Backup aziendale: come provare che si recupera davvero

Un backup aziendale funziona solo se, il giorno in cui sparisce una cartella, si rompe il server o arriva un ransomware, i dati tornano davvero e in un tempo che l'ufficio può sopportare. Per saperlo bisogna provarlo prima: recuperare un file, una cartella e un programma intero, cronometrare e scrivere l'esito.

In breve

• Tre copie dei dati, su due supporti diversi, una fuori dall'ufficio: è la regola 3-2-1.
• RAID, NAS e cartelle sincronizzate nel cloud copiano anche gli errori e i file cifrati: non sono un backup.
• Almeno una copia deve restare scollegata o non modificabile, con una password solo sua.
• La prova di ripristino ha tre livelli: un file, una cartella, un programma intero. Si cronometra.
• Ogni prova finisce con un esito scritto: cosa è tornato, in quanto tempo, cosa non ha funzionato.

Backup aziendale: cosa dice la regola 3-2-1

La regola 3-2-1 è il punto di partenza di qualsiasi backup aziendale. La guida Data Backup Options, pubblicata nel 2012 da US-CERT (oggi CISA, l'agenzia americana per la sicurezza informatica), la riassume così: 3 copie di ogni file importante (l'originale e due backup), su 2 tipi di supporto diversi, con 1 copia fuori sede, cioè fuori dall'ufficio.

Per uno studio: i file sul server o sul NAS, una copia su un apparecchio diverso, una terza nel cloud o in un'altra sede. Così un incendio o un furto non si portano via tutte le copie insieme.

Quasi tutti pensano di avere già un backup. Secondo Eurostat, nel 2024 il 77,9% delle imprese italiane da 10 a 49 addetti faceva il backup dei dati in un luogo separato, cloud compreso. Il dato non dice quante abbiano mai provato a recuperare qualcosa da quella copia: Eurostat non lo misura.

Differenza tra backup e sincronizzazione: perché RAID, NAS e OneDrive non bastano

Un backup è una copia di file e programmi fatta per poterli recuperare in caso di bisogno: è la definizione del glossario del NIST, l'ente americano per gli standard. Tre strumenti molto diffusi negli uffici vengono scambiati per un backup, e non lo sono.

• Il RAID (due o più dischi che contengono gli stessi dati). Protegge da un disco che si rompe, ma una cartella cancellata o cifrata da un ransomware sparisce da tutti i dischi nello stesso istante.
• Il NAS (il disco di rete dove l'ufficio salva i file). È il posto dove stanno i dati, non una loro copia: se tutti i PC possono scriverci, quello che danneggia i PC arriva anche lì. Nei forum ricorre il caso di chi teneva sul NAS anche l'unica copia di backup, e l'ha persa con gli originali.
• La cartella sincronizzata (OneDrive, Google Drive, Dropbox). Copia ogni modifica su tutti i dispositivi, comprese cancellazioni e file rovinati. Secondo Microsoft, Ripristina OneDrive annulla le modifiche solo degli ultimi 30 giorni e il cestino degli account aziendali tiene i file 93 giorni, salvo diverse impostazioni.

Sono strumenti utili per lavorare, non per tornare indietro: se ti accorgi di un problema dopo quattro mesi, nessuno dei tre ti restituisce la versione di prima.

Backup e ransomware: perché serve una copia scollegata

Il ransomware (il programma che cifra i file e chiede un riscatto per sbloccarli) oggi cerca prima di tutto i backup. Il bollettino del CSIRT Italia BL01/260528/CSIRT-ITA del 28 maggio 2026 descrive attacchi rivolti soprattutto a piccole e medie imprese italiane, in cui chi entra sfrutta una falla del software di backup per rubarne le credenziali e disattivare le copie raggiungibili in rete, così che la vittima non possa ripartire da sola. Tra le raccomandazioni: copie offline con credenziali dedicate e, dove possibile, non modificabili.

Le Misure minime di sicurezza ICT di AgID (2016, per la PA, ma valgono per qualsiasi ufficio) lo dicevano già: almeno una copia non deve essere permanentemente accessibile dal sistema. Le strade sono due:

• copia scollegata: un disco che si collega solo per il backup e poi si stacca, oppure un servizio che non resta raggiungibile dai PC;
• copia non modificabile (detta immutabile): per un periodo stabilito nessuno può cambiarla o cancellarla, nemmeno con la password dell'amministratore.

In pratica: la password del backup non è quella del server.

Come ripristinare un backup: la prova in tre livelli

La prova di ripristino è il momento in cui si recuperano davvero dei dati dal backup e si controlla che funzionino. La guida alla cybersicurezza aziendale dell'ACN, l'Agenzia per la Cybersicurezza Nazionale, chiede di eseguire e testare regolarmente i backup e di fare test periodici di ripristino completo. Per il NIST (NISTIR 7621, 2016), senza prove non hai motivo di fidarti dei tuoi backup.

Prima di cominciare, guarda i rapporti del software di backup dell'ultimo mese. L'ACN chiede di configurare log e avvisi automatici proprio per questo: un backup che fallisce da settimane, con l'avviso che nessuno legge, non protegge niente. Poi la prova vera, in tre livelli:

1. Un file: un documento di una settimana fa, recuperato e aperto.
2. Una cartella intera: per esempio quella di un cliente o di un anno contabile, con tutte le sottocartelle.
3. Un programma completo: il gestionale, la contabilità o la posta, rimessi in piedi su un altro computer, come se il server fosse sparito. È qui che si scopre se il backup copiava solo i dati o anche programmi e configurazioni, che l'ACN chiede di includere.

