Immagina il risveglio peggiore: i file del gestionale non si aprono, il server chiede un riscatto, le cartelle condivise sono diventate illeggibili. In quel momento c'è una sola domanda che conta davvero: i backup funzionano? Non "esistono": funzionano. La differenza tra tornare operativi in qualche giorno e restare in ginocchio sta quasi sempre lì, in quelle copie che tutti dicono di avere e che pochi hanno davvero verificato. La regola per farlo bene ha un nome semplice, 3-2-1, e resta la stella polare anche nel 2026.

Perché i backup sono diventati un bersaglio

I criminali lo sanno: prima di cifrare tutto, cercano e colpiscono le copie di sicurezza. Un'analisi Sophos ha misurato l'effetto: il 94% delle vittime subisce tentativi di compromissione dei backup e nel 57% dei casi i tentativi vanno a segno; quando i backup cadono, la mediana dei costi di recupero diventa otto volte quella di chi li ha intatti, 3 milioni di dollari contro 375.000. E il conto non si ferma al riscatto: secondo lo State of Ransomware 2026 il costo medio del recupero, riscatto escluso, è salito a 1,7 milioni di dollari, l'11% in più dell'anno precedente. La buona notizia è che le copie funzionano: quando ci sono, il 66% delle vittime con dati cifrati recupera dai backup, contro il 54% dell'anno prima. Il ransomware però non è l'unico rischio: cancellazioni accidentali, errori umani, guasti hardware e disastri naturali seguono lo stesso copione. Il backup è l'assicurazione che non si compra dopo. E quando l'attacco è già in corso, il backup è solo metà della storia: l'altra metà sono le prime ore di reazione, di cui parliamo nella guida all'intervento nelle prime 24 ore.

La regola 3-2-1 spiegata semplice

Tre copie dei dati, su due supporti diversi, con una copia fuori sede. Ogni numero ha una ragione precisa.

  • Tre copie: l'originale più due backup. Se una copia è danneggiata o incompleta, ne resta un'altra. Una sola copia non è un backup, è una scommessa.
  • Due supporti diversi: per esempio un dispositivo locale (NAS, server di backup) e un servizio cloud. Se un supporto si guasta o viene cifrato, l'altro è su una tecnologia diversa e non cade con lui.
  • Una copia fuori sede: fisicamente o logicamente separata dall'ufficio. È la copia che sopravvive a un incendio, a un furto o a un ransomware che ha già raggiunto la rete aziendale. Con queste tre dimensioni si coprono i tre scenari che si vedono più spesso: il guasto del singolo supporto, l'errore che cancella i dati, il disastro che colpisce la sede.

Oltre la regola: offline, cifrate, testate

La regola 3-2-1 è il punto di partenza, non il traguardo. La CISA, l'agenzia statunitense per la cybersicurezza, raccomanda di mantenere copie di backup offline e cifrate, e di collaudarle con regolarità. Offline significa non raggiungibile dalla rete: un ransomware che gira sui tuoi sistemi non può cifrare ciò che non vede. Cifrate significa che se un disco esce dall'ufficio, i dati restano illeggibili. Le copie immutabili (non modificabili per un periodo definito) aggiungono un ulteriore scudo: anche con le credenziali in mano, un attaccante non può riscrivere la storia dei backup. E poi c'è il collaudo, il passaggio che tutti saltano: un backup mai testato è un'ipotesi, non una garanzia. Il divario tra fiducia e realtà è documentato: secondo Veeam, il 90% dei responsabili si dichiara sicuro di ripristinare tutto, ma solo il 28% delle vittime di attacco ransomware ci riesce davvero, e in media si recupera appena il 72% dei dati colpiti. Vale anche il contrario: un ripristino lento è quasi un ripristino mancato. Se recuperare i dati richiede giorni, il backup c'è ma il servizio no.

Come si organizza in una PMI

Quattro passaggi, in ordine. Primo: decidere cosa conta. Non tutti i dati valgono lo stesso: partite da quelli senza cui l'azienda si ferma (gestionale, fatture, anagrafiche, progetti) e definite due parametri: quanti dati potete permettervi di perdere (in gergo, obiettivo di punto di ripristino) e quanto tempo potete restare fermi (obiettivo di tempo di ripristino). Per calibrare il secondo, guardate i tempi reali: secondo Sophos il 55% delle vittime recupera entro una settimana, il 16% in meno di un giorno, e l'83% entro un mese; la media però resta di tre settimane. Secondo: automatizzare, con copie pianificate che nessuno deve ricordarsi di lanciare a mano. Terzo: separare gli accessi, con credenziali dedicate per i backup, diverse da quelle di rete, e con la regola che le copie non stanno mai sullo stesso dominio che proteggono. Quarto: provare il ripristino almeno ogni trimestre, aprendo davvero un file o ripristinando una macchina, e annotando l'esito. Un test fallito in pace vale più di cento successi presunti. Chiudete il cerchio con una pagina di istruzioni: dove sono le copie, come si ripristina, chi sa farlo. Nel giorno peggiore non c'è tempo per improvvisare. Se preferisci un occhio esterno, copertura e ripristini li verifichiamo insieme: è una delle cose che facciamo nei servizi per server e cloud.

Gli errori tipici

Il più diffuso è confondere la sincronizzazione con il backup: la cartella cloud che si aggiorna in tempo reale replica anche il problema, altro che copia di sicurezza. Il secondo è tenere tutte le copie nella stessa stanza, magari accanto al server che dovrebbero proteggere. Il terzo è l'accesso condiviso: se il malware entra con le credenziali dell'amministratore, e il backup usa le stesse, è finita. Il quarto è la fiducia cieca negli avvisi: i sistemi di backup segnalano i fallimenti, ma quasi nessuno legge il report settimanale. Il quinto, il più grave, è scoprire tutto questo solo dopo l'incidente, quando il tempo stringe e le opzioni si contano sulle dita di una mano. A tutto questo si aggiunge l'errore di prospettiva, il più umano: pensare che tanto a noi non succede. I numeri di questo articolo esistono perché succede, tutti i giorni, anche a chi non ne parla.