Nel primo semestre del 2026, l’Italia ha registrato 148 attacchi ransomware rivendicati pubblicamente, con un picco a giugno che ha coinvolto oltre venti aziende in poche settimane. In quasi tutti questi casi, la domanda decisiva non era “siamo stati attaccati?” ma “quanto tempo ci vuole per tornare operativi?”
La risposta dipende quasi interamente da una cosa: la qualità della strategia di backup e disaster recovery dell’azienda.
Eppure secondo i dati ISTAT 2026, l’82% delle PMI italiane non ha un piano di disaster recovery formalizzato. Il 40% di quelle colpite da un disastro informatico chiude entro due anni. Non è catastrofismo: sono dati.
In questo articolo ti spieghiamo come costruire una strategia di backup aziendale sicuro e ripristino che funziona davvero, anche sotto attacco.
Backup e disaster recovery non sono la stessa cosa
Prima di tutto, una distinzione che molti confondono e che invece cambia tutto in fase di emergenza.
Il backup è la copia di sicurezza dei dati. Ti permette di recuperare file, database, configurazioni in caso di cancellazione accidentale, guasto hardware o cifratura da ransomware. È il punto di partenza, non il punto di arrivo.
Il disaster recovery è qualcosa di più ampio: è l’insieme di procedure, sistemi e piani che permettono all’intera infrastruttura di tornare operativa dopo un evento critico, che sia un attacco informatico, un incendio, un’alluvione o un guasto grave. Non si limita ai dati: riguarda server, applicativi, connettività, accessi, e i processi operativi che dipendono da tutto questo.
Avere il backup senza un piano di disaster recovery significa sapere dove sono i dati ma non avere un percorso chiaro per tornare a lavorare. Avere un piano senza backup testati significa avere una mappa senza la destinazione.
Il problema dei backup che sembrano funzionare ma non funzionano
C’è un errore che si ripete sistematicamente nelle PMI italiane: il backup esiste, gira automaticamente ogni notte, e nessuno lo testa mai. Finché non serve.
Il Rapporto Clusit 2026 conferma che i gruppi ransomware colpiscono in modo sistematico le copie accessibili dalla rete per impedire il ripristino. Un backup collegato alla stessa rete che viene cifrata dal ransomware è un backup inutile.
I problemi più comuni che emergono in fase di ripristino sono tre. Le copie non sono aggiornate: il backup automatico si era interrotto settimane prima senza che nessuno se ne accorgesse. Le copie sono accessibili dalla rete aziendale e vengono cifrate insieme ai dati originali. Il ripristino non è mai stato testato e in fase di emergenza emergono errori o incompatibilità che rallentano tutto.
Un backup non testato non è una garanzia. È una speranza.
La regola 3-2-1: il punto di partenza
La regola 3-2-1 è lo standard consolidato per una strategia di backup efficace. È semplice da ricordare e difficile da aggirare per un attaccante.
Tre copie dei dati. Non una sola, non due: tre. La ridondanza non è un lusso, è la base.
Due supporti diversi. Ad esempio una copia su NAS locale e una su cloud, oppure una su storage on-premise e una su nastro. Se un tipo di supporto si guasta, l’altro rimane integro.
Una copia geograficamente separata. Fuori dalla sede fisica, preferibilmente in un data center distante. Serve a proteggersi da eventi fisici come incendi, allagamenti o furti.
La regola 3-2-1 è il minimo. Nel 2026, con il ransomware che colpisce sistematicamente le copie in rete, molti esperti consigliano di aggiungere una quarta regola: almeno una copia deve essere immutabile o offline.
Backup immutabile e air-gapping: perché sono diventati lo standard minimo
Il backup immutabile è una copia che non può essere modificata, cancellata o cifrata nemmeno da chi ha accesso amministrativo alla rete. Una volta scritto, quel dato rimane intatto per un periodo definito. I principali provider cloud e le soluzioni di storage enterprise offrono questa funzionalità con diversi nomi: Object Lock su AWS S3, Immutable Blob Storage su Azure, Worm Storage su vari sistemi NAS.
