Backup e disaster recovery: il piano minimo

Nessuno pensa al backup finché non serve. E quando serve — un ransomware, un guasto, un errore umano che cancella la cartella sbagliata — scoprire di non averne uno funzionante è una delle situazioni più costose in cui un’azienda possa trovarsi. Il backup non è un tema informatico da delegare e dimenticare: è continuità aziendale. Vediamo il piano minimo che ogni PMI dovrebbe avere.

Backup e disaster recovery non sono la stessa cosa

Due concetti spesso confusi.

• Il backup è una copia dei dati che permette di recuperarli se l’originale va perso.
• Il disaster recovery è il piano che ti permette di tornare operativo dopo un incidente grave: non solo i dati, ma i sistemi, gli accessi, i processi.

Avere i backup ma nessun piano di ripristino significa avere i mattoni ma nessun progetto per ricostruire la casa. Servono entrambi.

La regola 3-2-1

È lo standard di riferimento, semplice e collaudato:

• 3 copie dei dati (l’originale più due backup).
• 2 supporti diversi (per esempio disco locale e cloud).
• 1 copia off-site, fisicamente separata, meglio se non sempre connessa.

La copia separata e offline è la difesa decisiva contro i ransomware: un attacco che cifra i sistemi collegati non può toccare un backup che non è raggiungibile in rete. Molte aziende scoprono troppo tardi che i loro backup erano sullo stesso sistema colpito.

Le due domande che definiscono il piano: RPO e RTO

Prima di scegliere gli strumenti, rispondi a due domande di business.

• RPO (Recovery Point Objective): quanti dati puoi permetterti di perdere? Se fai backup una volta al giorno, in caso di guasto perdi fino a un giorno di lavoro. Per la fatturazione o gli ordini può essere inaccettabile: serve una frequenza maggiore.
• RTO (Recovery Time Objective): quanto tempo puoi restare fermo? Un’ora, un giorno, una settimana? Dalla risposta dipende quanto deve essere rapido il ripristino.

Non c’è una risposta giusta in assoluto: dipende da quanto costa un’ora di fermo alla tua attività. Ma la domanda va posta prima, non durante l’emergenza.

Il backup che non è mai stato testato non esiste

È l’errore più diffuso e più grave. Un backup che gira ogni notte dà un falso senso di sicurezza finché non provi a ripristinarlo — e scopri che era incompleto, corrotto o che nessuno sa come si fa. Un backup vale solo quanto il ripristino che ne ottieni.

Le regole minime:

1. Testa il ripristino periodicamente, non solo l’esecuzione del backup.
2. Documenta la procedura: chi fa cosa, con quali accessi, in che ordine.
3. Verifica gli alert: se un backup fallisce, qualcuno deve accorgersene subito.

Il fattore umano e i ransomware

La maggior parte degli incidenti non nasce da guasti hardware ma da errori umani e attacchi. Il piano tecnico va accompagnato da misure semplici: aggiornamenti costanti dei sistemi, autenticazione a più fattori sugli accessi critici, formazione delle persone a riconoscere le e-mail di phishing. La copia offline, come detto, è l’ultima linea di difesa quando tutto il resto è stato compromesso.

Protezione e conservazione dei dati

Il tema tocca anche il piano legale, non solo tecnico.

• La legge svizzera prevede l’obbligo di conservare la documentazione commerciale e contabile per dieci anni. Il tuo sistema di backup deve garantire che questi documenti siano recuperabili e leggibili per tutto il periodo.
• La nuova legge sulla protezione dei dati (nLPD) richiede misure di sicurezza adeguate sui dati personali: un backup non protetto o conservato senza criterio è esso stesso un rischio.
• Se i backup sono in cloud, verifica dove sono conservati e con quali garanzie, preferendo hosting in Svizzera o nell’UE con condizioni chiare.

Il piano minimo, in sintesi

Anche una PMI piccola può darsi una base solida: applica la regola 3-2-1, definisci RPO e RTO in base a quanto un fermo ti costa, tieni una copia offline contro i ransomware, testa il ripristino a intervalli regolari, documenta chi fa cosa in caso di incidente e assicurati di rispettare gli obblighi di conservazione decennale. Non serve un’infrastruttura complessa: serve un piano scritto e provato.

Come lavoriamo noi

SIH ONE è un gruppo fiduciario AI-native: uniamo la competenza tecnologica alla conoscenza degli obblighi svizzeri di conservazione e protezione dei dati. Ti aiutiamo a impostare un piano di backup e continuità dimensionato sulla tua attività, che tenga insieme sicurezza tecnica, tempi di ripristino realistici e conformità normativa.

Vuoi essere sicuro di poter ripartire dopo un incidente? Parliamone insieme.