Un backup professionale che non è mai stato ripristinato con successo non protegge nulla. La guida dell’ANSSI sul backup dei sistemi informativi, pubblicata nell’ottobre 2023 e rivista nel novembre 2025, insiste su questo punto: la capacità di ripristinare un ambiente completo è prioritaria rispetto alla semplice copia di file. Ottimizzare la gestione e il backup dei tuoi dati professionali online implica padroneggiare tre dimensioni distinte, dal ripristino testato al quadro giuridico dello storage cloud.
Ripristino dei dati: il test che la maggior parte delle aziende trascura
Copiare file su un server remoto o su un disco esterno non costituisce una strategia di backup. Il valore di una copia si misura nel momento in cui deve essere ripristinata, sotto pressione, dopo un incidente.
Le raccomandazioni recenti dell’ANSSI raccomandano di documentare la procedura di ripristino, i ruoli e l’ordine di ripristino. Un file di backup corrotto o un formato diventato illeggibile non viene rilevato il giorno del guasto. Viene rilevato durante un test pianificato, effettuato su un ambiente separato.
Molte PMI scoprono dopo un attacco ransomware che i loro backup, pur realizzati quotidianamente, sono inutilizzabili. Il problema non era la frequenza della copia, ma l’assenza totale di verifica. Per strutturare questo approccio, in particolare per quanto riguarda le soluzioni di backup esternalizzato, l’accesso comandi su BackUpYourBrain consente di consultare le offerte adatte alle strutture professionali.
Un test di ripristino trimestrale, documentato per iscritto con la data, il perimetro ripristinato e il tempo necessario, trasforma un backup passivo in una vera rete di sicurezza.
Backup immutabile e regola 3-2-1: perché la copia offline cambia tutto
La regola 3-2-1 (tre copie, due supporti diversi, una copia off-site) rimane un fondamento di riferimento. Presenta una falla che i ransomware sfruttano sistematicamente: se la copia off-site rimane collegata alla rete di produzione con le stesse credenziali, può essere crittografata o eliminata contemporaneamente ai dati principali.
Copia disconnessa o tecnicamente immutabile
La CNIL, nella sua guida alla sicurezza dei dati personali (edizione 2024), e l’ANSSI convergono su un punto: una copia offline, disconnessa o immutabile, è l’unica garanzia contro la crittografia generalizzata. L’immutabilità significa che i file di backup non possono essere né modificati né eliminati per un periodo definito, nemmeno da un amministratore compromesso.
Concretamente, ciò implica:
- Account di amministrazione separati per la produzione e per il backup, con password distinte e autenticazione rafforzata
- Un supporto fisicamente disconnesso dopo ogni ciclo di copia (nastro magnetico, disco esterno rimosso dalla rete) o uno storage cloud configurato in modalità immutabile
- Crittografia dei backup stessi, di cui la chiave è conservata indipendentemente dal sistema principale
Questo approccio aggiunge un vincolo operativo. Rimane l’unico modo affidabile per garantire che almeno una copia sopravviva a un attacco mirato al sistema informativo.
Storage cloud e trasferimento di dati: il quadro giuridico spesso sottovalutato
Scegliere una soluzione di storage cloud per i propri backup professionali non si limita a confrontare tariffe e funzionalità tecniche. Il luogo fisico di hosting dei server determina il regime giuridico applicabile ai dati.
Hosting in Europa e trasferimenti al di fuori dell’UE
Il GDPR regola rigorosamente i trasferimenti di dati personali verso paesi terzi. Anche quando il fornitore cloud dichiara di avere server in Francia o in Europa, alcune clausole contrattuali consentono la replicazione o l’accesso ai dati da giurisdizioni non europee. Il Cloud Act americano, ad esempio, consente alle autorità degli Stati Uniti di richiedere l’accesso a dati ospitati da un fornitore americano, indipendentemente dal paese in cui si trovano fisicamente i server.
Per una PMI che gestisce dati sensibili dei clienti, verificare la localizzazione reale dei dati e le clausole di trasferimento internazionale nel contratto del fornitore cloud non è un dettaglio giuridico. È un obbligo ai sensi del GDPR.
- Richiedere al fornitore l’elenco dei subappaltatori e i paesi interessati da eventuali trasferimenti
- Verificare l’esistenza di clausole contrattuali tipo (CCT) validate dalla Commissione europea
- Preferire un hosting sul territorio francese quando la natura dei dati lo richiede (dati sanitari, dati finanziari, dati soggetti al segreto professionale)
Piano di ripristino dell’attività: anticipare lo scenario di perdita totale
Il backup alimenta un dispositivo più ampio: il piano di ripristino dell’attività (PRA). Questo documento descrive la procedura da seguire quando il sistema informativo diventa completamente indisponibile, che la causa sia un attacco informatico, un incendio o un guasto hardware.
Un PRA operativo si basa su due indicatori definiti in anticipo. Il primo, il RPO (Recovery Point Objective), fissa la quantità massima di dati che l’azienda accetta di perdere, espressa in ore di lavoro. Il secondo, il RTO (Recovery Time Objective), fissa il tempo massimo di ripristino.
Questi due parametri determinano la frequenza dei backup e il tipo di soluzione scelta. Un’azienda che tollera al massimo quattro ore di perdita di dati non ha le stesse esigenze di una struttura per la quale un’intera giornata è accettabile. Definire RPO e RTO prima di scegliere una soluzione di backup evita investimenti sproporzionati o insufficienti.
La direttiva NIS 2, che rafforza le obbligazioni di resilienza digitale per un numero crescente di aziende in Europa, spinge questo ragionamento ulteriormente richiedendo una gestione formalizzata della continuità operativa.
La gestione dei backup professionali online si basa su scelte tecniche, giuridiche e organizzative che si rafforzano a vicenda. Un test di ripristino regolare, una copia immutabile e un hosting il cui quadro giuridico è controllato formano una base difficile da eludere. Il PRA, a sua volta, trasforma questi mattoni isolati in una reale capacità di ripristino.
