Backup aziendale: come capire se ti salverebbe davvero

Il test in sei domande

1. Sai cosa devi salvare?

   Fai l’elenco: cartelle condivise, gestionale e contabilità, posta, documenti nei portatili, siti web, configurazioni di server e router, file nei servizi cloud. Spesso il backup copre il server ma non i portatili, o i documenti ma non il database del gestionale.

2. Quante copie hai, e dove?

   Conta le copie oltre ai dati originali e guarda dove stanno. Se sono tutte nello stesso ufficio, un furto, un incendio o un allagamento le porta via insieme.

3. Almeno una copia è irraggiungibile?

   Chiediti: se un criminale prendesse il controllo del server con la password di amministratore, potrebbe cancellare o cifrare anche quella copia? Se la risposta è sì per tutte, il backup non ti salva da un ransomware.

4. Quanto lavoro perderesti?

   Guarda quando parte il backup. Se si fa ogni notte e il guasto arriva alle 17, perdi una giornata di lavoro. Va bene per la tua attività? Per alcune sì, per altre no.

5. Quando hai provato l’ultima volta a ripristinare?

   Se la risposta è «mai» o «non so», è la prima cosa da fare. Molti scoprono che il backup si era fermato mesi prima solo il giorno in cui serve.

6. Chi se ne occupa, e dov’è scritto?

   Ci deve essere una persona, interna o il fornitore, che controlla gli avvisi di errore e fa le prove. Le regole vanno messe per iscritto: lo chiede anche il GDPR, per poter dimostrare cosa fai.

La regola del 3-2-1, spiegata con un ufficio vero

La regola del 3-2-1 non è una legge, ma è la prassi più diffusa tra i tecnici perché resiste a quasi tutto:

• 3 copie dei dati: l’originale più due backup;
• su 2 supporti diversi: ad esempio un disco di rete in ufficio e un servizio cloud;
• 1 copia fuori sede: in cloud o su un disco portato altrove.

Oggi molti tecnici aggiungono due cifre e parlano di 3-2-1-1-0: una copia offline o immutabile, contro i ransomware, e zero errori nelle prove di ripristino.

Come si traduce per uno studio di cinque persone:

Il costo per una piccola realtà è spesso di poche centinaia di euro l’anno, molto meno di una settimana di fermo.

Quello che sembra un backup ma non lo è

Non sono soluzioni inutili: sincronizzazione e RAID rendono il lavoro più comodo e il server più robusto. Ma vanno affiancati da un backup vero, con copie storiche separate.

La copia che il ransomware non può toccare

I criminali che usano i ransomware cercano prima i backup, proprio per costringerti a pagare. Una copia resiste solo se è:

• Offline: un disco che si collega solo durante la copia e poi si stacca e si porta via. È la soluzione più semplice, ma dipende da una persona che si ricordi di farlo.
• Immutabile: una copia, di solito in cloud o su un disco di rete adatto, che per un periodo stabilito, ad esempio 30 giorni, non può essere modificata né cancellata da nessuno, neppure con la password di amministratore.
• Separata negli accessi: il programma di backup usa credenziali proprie, diverse da quelle di tutti i giorni e protette dalla verifica in due passaggi.

Anche le misure di base che l’Agenzia per la cybersicurezza nazionale (ACN) chiede alle aziende soggette alla NIS2 prevedono copie offline almeno per i sistemi più importanti. Cosa fare se l’attacco è già avvenuto, e come ripristinare senza far rientrare i criminali, è spiegato in ransomware in azienda: cosa fare nelle prime ore.

Quanto puoi perdere e in quanto tempo riparti

I tecnici usano due sigle, RPO e RTO. In parole semplici sono due domande che deve farsi il titolare, non il tecnico:

• Quanto lavoro posso permettermi di rifare? Se il backup è notturno, nel caso peggiore perdi una giornata. Se è ogni ora, perdi al massimo un’ora.
• Quanto tempo posso restare fermo? Ripristinare qualche file richiede minuti; ricostruire un server intero da una copia in cloud può richiedere un giorno o più, solo per scaricare i dati.

Se i due numeri che hai scelto non corrispondono a come è fatto il backup, va cambiato il backup, non i numeri. E ricorda le scadenze: con il fermo del gestionale non si fermano fatture, F24 e pratiche.

Se lavori in cloud: chi fa il backup?

Molte aziende pensano che con posta, documenti e gestionale in cloud il problema non esista. Non è così semplice. Di regola il fornitore garantisce che il servizio funzioni, ma non sempre che tu possa recuperare i tuoi dati cancellati per errore, cifrati da un attacco al tuo account o persi quando chiudi il contratto: i cestini e le versioni precedenti durano un numero limitato di giorni.

