono esempi per orientarsi, non regole: i numeri giusti li decide chi conosce l'attività, mettendo sulla bilancia quanto costa un'ora di fermo e quanto costa la soluzione che la evita. Una volta scritti, RPO e RTO diventano il capitolato del backup: la frequenza, i supporti, gli strumenti e le prove di ripristino si scelgono per rispettarli.

05Come agisce un ransomware, e perché va a caccia dei backup

Un ransomware è un programma malevolo che rende inutilizzabili i file cifrandoli, cioè trasformandoli in dati illeggibili senza una chiave che ha solo chi ha lanciato l'attacco, e poi chiede un riscatto per restituirla. Negli attacchi recenti alla cifratura si aggiunge quasi sempre il furto dei dati, con la minaccia di pubblicarli: è la cosiddetta doppia estorsione.

Conoscere le fasi di un attacco serve a capire dove il backup fa la differenza.

1. L'ingresso. Nella grande maggioranza dei casi l'attacco entra da una porta molto ordinaria: una mail di phishing con un allegato o un link, una password rubata o riutilizzata, un accesso remoto lasciato aperto su Internet, un programma non aggiornato. Le porte d'ingresso e come chiuderle sono il tema del capitolo su password, autenticazione a due fattori e passkey.
2. Il movimento. Una volta dentro un computer, l'attacco cerca di raggiungere gli altri della stessa rete, e soprattutto gli account con più privilegi, come quelli di amministratore.
3. La caccia ai backup. È il passaggio che rende il ransomware diverso da un guasto. La guida congiunta delle agenzie statunitensi CISA, FBI e NSA lo dice esplicitamente: molte varianti di ransomware cercano i backup accessibili per cancellarli o cifrarli. Un disco esterno sempre attaccato o una cartella di rete in cui finiscono le copie vengono trovati in pochi minuti.
4. La cifratura e il furto. I file diventano illeggibili, e spesso una copia viene portata fuori prima di cifrarli.
5. La richiesta. Un messaggio spiega come pagare. Pagare non garantisce di riavere i dati né che non vengano comunque pubblicati, e finanzia l'attacco successivo.

Cosa salva davvero

La raccomandazione delle autorità è sempre la stessa: tenere copie offline e cifrate dei dati importanti, e provare regolarmente che si possano ripristinare. Offline vuol dire una copia che, nel momento dell'attacco, non è collegata e non è raggiungibile: un disco che si collega solo per il tempo del backup e poi si stacca e si porta via, oppure uno spazio di archiviazione immutabile, in cui il sistema stesso impedisce di modificare o cancellare le copie prima di una data stabilita, anche a chi ha la password. La stessa guida ricorda di usare l'immutabilità con giudizio, verificando che la conservazione rispetti gli obblighi di legge sui dati.

06Dove tenere le copie: supporti a confronto

Non esiste il supporto perfetto: esiste la combinazione giusta per rispettare il 3-2-1 con il proprio RPO e RTO. Ecco le opzioni più comuni per una piccola o media attività, con i loro punti di forza e i loro limiti.

Il backup dei server e dei portali

Per un sito o un portale che gira su un server, valgono le stesse regole con qualche attenzione in più. Molti fornitori offrono le istantanee (snapshot) della macchina: sono comode per tornare indietro dopo un aggiornamento andato male, ma vivono presso lo stesso fornitore, a volte nello stesso centro dati, e se l'account viene compromesso possono essere cancellate. Il backup vero di un portale esce dalla macchina e dal fornitore. Come si sceglie e si amministra il server, con le responsabilità che comporta, lo spiego nel capitolo su VPS e hosting condiviso.

Per i database c'è un dettaglio tecnico che fa la differenza: copiare i file del database mentre lavora può produrre una copia incoerente. Si usano gli strumenti di esportazione del database stesso, o le sue funzioni di backup a caldo, che garantiscono una fotografia coerente anche mentre il portale riceve ordini.

Cifrare le copie, e dove tenere la chiave

Una copia fuori sede contiene tutti i dati dell'azienda, compresi quelli personali dei clienti: va cifrata, così chi la trova o la ruba non può leggerla. La chiave però deve stare in un posto sicuro e diverso dal computer che si sta proteggendo, ed essere conosciuta da almeno due persone di fiducia. Una copia cifrata di cui si è persa la chiave è una copia persa.

