Backup

Perché il backup è la misura di sicurezza più importante

….sarà banale, ma lo dico lo stesso: di tutte le misure di sicurezza informatica che si possono adottare, un backup corretto, verificato e funzionante è quella che salva davvero le aziende quando succede il peggio.

Un attacco ransomware? Se hai un backup offline aggiornato, non paghi il riscatto e riparti. Un guasto hardware improvviso? Se hai una copia remota sincronizzata, sei operativo in ore. Un errore umano che cancella anni di dati? Se hai un backup con versionamento, recuperi tutto.

E invece quante aziende scopro con backup mai verificati, backup che girano solo su disco locale (infettabile dal ransomware insieme al server), o peggio ancora backup configurati male che non hanno mai funzionato come credevano?

La regola 3-2-1: il punto di partenza

Qualunque strategia di backup seria deve rispettare almeno la regola 3-2-1:

• 3 copie dei dati – l’originale più due backup distinti
• 2 supporti diversi – ad esempio disco locale e NAS, oppure NAS e cloud
• 1 copia offsite – geograficamente separata dalla sede principale (cloud o sede remota)

Oggi aggiungo sempre una quarta regola: 0 copie non verificate. Un backup non testato è un’illusione. Periodicamente bisogna simulare il ripristino e verificare che i dati siano effettivamente recuperabili.

Backup e normativa: cosa chiedono GDPR e NIS2

GDPR – Art. 32

Il GDPR include esplicitamente tra le misure di sicurezza adeguate “la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico” (Art. 32, par. 1, lett. c). Non è una raccomandazione: è un requisito di legge. Il titolare deve dimostrare di averlo implementato nell’analisi del rischio e nel Registro dei Trattamenti.

NIS2 – D.Lgs. 138/2024, Art. 24, lett. c

La NIS2 impone la “continuità operativa” tra le misure obbligatorie, che include esplicitamente: backup, disaster recovery, gestione delle crisi e Business Continuity Plan. Per i Soggetti Essenziali, il Regolamento di esecuzione UE 2024/2690 richiede procedure dettagliate, test regolari e tempi di ripristino documentati (RTO e RPO).

RTO e RPO: i numeri che contano

Due parametri fondamentali che ogni strategia di continuità operativa deve definire:

• RTO (Recovery Time Objective) – quanto tempo puoi permetterti di stare fermo? 1 ora? 4 ore? 1 giorno?
• RPO (Recovery Point Objective) – quanti dati puoi permetterti di perdere? L’ultima ora? L’ultimo giorno?

Questi parametri non sono standard: dipendono dal tipo di azienda, dai processi critici e dalle conseguenze economiche del fermo. Un’ambulanza che non ha i dati del paziente ha un RTO di zero. Un’impresa edile può tollerarne uno più lungo.

Soluzioni e approcci che valuto con i miei clienti

• Backup locale su NAS con replica automatica + copia cloud crittografata
• Backup con regola di immutabilità (WORM / immutable backup) per resistere al ransomware
• Soluzioni di Disaster Recovery as a Service (DRaaS) per ambienti virtualizzati
• Test di ripristino periodici documentati (almeno annuali, preferibilmente semestrali)
• Procedure scritte per il ripristino: chi fa cosa, in quale ordine, con quali strumenti
• Backup applicativo (non solo file system): database, gestionali, ERP, posta elettronica

Il backup nel Registro dei Trattamenti (GDPR)

Quando compilo il Registro dei Trattamenti ex Art. 30 GDPR, la voce “Misure di sicurezza tecniche e organizzative” include sempre una descrizione della strategia di backup adottata: tipologia, frequenza, verifica, conservazione. È parte integrante dell’accountability del Titolare.

📧 info@iacoviello.eu  ·  📞 345 635 7580  ·  Via Monteverde 18, 85025 Melfi (PZ)