Backup aziendale: la regola 3-2-1 spiegata semplice

Negli ultimi 18 mesi abbiamo recuperato dati da almeno una decina di aziende e Pubbliche Amministrazioni colpite da ransomware tra Pesaro Urbino e Ancona. La differenza tra chi è ripartito in 4 ore e chi ha perso 3 mesi di lavoro è sempre la stessa: il backup. E non un backup qualunque — un backup fatto secondo la regola 3-2-1.

Cosa significa 3-2-1?

La formula è elementare:

• 3 copie dei dati (l'originale + 2 backup)
• 2 supporti diversi (es. server + NAS, oppure NAS + cloud)
• 1 copia off-site (fuori dall'edificio dell'azienda)

L'unico backup che conta è quello che esce fisicamente dall'azienda. Se un fulmine, un incendio o un ransomware colpisce la sede, le copie sullo stesso scaffale del server bruciano insieme a lui.

Esempio concreto per una PMI di Fano

Immagina una società di 12 dipendenti con un gestionale, le e-mail Microsoft 365 e una cartella condivisa di 800 GB. Ecco come applicare la 3-2-1:

1. Copia 1 — Originale: i dati di produzione sul server aziendale (Windows Server o Linux)
2. Copia 2 — Locale: NAS Synology o QNAP in un'altra stanza, backup notturno con Veeam o Synology Active Backup
3. Copia 3 — Off-site: cloud (Wasabi, Backblaze B2, Azure) o NAS gemello in una seconda sede

Il tutto deve essere incrementale, con almeno 14 giorni di retention, e almeno una copia immutabile (cioè non cancellabile per X giorni nemmeno con le credenziali admin).

Perché serve l'immutabilità contro il ransomware

Il ransomware moderno non cripta solo i file: cerca attivamente i backup connessi e li distrugge. Se il tuo backup è una cartella di rete con un utente che può scrivere, il malware ci arriva. L'immutabilità — supportata da S3 Object Lock, Synology WriteOnce, NAS QNAP con snapshot bloccati — è oggi non opzionale.

Software che consigliamo

In Digital Point installiamo principalmente:

• Veeam Backup & Replication — standard di settore per server fisici e virtuali. Licenze a partire da ~50 €/anno per workload.
• Synology Active Backup for Business — gratuito se hai già un NAS Synology, fa backup di PC Windows, server, VM, Microsoft 365.
• Acronis Cyber Protect — soluzione integrata backup + antivirus + antiransomware. Buona per piccole realtà.
• Backup Microsoft 365 dedicato — Microsoft non fa veri backup di Exchange/SharePoint/OneDrive. Serve un tool terzo (Veeam M365, Synology, AvePoint).

Quanto costa il backup giusto?

Per la PMI tipica di Pesaro Urbino o Ancona (10-20 dipendenti, 500 GB-2 TB di dati):

• NAS Synology DS923+ con 4 dischi: ~1.500 €
• Licenze Veeam Standard (1 server + 10 workstation): ~700 €/anno
• Spazio cloud off-site (1 TB): ~6-10 €/mese
• Configurazione iniziale: ~800-1.200 €

In totale: investimento di 2.500-3.500 € + ~150 €/mese. Il costo di un singolo episodio di ransomware mal gestito parte da 30.000 € (riscatto medio italiano 2024) e arriva facilmente a 150.000 € contando giorni di blocco operativo.

L'errore più comune: il backup non viene mai verificato

Un backup che non è stato mai ripristinato per test non è un backup. È un file. Almeno una volta al trimestre va fatto un restore di prova: si sceglie un file random e si controlla che si riesca a ripristinarlo, intatto e leggibile.

Lo facciamo regolarmente per i nostri clienti in contratto di manutenzione: una procedura di 30 minuti che ti salva la vita aziendale quando serve davvero.

E la PA? La normativa parla chiaro

Per Comuni, Scuole, ASL e altri Enti, le linee guida AGID e le misure minime di sicurezza ABSC impongono di fatto la regola 3-2-1, con copia off-site e test periodici. Il mancato adempimento è un rilievo formale che può arrivare al Garante Privacy.

In sintesi

La regola 3-2-1 non è un'opinione tecnologica, è la differenza tra "ho perso un'ora" e "ho perso 6 mesi di lavoro". Implementarla costa meno di una settimana di blocco operativo. Se non lo hai mai fatto, parti oggi.