Dati in un formato che si può leggere

C'è un ultimo aspetto, spesso dimenticato: la copia serve se i dati si possono leggere anche senza il programma che li ha creati, o se quel programma resta disponibile. Un gestionale che esporta i dati in formati aperti, come file CSV o un database standard, permette di ripartire anche cambiando fornitore. È uno dei punti da verificare prima di firmare, come racconto nel capitolo su chi possiede davvero il tuo sito, il codice e i dati.

07Il piano di ripristino: cosa fare il giorno peggiore

Il backup è metà del lavoro. L'altra metà è sapere, prima, cosa fare quando serve. Nel giorno peggiore non si improvvisa: si segue un foglio scritto a mente fredda, con i nomi, i numeri di telefono e i passaggi in ordine.

1. Isolare. Staccare dalla rete i computer colpiti, senza spegnerli se possibile: spegnere può cancellare tracce utili a capire cosa è successo. Scollegare subito eventuali dischi di backup ancora attaccati.
2. Valutare. Quali computer, quali dati, da quando. È il momento in cui le versioni conservate nel tempo mostrano il loro valore: bisogna trovare l'ultima copia sicuramente pulita.
3. Avvisare. Il tecnico di fiducia, prima di tutto. Se sono coinvolti dati personali e la violazione presenta un rischio per le persone, il titolare deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza, con la procedura online del Garante; se il rischio è elevato, vanno informate anche le persone interessate. Un incidente informatico si può segnalare anche al CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale, e un reato va denunciato alle forze di polizia.
4. Ripulire. Reinstallare i sistemi colpiti da zero, partendo da installazioni pulite e aggiornate. Le autorità consigliano di tenere pronte delle «immagini» aggiornate dei sistemi critici proprio per questo momento.
5. Ripristinare. Riportare i dati dalla copia buona, cominciando da quelli che servono per ripartire, secondo l'RTO deciso prima.
6. Verificare e cambiare le chiavi. Controllare che i dati ripristinati siano completi e si aprano, cambiare tutte le password che potevano essere esposte, e annotare cosa ha funzionato e cosa no, per correggere il piano.

La prova di ripristino

Tutto questo funziona solo se è stato provato. Una volta ogni tanto, almeno ogni pochi mesi e dopo ogni cambiamento importante, si sceglie un file a caso, una cartella, o l'intero database del portale, e lo si ripristina davvero in un posto di prova. Si misura quanto tempo ci vuole, e lo si confronta con l'RTO. È l'unico modo per scoprire in un giorno tranquillo che una copia era vuota, che la chiave di cifratura non si trova più, o che il ripristino richiede il doppio del tempo previsto.

I backup proteggono i dati quando qualcosa è già andato storto. Per fare in modo che vada storto il meno possibile, la difesa comincia dalla porta d'ingresso: gli accessi, le password e i fattori di autenticazione, che sono il tema del prossimo capitolo. Se vuoi un parere sul backup della tua attività, ti racconto come lavoro.

Domande frequenti

Fonti

1. CISA, FBI, NSA, MS-ISAC, «#StopRansomware Guide»: backup offline e cifrati, prove di ripristino, immagini dei sistemi critici, archiviazione immutabile.
2. Garante per la protezione dei dati personali, «Violazioni di dati personali (data breach)»: notifica entro 72 ore e procedura online.
3. Regolamento (UE) 2016/679 (GDPR): articoli 32, 33 e 34 su sicurezza, notifica e comunicazione delle violazioni.
4. Agenzia per la Cybersicurezza Nazionale, «CSIRT Italia»: il gruppo di risposta agli incidenti e la segnalazione degli incidenti informatici.
5. ENISA, «Threat Landscape for Ransomware Attacks»: come agiscono gli attacchi ransomware e la doppia estorsione.

Capitolo aggiornato a ottobre 2026. Le tabelle su RPO e RTO sono esempi per orientarsi, non prescrizioni; per gli obblighi di notifica nel tuo caso specifico fa fede il testo del Garante e del Regolamento europeo.