Backup Aziendale: La Regola 3-2-1-1-0 Spiegata Passo per Passo

Mantieni sempre almeno 3 copie dei tuoi dati: l’originale (dati di produzione) più 2 copie di backup. Questo protegge dalla probabilità statistica di guasto simultaneo: se un singolo disco ha una probabilità di guasto dell’1%, tre copie indipendenti hanno una probabilità di perdita simultanea dello 0,0001%. Per i dati più critici, alcune aziende mantengono 4 o più copie.

Le copie devono risiedere su supporti fisicamente diversi: disco locale + NAS, oppure server + cloud, oppure SSD + tape. Se tutte le copie sono sullo stesso tipo di storage, un difetto del produttore o un bug firmware potrebbe comprometterle tutte simultaneamente. La diversificazione dei supporti è una protezione fondamentale contro i guasti correlati.

Almeno una copia deve trovarsi fisicamente in un luogo diverso dalla sede aziendale. Incendi, alluvioni, furti o blackout prolungati possono distruggere tutti i dispositivi nella stessa sede. La copia offsite può essere in cloud, in un data center, o in una seconda sede aziendale. Il cloud è la soluzione più pratica e sicura per la maggior parte delle PMI.

NOVITÀ rispetto alla 3-2-1: almeno una copia deve essere immutabile, ovvero non modificabile né cancellabile per un periodo definito, nemmeno con credenziali di amministratore. Questo è l’unico modo per proteggere i backup dal ransomware. Le soluzioni includono: Veeam Hardened Repository su Linux, cloud storage con Object Lock (S3, Azure Blob), tape offline (air-gapped). L’immutabilità è la difesa definitiva contro gli attacchi che prendono di mira i backup.

NOVITÀ: ogni backup deve essere verificato attraverso test di ripristino regolari, con l’obiettivo di zero errori. Un backup non testato è una scommessa, non una protezione. Veeam SureBackup automatizza questo processo: avvia le VM dal backup in un ambiente sandbox, verifica che i servizi rispondano e produce un report. I test di ripristino vanno eseguiti almeno trimestralmente per i dati critici.

Ogni quanto devo fare il backup dei dati aziendali?

La frequenza del backup dipende dal tuo RPO (Recovery Point Objective), ovvero quanti dati puoi permetterti di perdere. Per la maggior parte delle PMI, un backup incrementale ogni 4-8 ore è un buon compromesso. Per dati critici (ERP, database clienti, email), si può arrivare a backup continui ogni 15-30 minuti. I backup completi (full) vengono tipicamente eseguiti settimanalmente, con incrementali giornalieri e differenziali intermedi. La regola d’oro: se perdere X ore di dati ti costa più del backup, aumenta la frequenza.

Il cloud backup è sicuro per i dati aziendali?

Sì, il cloud backup è sicuro se implementato correttamente. Le soluzioni professionali come Veeam Cloud Connect utilizzano crittografia AES-256 sia in transito (TLS 1.3) che a riposo. I dati vengono archiviati in data center certificati ISO 27001 e SOC 2, con ridondanza geografica. Il cloud backup offre inoltre vantaggi che lo storage locale non ha: protezione da disastri fisici (incendio, alluvione), immutabilità dei dati contro il ransomware e accessibilità da qualsiasi sede. La chiave è scegliere un provider affidabile e configurare correttamente la crittografia e le policy di accesso.

Quanto costa un backup aziendale professionale?

Il costo dipende dal volume di dati, dalla frequenza dei backup e dal livello di servizio. Per una PMI con 1-5 TB di dati, il costo di un backup gestito professionale (monitorato, testato, con disaster recovery) si aggira tra i 200 e i 600 euro al mese. Include: licenza software (Veeam), storage locale (NAS o appliance dedicata), replica cloud, monitoraggio 24/7 e test di ripristino periodici. È un investimento che va confrontato con il costo della perdita dati: il ripristino dopo un ransomware senza backup costa mediamente 10-50 volte di più.

Come verifico che i backup funzionino realmente?

Il modo più efficace è il test di ripristino periodico. Ogni trimestre (o mensilmente per dati critici), si deve eseguire un ripristino reale di un campione di dati e verificare che siano integri, completi e utilizzabili. Veeam offre la funzione SureBackup che automatizza questo processo, avviando le VM dal backup in un ambiente sandbox isolato e verificando che i servizi rispondano correttamente. Oltre ai test manuali, il monitoraggio automatizzato verifica quotidianamente che i job di backup completino senza errori e che le dimensioni siano coerenti. È il ’0’ della regola 3-2-1-1-0: zero errori di ripristino verificati.

Cosa succede ai miei dati in caso di attacco ransomware?

Con una strategia 3-2-1-1-0 correttamente implementata, un attacco ransomware non può compromettere i tuoi backup. Ecco perché: la copia immutabile (il ‘1’ della regola) non può essere modificata o cancellata nemmeno con credenziali di amministratore. I ransomware moderni cercano attivamente i backup per criptarli, ma una copia immutabile su storage air-gapped o su cloud con object lock è immune. In caso di attacco, si ripristinano i dati dall’ultima copia immutabile verificata, riducendo il tempo di ripristino a poche ore invece di giorni o settimane. Senza backup immutabile, il 73% delle aziende colpite da ransomware paga il riscatto (fonte: Sophos 2025).

Devo fare backup anche dei dati in cloud (Microsoft 365, Google Workspace)?

Assolutamente sì. Contrariamente a quanto molti credono, Microsoft 365 e Google Workspace NON fanno backup dei tuoi dati. Offrono ridondanza dell’infrastruttura (i loro server non perdono i dati), ma non proteggono da: cancellazione accidentale da parte degli utenti, attacchi ransomware, dipendenti malintenzionati, errori di sincronizzazione o disattivazione delle licenze. Il modello di responsabilità condivisa è chiaro: Microsoft/Google sono responsabili della disponibilità del servizio, tu sei responsabile dei tuoi dati. Un backup dedicato di M365/Google Workspace è essenziale e costa circa 3-5 euro per utente al mese.