Immagina di aprire il tuo portatile un lunedì mattina e trovare ogni file rinominato in un linguaggio incomprensibile, una richiesta di riscatto sul desktop e un conto alla rovescia di 72 ore che pretende 50.000 dollari in criptovaluta. Il tuo file contabile, la tua lista clienti, i tuoi registri del personale, cinque anni di dichiarazioni dei redditi — tutto cifrato. Gli aggressori hanno anche trovato il disco rigido esterno collegato al computer dell'ufficio e hanno cifrato anche quello. Non si tratta di una catastrofe rara. Secondo il Data Breach Investigations Report 2025 di Verizon, il ransomware è comparso nel 44% delle violazioni esaminate dagli investigatori, e le piccole imprese si trovano in pieno raggio d'azione perché gli aggressori sanno che hai difese più sottili e nessun team di incident response sotto contratto.
Ecco la parte che sfugge alla maggior parte dei titolari: avere un backup non è la stessa cosa che essere in grado di ripristinare. Il sondaggio State of Ransomware 2025 di Sophos su 3.400 organizzazioni ha rilevato che solo il 54% delle vittime di ransomware ha recuperato i propri dati tramite i backup — il tasso più basso in sei anni — perché il ransomware moderno dà deliberatamente la caccia e cifra i backup raggiungibili prima di annunciarsi. Il costo medio di ripristino, escluso qualsiasi riscatto pagato, è stato di 1,53 milioni di dollari. Un backup che risiede sulla stessa rete, sotto lo stesso login, non testato da un anno, non è una rete di sicurezza. È una speranza.
La soluzione è una disciplina vecchia di decenni con un aggiornamento moderno: la regola del backup 3-2-1, estesa a 3-2-1-1-0 per l'era del ransomware. Questo articolo spiega cosa significa ogni numero, cosa raccomanda effettivamente la CISA per le piccole imprese e il test di ripristino mensile che trasforma i tuoi backup da presupposto in garanzia.
Inizia con un inventario: di cosa non puoi fare a meno per operare?
Il primo passo della CISA per i backup delle piccole imprese non è acquistare software — è identificare ciò di cui la tua azienda non può fare a meno per operare. I backup hanno budget e attenzione limitati, quindi proteggi prima i gioielli della corona:
- Registri finanziari: il tuo libro mastro generale, la cronologia di fatturazione, i registri del personale, gli estratti conto bancari e le dichiarazioni fiscali. Perderli non blocca solo le operazioni; può rendere impossibile presentare le tasse o sopravvivere a un controllo fiscale.
- Dati dei clienti e operativi: liste clienti, contratti, file di progetti attivi, accordi con i fornitori e registri dei prezzi.
- Configurazione dei sistemi: archivi email, contenuti e database del sito web, configurazione del punto vendita e credenziali memorizzate nel tuo gestore di password (il cui backup d'emergenza merita una riga nel tuo piano).
- Documenti legali e di conformità: documenti costitutivi, licenze, polizze assicurative e registri dei dipendenti.
Annota la lista, indica dove risiede oggi ogni elemento e classifica in base a quanto dolorosa sarebbe la sua perdita. Questa classificazione guida tutto il resto: frequenza dei backup, durata di conservazione e quanto velocemente ogni categoria deve tornare online.
La regola 3-2-1, decodificata
La regola 3-2-1 è la base raccomandata dalla CISA, e ogni numero esiste perché una specifica modalità di guasto ha ucciso aziende che l'avevano ignorata:
3 — Mantieni tre copie dei file importanti. Una è la tua copia di lavoro attiva. Le altre due sono backup. Due backup sembrano ridondanti finché non arriva il giorno in cui il tuo disco primario si guasta nella stessa settimana in cui il tuo unico disco di backup muore di vecchiaia. I guasti indipendenti si verificano insieme più spesso di quanto suggerisca l'intuito, specialmente con hardware acquistato nello stesso momento.
2 — Usa due tipi diversi di supporto di archiviazione. Per esempio, un disco rigido esterno più l'archiviazione cloud, oppure un dispositivo NAS (network-attached storage) più il cloud. Supporti diversi si guastano in modo diverso: un picco di tensione può uccidere ogni disco rotante dell'ufficio, ma non può toccare una copia cloud fuori sede. Un'interruzione del provider cloud non può toccare il disco nel cassetto della tua scrivania. La diversità dei supporti è protezione contro il guasto correlato.
1 — Mantieni una copia fuori sede, lontano dalla sede della tua azienda. Incendio, alluvione, furto e persino una tubatura scoppiata sopra l'armadio dei server non si preoccupano di quante copie hai se giacciono tutte nello stesso edificio. Il backup cloud è la copia fuori sede più semplice per la maggior parte delle piccole imprese; anche un disco esterno a rotazione conservato in una seconda sede funziona.
