Un'azienda di trasporti in provincia di Bergamo, dodici dipendenti, gestionale per le commesse e archivio fatture tutto su un server in ufficio. Una mattina di marzo i file non si aprono più: estensione cambiata, un file di testo con la richiesta di riscatto. Niente di raro, succede tre volte al giorno solo in Italia secondo le stime del CSIRT. La parte che ha fatto male, in quel caso, non è stato l'attacco: è stato scoprire che il backup c'era, ma era su un NAS collegato in rete nello stesso ufficio. Cifrato anche quello, nello stesso minuto.
Questo è l'errore più comune, e non è un errore tecnico: è pensare che 'avere un backup' basti. Non basta. Conta dove sta, quante copie ci sono, e se qualcuno controlla mai che si possa davvero ripristinare.
La regola del 3-2-1, spiegata come si spiegherebbe a un socio
Non è un prodotto da comprare, è un criterio:
- 3 copie dei dati: l'originale più due copie di backup. Una sola copia non è un backup, è una scommessa.
- 2 supporti diversi: non due cartelle sullo stesso disco. Un disco locale e un servizio cloud, per esempio. Se un tipo di guasto (o un virus) colpisce un supporto, l'altro non lo sente.
- 1 copia fuori sede, idealmente offline o immutabile: non raggiungibile dalla stessa rete che un ransomware può attraversare. Se il backup è "sempre connesso e sempre scrivibile", per un ransomware moderno è solo un altro bersaglio, non una via di uscita.
Il pezzo che quasi tutti saltano è l'ultimo: la copia deve essere isolata abbastanza da non poter essere cifrata insieme al resto. Alcuni servizi cloud offrono backup "immutabili" per un periodo (es. 30 giorni): anche con le credenziali rubate, quei file non si possono sovrascrivere né cancellare finché la finestra non scade.
Quanto costa farlo bene
| Soluzione | Costo indicativo | Copre il 3-2-1? |
|---|---|---|
| Cartella condivisa su un secondo pc in ufficio | 0€ | No: stesso posto, stessa rete |
| NAS locale con backup automatico | 300–800€ una tantum + manutenzione | Parziale: manca la copia fuori sede |
| Backup cloud gestito (10 postazioni, con retention e versioning) | 30–90€/mese | Sì, se combinato con una copia locale |
| Backup cloud con immutabilità e disaster recovery testato | 100–250€/mese | Sì, ed è la fascia adatta a chi non può permettersi giorni di fermo |
I numeri variano con quanti dati hai (un gestionale con anni di fatture pesa diverso da un archivio foto prodotti), ma l'ordine di grandezza è questo. Il salto di prezzo vero non è tra "nessun backup" e "un backup": è tra un backup che nessuno ha mai provato a ripristinare e uno che sai che funziona perché l'hai testato.