Di tutte le misure di sicurezza, il backup è quella che si nota solo quando manca. Finché va tutto bene sembra una spesa inutile; il giorno in cui un ransomware cifra l’archivio, un disco si guasta o qualcuno cancella per errore una cartella, è l’unica cosa che conta. La regola del backup 3-2-1 è il modo più semplice per farlo bene.
Cos’è la regola del backup 3-2-1?
La regola 3-2-1 è una buona pratica riconosciuta nel settore informatico per organizzare i backup in modo che un singolo incidente non possa distruggere tutte le copie dei dati. Prevede:
- 3 copie dei dati: l’originale più due copie di backup;
- 2 supporti diversi: per esempio un NAS in ufficio e un servizio cloud;
- 1 copia fuori sede: lontana fisicamente dall’ufficio, al riparo da furti, incendi e allagamenti.
Una variante più moderna, pensata proprio per il ransomware, è la 3-2-1-1-0: una copia deve essere offline o immutabile e i controlli di ripristino devono dare 0 errori.
Perché un disco esterno sempre collegato non basta
Molti studi fanno il backup su un disco USB attaccato al computer o su un NAS sempre raggiungibile dalla rete. È meglio di niente, ma ha un difetto grave: il ransomware cifra tutto ciò che riesce a raggiungere, compresi i backup. Anzi, gli attaccanti cercano proprio i backup per cancellarli prima di chiedere il riscatto.
Per questo la guida #StopRansomware della CISA, l’agenzia statunitense per la cybersicurezza, raccomanda backup offline, cifrati e testati regolarmente. Approfondisci nell’articolo su come funziona il ransomware negli studi.
Dove conservare le copie: pro e contro
| Supporto | Pro | Contro | Ruolo nella 3-2-1 |
|---|---|---|---|
| NAS in ufficio | Ripristino veloce, capiente | Raggiungibile dal ransomware se non protetto; esposto a furto e incendio | Prima copia locale |
| Disco esterno a rotazione | Economico, può stare scollegato | Va ricordato di collegarlo e portarlo via | Copia offline |
| Cloud di backup | Fuori sede, automatico | Dipende dalla connessione; va scelto con attenzione a dove finiscono i dati | Copia fuori sede |
| Cloud con immutabilità (object lock) | Le copie non si possono cancellare per un periodo stabilito | Configurazione più attenta | Copia immutabile |
Nota: la sincronizzazione non è un backup. Servizi come le cartelle condivise in cloud replicano anche le cancellazioni e i file cifrati. Un backup vero conserva più versioni nel tempo.
Come organizzare il backup in uno studio, passo per passo
- Decidi cosa salvare: archivio documenti, gestionale e relativo database, posta elettronica, configurazioni dei programmi. Non dimenticare i dati che stanno solo sui portatili.
- Decidi quanto puoi permetterti di perdere: se il backup è notturno, nel caso peggiore perdi una giornata di lavoro. Per alcuni dati può servire più frequenza.
- Automatizza: un backup che dipende dalla memoria di qualcuno prima o poi salta.
- Cifra le copie, soprattutto quelle fuori sede: i backup contengono gli stessi dati riservati dell’originale.
- Proteggi gli accessi al sistema di backup con password diverse da quelle dello studio e con l’autenticazione a due fattori.
- Tieni almeno una copia scollegata o immutabile.
- Controlla gli esiti: qualcuno deve ricevere e leggere la notifica “backup riuscito / fallito”.
- Prova il ripristino (vedi sotto).
Perché il backup va provato
È sorprendente quante organizzazioni scoprano di avere backup inutilizzabili solo nel momento del bisogno: copie incomplete, file corrotti, password di cifratura perse, tempi di ripristino di giorni.
Una prova semplice, da fare almeno ogni trimestre:
- scegli a caso alcuni file e una cartella intera;
- ripristinali in una posizione diversa dall’originale;
- verifica che si aprano correttamente;
- annota data, esito e tempo impiegato.
Questa annotazione è anche una prova utile ai fini del GDPR, che all’articolo 32 chiede di verificare regolarmente l’efficacia delle misure di sicurezza (→ misure di sicurezza GDPR).
Backup e GDPR: due attenzioni
- I backup contengono dati personali: valgono le stesse regole di sicurezza e di conservazione dei dati originali.
- Se usi un servizio cloud, verifica dove sono conservati i dati e che il contratto con il fornitore regoli il trattamento.
Il backup basta?
Il backup ti permette di ripartire, ma non impedisce che i dati vengano rubati prima della cifratura (la cosiddetta doppia estorsione). Per questo va affiancato da misure che riducano le porte d’ingresso e permettano di accorgersi presto di un’attività anomala in rete, come un computer che invia grandi quantità di dati verso l’esterno. È il compito di un firewall sorvegliato come Strega Defence, che avvisa il titolare in italiano semplice quando succede qualcosa che conta.
Per sapere da dove partire, prova la checklist di sicurezza in 10 domande. E se il problema è già successo, leggi cosa fare subito dopo un attacco.
Domande frequenti
Cosa significa backup 3-2-1?
Significa tenere tre copie dei dati, su due supporti di tipo diverso, con almeno una copia conservata fuori sede. In questo modo un singolo evento, come un guasto, un furto o un attacco, non può distruggere tutte le copie.
Il backup su NAS è sufficiente contro il ransomware?
Da solo no, se il NAS è sempre raggiungibile dalla rete: il ransomware può cifrarlo insieme ai computer. Serve almeno un’altra copia scollegata o immutabile, possibilmente fuori sede.
Cos’è un backup immutabile?
È una copia che, una volta scritta, non può essere modificata né cancellata per un periodo stabilito, nemmeno da un amministratore. Protegge i backup proprio dagli attaccanti che cercano di eliminarli prima di chiedere il riscatto.
Ogni quanto bisogna fare il backup?
Dipende da quanti dati lo studio può permettersi di perdere. Per la maggior parte degli studi un backup automatico giornaliero è un buon punto di partenza, con frequenze maggiori per gestionali e database usati di continuo.
Dropbox, OneDrive o Google Drive sono un backup?
Non da soli: sono servizi di sincronizzazione, che replicano anche cancellazioni e file cifrati. Alcuni conservano versioni precedenti per un periodo limitato, ma non sostituiscono un backup separato, con versioni e possibilmente immutabile.
Ogni quanto va provato il ripristino?
Almeno una volta ogni tre mesi e dopo ogni cambiamento importante, come un nuovo gestionale o un nuovo NAS. Annota data, esito e tempo impiegato: è anche una prova utile ai fini del GDPR.
Fonti e approfondimenti
- #StopRansomware Guide — CISA, MS-ISAC, NSA, FBI.
- Regolamento (UE) 2016/679 (GDPR), articolo 32 — EUR-Lex.
- Consigli utili per i professionisti IT delle PMI (PDF) — Agenzia per la Cybersicurezza Nazionale.
- Data Breach Investigations Report — Verizon, edizione 2025.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