Scegli una soluzione che funzioni automaticamente secondo una pianificazione. I backup manuali falliscono come falliscono i buoni propositi in palestra — puntualmente per le prime due settimane, poi mai più. Backup automatici giornalieri dei dati critici, con immagini complete del sistema settimanali se puoi permetterti lo spazio di archiviazione, è un'impostazione predefinita ragionevole per una piccola attività.
L'aggiornamento dell'era del ransomware: 3-2-1-1-0
La regola classica è precedente al ransomware che prende di mira specificamente i backup. Due aggiunte colmano il divario:
L'1 in più — una copia immutabile o air-gapped. Immutabile significa scritto una sola volta: il backup non può essere alterato o cancellato entro una finestra di conservazione, nemmeno da un account amministratore. Air-gapped significa fisicamente o logicamente disconnesso dalla tua rete — un disco che viene scollegato dopo ogni backup, supporti a nastro, o archiviazione cloud con object-lock abilitato e credenziali separate. La guida della CISA sul ransomware è esplicita su questo punto: mantieni backup offline, tienili cifrati e rendili immutabili. I dati di Sophos mostrano il perché: le organizzazioni i cui backup erano stati compromessi hanno recuperato molto più lentamente di quelle con copie intatte. Se la tua console di backup effettua l'accesso con le stesse credenziali di tutto il resto, presumi che anche l'aggressore ne sia in possesso — isola le credenziali di backup con una propria password forte e autenticazione a più fattori.
Lo 0 — zero errori nella verifica del ripristino. Un backup che non è mai stato ripristinato è un'ipotesi, non una protezione. Archivi corrotti, chiavi di cifratura mancanti, backup della cartella sbagliata, credenziali cloud scadute — ognuno di questi viene abitualmente scoperto solo al momento del bisogno. Zero significa che ogni backup pianificato si completa correttamente e ogni test di ripristino pianificato ha successo, con i risultati registrati.
RPO e RTO in parole semplici
Due termini di pianificazione compaiono in ogni guida seria sul backup, inclusa quella della CISA. Sono più semplici di quanto sembrino:
- Recovery Point Objective (RPO) — quanti dati puoi permetterti di perdere, misurati in tempo. Se esegui il backup ogni notte, il tuo RPO è di circa 24 ore: un guasto il venerdì pomeriggio ti costa il lavoro del venerdì. Se perdere un'intera giornata di fatture e ordini è inaccettabile, hai bisogno di backup più frequenti. Abbina la frequenza dei backup alla velocità con cui cambia ogni categoria di dati.
- Recovery Time Objective (RTO) — quanto velocemente devi essere di nuovo operativo. L'azienda può sopravvivere a tre giorni di soluzioni manuali mentre i sistemi si ricostruiscono, o il punto vendita e l'email devono funzionare entro quattro ore? Il tuo RTO decide se basta un piano economico di "scaricare tutto dal cloud nel fine settimana" o se hai bisogno di copie locali e di una procedura collaudata.
Imposta entrambi i numeri per categoria di dati in base al tuo inventario, non con un'unica politica generale. I registri finanziari potrebbero richiedere un RPO di 24 ore e un RTO nello stesso giorno; gli asset di marketing archiviati possono tollerare obiettivi molto più flessibili. Rivedi i numeri annualmente — i test di ripristino pianificati sono il momento in cui la CISA raccomanda di affinarli.
Il test di ripristino che quasi nessun titolare esegue mai
Questo è il singolo elemento a massima leva dell'intera disciplina del backup, e quello che quasi nessuno fa. La CISA consiglia di testare la tua procedura di backup affinché il tuo team possa ripristinare i dati sia completamente che parzialmente, e possa riportare i dati indietro di almeno sette giorni — perché il ransomware spesso si annida non rilevato per giorni, cifrando silenziosamente file che poi vengono copiati sopra le copie buone. Ripristinare il backup di ieri di file già cifrati non recupera nulla.
Un esercizio mensile pratico per una piccola impresa:
- Scegli un obiettivo di test — una singola cartella di file reali, mai il sistema attivo. Ripristinala in una posizione separata.
- Verifica il contenuto — apri i file. Conferma che siano intatti, aggiornati alla data del backup e leggibili senza dover cercare una password dimenticata o una chiave di decifratura.
- Cronometra il processo — registra quanto tempo richiede un ripristino parziale ed estrapola a uno completo. Confronta con il tuo RTO. Se il calcolo fallisce, il piano fallisce.
