In sintesi
- La regola 3-2-1 prevede tre copie, due supporti diversi e una copia fuori sede.
- I ransomware moderni attaccano anche i backup: servono separazione, immutabilità e cifratura.
- Il test di ripristino documentato è la prova che il backup funziona.
- Tempo e punto di ripristino sono decisioni da condividere con la direzione.
Dopo un attacco ransomware, la domanda che conta è una sola: possiamo ripartire senza pagare? La risposta dipende da un'attività noiosa e poco celebrata, il backup. Il backup ransomware PMI non è questione di tecnologia sofisticata, ma di disciplina: copie giuste, separate e provate.
La regola 3-2-1
È la regola di riferimento, richiamata anche dalle risorse della CISA: tre copie dei dati, su due tipi di supporto diversi, con una copia fuori sede, come descrive SentinelOne. Un esempio ipotetico per una piccola impresa: i dati vivi sul server, una copia su un archivio di rete, una copia cifrata in un servizio cloud.
Perché oggi non basta
Gli operatori di ransomware moderni cercano di eliminare gli snapshot, cifrare i repository di backup, disabilitare il software e accedere ai backup in cloud con credenziali compromesse, secondo la guida ransomware della CISA riportata da SentinelOne. Una copia raggiungibile dalla stessa rete e con le stesse credenziali dei sistemi principali può cadere insieme a loro.
Per questo si parla di varianti come la 3-2-1-1-0, ricordata da InnovaCoding: una copia in più offline o immutabile e zero errori nelle verifiche di ripristino.
Le quattro proprietà di un buon backup
| Proprietà | Cosa significa | Come si verifica |
|---|---|---|
| Separazione | Almeno una copia non raggiungibile dalla rete principale | Prova di accesso con le credenziali aziendali standard |
| Immutabilità | La copia non può essere modificata o cancellata per un periodo | Configurazione di retention lock o supporto offline |
| Cifratura | Dati cifrati a riposo e in transito | Controllo delle impostazioni |
| Ripristinabilità | I dati tornano utilizzabili in un tempo accettabile | Test di ripristino documentato |
Backup ransomware PMI: cosa mettere nel perimetro
Il primo errore è fare il backup di «tutto» senza sapere cosa conta. Meglio classificare i sistemi in tre fasce in base all'impatto di un'interruzione: critici (l'azienda si ferma), importanti (si lavora con difficoltà), secondari (si può aspettare). Per ciascuna fascia si decidono frequenza di copia e tempo di ripristino accettabile.
Dentro il perimetro vanno tutti i luoghi dove vivono i dati, compresi quelli dimenticati: server di file, database dei gestionali, posta elettronica, servizi cloud, postazioni dei responsabili, dispositivi mobili. I servizi in cloud non sono automaticamente protetti: in molti contratti la responsabilità di avere una copia ripristinabile dei propri dati resta al cliente, quindi verifica cosa prevede il tuo fornitore.
Sulle credenziali: l'account che amministra i backup non deve essere lo stesso che amministra i sistemi di produzione, e la console richiede l'autenticazione a più fattori. Sulla conservazione, tieni copie di più periodi (giornaliere, settimanali, mensili): un ransomware può restare nascosto per giorni prima di attivarsi, e con le sole copie dell'ultima notte rischi di ripristinare file già compromessi.
Il test di ripristino in un'ora
Il passaggio più trascurato è anche il più importante. Propongo un test minimo, ripetibile.
- Scegli cinque file e una cartella a caso, di anni diversi.
- Ripristinali in un ambiente separato dal sistema di produzione.
- Verifica che si aprano e che i dati siano completi.
- Annota data, durata ed esito su un registro.
- Una volta all'anno, prova il ripristino di un intero sistema applicativo.
Le indicazioni riportate da SentinelOne suggeriscono una cadenza a livelli: verifica mensile del ripristino di file, test trimestrali a livello applicativo, esercitazioni annuali di failover. Per una PMI piccola, una versione ridotta è già un grande passo avanti.
Il tempo di ripristino conta quanto la copia
Avere il backup non basta se il ripristino richiede due settimane. Due numeri vanno definiti con la direzione: quanto tempo massimo l'azienda può restare ferma (tempo di ripristino) e quanti dati può permettersi di perdere (punto di ripristino). È il tipo di decisione che spetta agli organi di amministrazione, come richiama la NIS2: ne parlo nell'articolo sulla responsabilità degli amministratori. Annota tutto in un documento di una pagina: cosa viene copiato, con quale frequenza, dove, chi lo controlla, quando è stato l'ultimo test.
Il backup nella NIS2
Tra le misure richieste ai soggetti NIS rientra la continuità operativa, che comprende backup e piani di ripristino; il quadro è descritto dal Vademecum ACN nella ricostruzione di Unindustria. Anche per chi non è soggetto NIS, un fornitore che rientra nella catena di un soggetto NIS si vedrà chiedere prove sui backup nei questionari di sicurezza.
Cosa fare adesso
Fai il test dei cinque file entro questa settimana e annota l'esito. Per mettere i backup nel contesto della tua organizzazione usa la checklist NIS2 e il test NIS2. La pagina consulente NIS2 descrive il mio metodo; la voce autenticazione a più fattori del glossario ricorda un presidio complementare per proteggere gli accessi al sistema di backup.
Domande frequenti
Cos'è la regola 3-2-1?
Tre copie dei dati, su due tipi di supporto, con una copia fuori sede.
Perché il 3-2-1 non basta contro il ransomware?
Perché gli attaccanti cercano di cancellare o cifrare anche i backup raggiungibili; servono copie separate, immutabili e testate.
Ogni quanto si testa il ripristino?
Le indicazioni di settore propongono verifiche mensili sui file, test trimestrali applicativi ed esercitazioni annuali complete; una PMI piccola può partire da una versione ridotta.
Il backup è richiesto dalla NIS2?
La continuità operativa, che include backup e ripristino, rientra tra le misure di sicurezza richieste ai soggetti NIS.