Backup e ransomware: la regola 3-2-1 (e perché oggi serve il 3-2-1-1-0)

Molte piccole aziende pensano di non essere un bersaglio. I dati dicono il contrario: le rilevazioni di settore indicano che circa un terzo delle PMI italiane ha subito un attacco informatico negli ultimi dodici mesi, e che le piccole imprese sono tra le vittime preferite proprio perché meno protette. In caso di ransomware, il malware che cifra i tuoi dati e chiede un riscatto, l'unica vera rete di salvataggio è il backup. Ma non un backup qualsiasi.

La regola 3-2-1, in breve

È lo standard classico, valido da vent'anni. Significa avere sempre:

• 3 copie dei dati (l'originale più due backup);
• su 2 supporti diversi (es. disco interno e un secondo dispositivo o cloud);
• di cui 1 fuori sede (off-site), così un guasto, un furto o un incendio non porta via tutto insieme.

È il minimo indispensabile. Ma è nata in un'epoca in cui il ransomware non esisteva.

Perché oggi non basta più

I ransomware moderni restano nascosti nella rete per settimane prima di attivarsi, e nel frattempo cercano e cifrano anche i backup, soprattutto quelli sempre connessi. Se la tua unica copia off-site è un cloud costantemente collegato alla rete infetta, può essere cifrata o cancellata insieme al resto. Ti ritrovi con tre copie... tutte inutilizzabili.

Il nuovo standard: 3-2-1-1-0

È l'evoluzione che molti assicuratori del rischio cyber ormai richiedono. Alle 3-2-1 classiche aggiunge due elementi decisivi:

• 1 copia immutabile o offline (air-gapped): una copia che, una volta scritta, non può essere modificata né cancellata, nemmeno da un ransomware che ha preso il controllo della rete.
• 0 errori nei test di ripristino: un backup vale solo se sai che si ripristina davvero. Vanno testati con regolarità: "zero errori" verificati, non sperati.

La verità scomoda: un backup mai testato non è un backup

L'errore più comune non è non avere backup: è avere backup che nessuno ha mai provato a ripristinare. Il momento sbagliato per scoprire che non funzionano è dopo l'attacco. Il test di ripristino periodico è la parte che tutti saltano ed è quella che fa la differenza tra un disagio e un disastro.

Cosa fare, in pratica

• Definisci quali dati sono vitali (gestionale, contabilità, documenti, email) e con che frequenza cambiano.
• Imposta backup automatici 3-2-1, con almeno una copia immutabile o offline.
• Programma test di ripristino periodici e verifica che l'esito sia pulito.
• Aggiungi le basi che moltiplicano la protezione: autenticazione a più fattori, aggiornamenti, formazione anti-phishing (le esche più usate restano ordini, fatture e pagamenti finti).

Sono, in fondo, le stesse misure di buona igiene informatica che chiede anche la direttiva NIS2, sempre più uno standard di fatto anche per chi non è direttamente obbligato.

Come ci muoviamo noi

Facciamo un check della tua situazione, impostiamo un backup 3-2-1-1-0 con copie immutabili, automatizziamo tutto e, soprattutto, testiamo il ripristino con regolarità, così sai che i tuoi dati tornano davvero. Mettiamo in sicurezza anche le basi (accessi, aggiornamenti, formazione), perché il modo migliore di gestire un ransomware è non trovarsi mai a pagarlo.