- Testa il ripristino completo ogni trimestre — ricostruisci una macchina completa o un intero spazio di lavoro cloud dal backup. È qui che emergono driver mancanti, configurazioni non incluse nel backup e "ci siamo dimenticati l'archivio email".
- Conferma il rollback di sette giorni — verifica che le versioni di almeno una settimana prima esistano e siano ripristinabili, così un'infezione a combustione lenta non ti lascia solo con copie avvelenate.
- Documenta tutto — chi ha eseguito il test, cosa è stato ripristinato, quanto tempo ha richiesto, cosa si è rotto. Conserva il registro dove sopravvive al disastro che descrive.
Poi forma il team. Un piano di backup che esiste solo nella testa del titolare fallisce il giorno in cui il titolare è irraggiungibile. Annota le procedure — dove risiedono i backup, come avviare un ripristino, chi chiamare — e assicurati che almeno un'altra persona sia in grado di eseguirle.
Cinque errori di backup che continuano a ripetersi
Errore 1: Trattare la sincronizzazione cloud come backup. Dropbox, Google Drive e OneDrive sincronizzano — quando il ransomware cifra un file locale, la versione cifrata si sincronizza sul cloud in pochi minuti, sovrascrivendo la copia buona. I servizi di sincronizzazione di solito conservano la cronologia delle versioni, il che aiuta, ma una finestra di conservazione breve più un'infezione a combustione lenta equivalgono a nessuna versione pulita rimasta. La sincronizzazione è comodità; il backup versionato con una vera politica di conservazione è protezione. Usa entrambi.
Errore 2: Lasciare il disco di backup collegato. Un disco esterno permanentemente collegato al PC dell'ufficio non è una copia offline — è una seconda vittima. Il ransomware enumera i dischi collegati come prassi. Ruota i dischi e scollegali, oppure usa l'archiviazione cloud immutabile.
Errore 3: Eseguire il backup senza cifratura. I backup non cifrati sono una violazione in attesa di un furto o di un disco smarrito — dati dei clienti, dettagli del personale e codici fiscali in chiaro. Cifra i backup a riposo e conserva la chiave di decifratura separatamente dal backup stesso (una busta sigillata in una cassaforte, o un secondo gestore di password con il proprio foglio d'emergenza).
Errore 4: Eseguire il backup delle cose sbagliate. La classica scoperta durante un primo test di ripristino: mesi di backup fedeli del vecchio percorso del server, mentre tutti sono migrati alla nuova unità condivisa la primavera scorsa. Verifica l'ambito del backup ogni volta che i sistemi cambiano — nuovo software, nuove cartelle, nuovi dipendenti i cui portatili contengono l'unica copia di qualcosa.
Errore 5: Nessun piano di accesso offline. La CISA lo sottolinea specificamente: sappi come raggiungere i file critici senza una connessione internet. Se la tua unica copia pulita è nel cloud e l'attacco ha messo fuori uso la tua rete — o semplicemente il tuo router — hai bisogno di una copia locale offline e di istruzioni di ripristino stampate per muoverti.
I tuoi libri meritano una protezione di prim'ordine
I registri finanziari sono in cima a ogni lista di priorità di backup per un motivo: senza di essi non puoi fatturare, non puoi pagare gli stipendi, non puoi presentare le tasse e non puoi dimostrare nulla a un revisore o a un assicuratore. Cambiano anche quotidianamente, il che significa che hanno bisogno dell'RPO più breve dell'edificio.
Questo è un vantaggio silenzioso di tenere i tuoi libri in testo semplice. Un libro mastro in testo semplice è un piccolo file che si versiona meravigliosamente: ogni modifica è un diff leggibile, lo stato di ogni giorno è a un commit di distanza, e l'intera cronologia si sincronizza con qualsiasi remoto fuori sede in pochi secondi. Cifrato, versionato, multi-copia, ripristinabile a qualsiasi punto nel tempo — questa è gran parte della disciplina 3-2-1-1-0 che scaturisce dal formato stesso, prima ancora di configurare un prodotto di backup. Qualunque sistema tu usi, assicurati che i dati contabili siano esplicitamente nell'ambito del backup, esplicitamente nel test di ripristino ed esplicitamente nel controllo di rollback di sette giorni.
Mantieni le tue finanze organizzate e recuperabili
Mentre metti in atto una vera disciplina di backup, assicurati che i registri finanziari al suo centro risiedano in un luogo trasparente e durevole. Beancount.io offre contabilità in testo semplice che ti dà completa trasparenza e controllo sui tuoi dati finanziari — versionati, portabili su qualsiasi supporto di backup e banalmente ripristinabili a qualsiasi punto della storia. Inizia gratuitamente e scopri perché sviluppatori e professionisti della finanza stanno passando alla contabilità in testo semplice.