Due regole valgono sempre: si ripristina in un posto diverso, senza sovrascrivere i file in uso, e si aprono i file. Un backup può risultare completato e contenere file illeggibili o già cifrati da un ransomware, avverte l'ACN.

Cosa misurare nella prova di ripristino

La domanda che conta per il titolare non è "il backup c'è?", ma "quanto resto fermo se perdo il server?". È il tempo di ripristino (RTO), che il NIST definisce come il tempo massimo di fermo prima che il danno per l'attività diventi serio. La seconda misura è quanto lavoro perdi (RPO): quanto è recente l'ultima copia buona.

Un esempio costruito, non un caso reale: in uno studio di 12 persone un file torna in cinque minuti, il gestionale in due giorni, perché il backup salvava i dati e non il programma. Meglio saperlo un martedì qualsiasi che il giorno di una scadenza.

Ogni quanto fare il backup e ogni quanto provarlo

La frequenza del backup dipende da quanto lavoro sei disposto a perdere. L'ACN indica una frequenza quotidiana, settimanale o mensile secondo i dati; AgID chiede alla PA almeno una copia settimanale. Il NIST suggerisce un backup completo al mese, copie delle sole modifiche almeno ogni settimana (ogni giorno se i dati cambiano molto) e di conservare 52 copie settimanali, cioè un anno: così si torna indietro anche quando un problema si scopre tardi.

Sulla frequenza della prova, invece, nessuna di queste guide fissa un numero: dicono tutte "regolarmente" o "periodicamente". Per questo la prova si rimanda. Ogni ufficio deve scrivere la sua scadenza, e chi la rispetta.

Puoi farla da solo, con la tabella qui sopra: servono le credenziali del backup, un computer libero, qualche ora e una data fissa in calendario. Il tecnico a chiamata la fa se gliela chiedi, ma di solito lo chiami a cose rotte. Il collega che "ne capisce" va benissimo, finché non è in ferie il giorno in cui serve.

Come lo gestiamo noi di Odryon

Odryon segue uffici e studi di Roma e del Lazio da 10 a 50 persone senza un tecnico interno. Sul backup ci impegniamo per iscritto a tre cose:

• una prova di ripristino reale ogni 3 mesi, con l'esito consegnato per iscritto;
• un aggiornamento scritto ogni venerdì, che riporta anche come sono andati i backup della settimana;
• password, dominio e account da amministratore intestati a te, con l'elenco completo consegnato: le chiavi dell'ufficio non restano solo a noi.

Nessun backup impedisce che un guasto o un attacco arrivino: riduce il danno, e solo se qualcuno lo controlla anche quando cambiano dati, programmi o persone. Se oggi sai che il backup "c'è" ma non sai quando è stato provato l'ultima volta, sei nella situazione più comune. Il punto non è scegliere tra NAS e cloud: è sapere chi prova il ripristino, ogni quanto, e dove sta scritto l'esito. Per gli studi ne parliamo nella pagina sugli studi professionali.

Le indicazioni di questo articolo sono generali. Se hai un incidente in corso, prima di tutto scollega il computer dalla rete e chiama chi segue la tua informatica.

Domande frequenti

È obbligatorio fare il backup?

Per chi tratta dati personali, l'articolo 32 del GDPR chiede misure adeguate al rischio che comprendono, se del caso, la capacità di ripristinare tempestivamente i dati dopo un incidente e una procedura per testare regolarmente quelle misure. Non impone un prodotto preciso. Per chi gestisce dati di pazienti la domanda va presa sul serio: ne parliamo nella pagina sulla sanità privata.

Il backup basta contro il ransomware?

Un backup scollegato e provato permette di ripartire senza dipendere da chi ha cifrato i file. Non basta da solo: l'ACN ricorda che durante un attacco i dati possono anche essere copiati, e il backup non ne protegge la riservatezza. Per questo il bollettino CSIRT citato sopra raccomanda anche aggiornamenti tempestivi e la verifica in due passaggi su tutti gli accessi da remoto.

Qual è la differenza tra backup e disaster recovery?

Il backup è la copia dei dati. Il disaster recovery è il piano per far ripartire l'ufficio quando un guasto grave o un attacco ferma tutto: cosa si ripristina per primo, dove, chi lo fa e in quanto tempo. Il backup è un pezzo del piano; la prova di ripristino dice se il piano regge.

Qual è la differenza tra backup completo, incrementale e differenziale?

Il backup completo copia tutto. L'incrementale copia solo ciò che è cambiato dall'ultimo backup; il differenziale ciò che è cambiato dall'ultimo completo. Secondo l'ACN combinarli protegge di più: per esempio un completo a settimana e un incrementale ogni notte.

Il backup in cloud basta da solo?

Un servizio cloud di backup copre la parte "fuori sede" della regola 3-2-1, ma non sostituisce le altre due. Se è una semplice cartella sincronizzata, copia anche gli errori; se è un vero backup con versioni e copie non modificabili, è una buona terza copia. Va provato come gli altri.