Chiedi per iscritto al fornitore:

• se fa backup dei tuoi dati, con che frequenza e per quanto tempo li tiene;
• se puoi chiedere il ripristino di un singolo file o di una data precisa, con che tempi e costi;
• come puoi esportare tutti i dati in un formato leggibile, anche quando cambi fornitore;
• dove stanno fisicamente i dati e le copie.

Se le risposte non bastano, serve un backup tuo dei dati in cloud, su un altro servizio o in ufficio. Il fornitore che tratta i tuoi dati va anche nominato responsabile del trattamento: vedi responsabile esterno del trattamento. Se stai scegliendo un programma, nell’articolo sul gestionale per la piccola azienda trovi cosa chiedere anche sull’esportazione dei dati.

La prova di ripristino: come farla davvero

La prova è il punto che quasi tutti saltano, ed è quello che fa la differenza. Una buona pratica, da adattare alla tua attività:

• Ogni mese: ripristina un file o una cartella scelti a caso, in una posizione diversa da quella originale, e controlla che si aprano.
• Ogni tre mesi: ripristina il database del gestionale su un computer di prova e verifica che i dati arrivino all’ultimo giorno previsto.
• Una volta l’anno: simula la perdita di un intero computer o del server e cronometra quanto ci vuole a tornare operativi. È il test completo che consiglia anche l’ENISA, l’agenzia europea per la cybersicurezza.

Annota data, cosa hai provato, esito e tempo impiegato. Controlla anche le email di errore del programma di backup: se nessuno le legge, un backup fermo da mesi passa inosservato.

Cosa chiedono il GDPR e la NIS2

L’articolo 32 del GDPR non usa la parola «backup», ma tra le misure di sicurezza adeguate al rischio indica proprio:

• la capacità di assicurare nel tempo riservatezza, integrità, disponibilità e resilienza dei sistemi;
• la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati personali in caso di incidente fisico o tecnico;
• una procedura per testare e verificare regolarmente l’efficacia delle misure.

In pratica: devi avere backup adeguati ai dati che tratti, saperli ripristinare e poterlo dimostrare con regole scritte e registri delle prove. I backup contengono gli stessi dati personali degli originali, quindi vanno protetti: cifrati, soprattutto se escono dall’ufficio, e accessibili a poche persone. La gestione dei backup è uno dei compiti tipici dell’amministratore di sistema, e le misure vanno indicate nel registro dei trattamenti.

Se perdi dati personali perché il backup non c’era o non funzionava, anche solo per un periodo, è una violazione di disponibilità da valutare entro 72 ore: vedi data breach: cosa fare.

Per le aziende che rientrano nella NIS2, le misure di base fissate dall’ACN sono più precise: backup periodici di dati e configurazioni, copie offline almeno per i sistemi rilevanti, protezione con cifratura o custodia fisica, test di ripristino periodici e procedure documentate. Chi è coinvolto è spiegato nella guida alla sicurezza informatica in azienda.

Un esempio concreto

L’agenzia immobiliare di Chiara, sei persone, fa il backup ogni notte del disco di rete su un disco USB sempre collegato, e tiene i documenti in una cartella sincronizzata nel cloud. Il tecnico le propone il test in sei domande:

• il gestionale delle locazioni è in cloud e nessuno sa se il fornitore conserva copie storiche;
• il disco USB è sempre collegato: in caso di ransomware verrebbe cifrato;
• la prova di ripristino non è mai stata fatta. Provando, scoprono che il backup notturno non includeva la cartella dei contratti firmati, spostata un anno prima.

In un pomeriggio sistemano: cartella dei contratti aggiunta, copia in cloud immutabile per 30 giorni, account del backup separato con verifica in due passaggi, richiesta scritta al fornitore del gestionale ed esportazione mensile dei dati. Chiara scrive una pagina con le regole e un calendario delle prove. Spesa: circa 300 euro l’anno più qualche ora del tecnico.

Cosa fa il consulente su Intervento

Descrivi come lavori: quante persone, quali computer, server o disco di rete, quali servizi cloud, come e quando fai i backup e se hai mai provato un ripristino. L’orientamento gratuito ti indica i punti deboli più probabili. Con l’Analisi ottieni una lettura automatica di ciò che carichi, come i report del programma di backup. Con l’Esperto un consulente privacy e sicurezza verificato ti risponde per iscritto: se il tuo backup reggerebbe a un ransomware, cosa manca, cosa scrivere per il GDPR e, se rientri nella NIS2, quali misure ti riguardano. Con il livello Soluzione, su preventivo, ti aiuta a progettare il sistema di backup, scrivere la procedura e organizzare le prove di ripristino.