L’air-gapping logico o fisico è il complemento: isolare una copia dei backup dalla rete aziendale in modo che un attaccante che ha compromesso l’intera infrastruttura non possa raggiungerla. Fisicamente significa un supporto offline (nastro, disco rimovibile). Logicamente significa un sistema di backup in cloud con credenziali separate da quelle di dominio e autenticazione a due fattori indipendente.
Secondo il Rapporto Clusit 2025, il costo medio di un attacco ransomware per una PMI italiana si aggira tra i 150.000 e i 200.000 euro. Avere backup immutabili e air-gapped non elimina l’attacco, ma riduce drasticamente il costo: invece di pagare il riscatto o perdere mesi di dati, si ripristina da una copia integra.
RPO e RTO: i due parametri che ogni IT Manager deve conoscere
Quando si progetta una strategia di disaster recovery, due parametri definiscono tutto il resto.
L’RPO (Recovery Point Objective) è la quantità massima di dati che l’azienda può permettersi di perdere in termini di tempo. Se il backup gira ogni 24 ore e l’RPO è 4 ore, c’è un problema: in caso di attacco alle 18:00, si perdono tutti i dati della giornata. L’RPO deve essere definito sistema per sistema, perché non tutti i dati hanno lo stesso valore: il gestionale di produzione ha un RPO molto diverso dall’archivio storico dei documenti.
L’RTO (Recovery Time Objective) è il tempo massimo entro cui l’azienda deve tornare operativa dopo un incidente. Non è quanto tempo ci vuole tecnicamente per ripristinare: è quanto tempo l’azienda può permettersi di stare ferma prima che i danni diventino irreversibili. Un’azienda manifatturiera con ordini in scadenza ha un RTO molto diverso da uno studio professionale.
Definire RPO e RTO sistema per sistema, condividerli con la direzione e costruire la strategia di backup e recovery intorno a questi parametri è il punto di partenza di qualsiasi piano serio. Senza questi numeri, le decisioni tecniche vengono prese nel vuoto.
Backup aziendale sicuro: i test necessari
Il test del backup non è un’attività opzionale: è parte integrante della strategia. Un piano di disaster recovery che non viene testato regolarmente è un piano che funzionerà per la prima volta sotto pressione, con tutto quello che questo comporta.
I test devono verificare almeno tre cose. Che i dati siano effettivamente recuperabili: aprire un file ripristinato non equivale a verificare che un database sia integro e coerente. Che i tempi di ripristino rispettino gli RTO definiti: se il piano prevede di tornare operativi in 4 ore ma il ripristino reale ne richiede 12, c’è un problema da risolvere prima dell’emergenza. Che le procedure siano chiare e documentate: in una situazione di stress, con i sistemi down e i clienti che chiamano, non è il momento di ricordare le credenziali del sistema di backup o di capire in quale ordine ripristinare i servizi.
La frequenza dei test dipende dalla criticità dei sistemi: per i sistemi critici, almeno una volta a trimestre. Per i sistemi meno critici, almeno una volta all’anno. Documentare ogni test con i tempi effettivi e gli eventuali problemi emersi è fondamentale per migliorare il piano nel tempo.
Il piano di risposta nelle prime 48 ore
Quando un attacco va a segno, le prime 48 ore determinano l’entità del danno. Avere un piano chiaro, condiviso e accessibile anche quando i sistemi sono down fa la differenza tra una crisi gestibile e una crisi che si trasforma in disastro.
Il piano deve rispondere a queste domande prima che l’emergenza arrivi. Chi è il responsabile delle decisioni tecniche nelle prime ore? Chi deve essere avvisato immediatamente, inclusi clienti e fornitori critici? In quale ordine si ripristinano i sistemi, partendo da quelli più critici per la continuità operativa? Le credenziali di accesso ai sistemi di backup e recovery sono accessibili anche se i sistemi aziendali sono down? Esiste un canale di comunicazione alternativo (telefono, email personale) se la posta aziendale è compromessa?
Queste non sono domande tecniche: sono domande organizzative che richiedono risposta prima dell’emergenza, non durante.
Hai un piano di backup e disaster recovery testato, o stai ancora sperando di non averne bisogno?
Prenota una call gratuita di 30 minuti con il nostro team. Analizziamo insieme la tua strategia attuale e ti diciamo, senza impegno, quali sono i punti critici da affrontare per primi.