Molte piccole e medie imprese investono in soluzioni di backup ma trascurano un aspetto altrettanto critico: per quanto tempo conservare le copie dei dati e con quale logica organizzarle. La retention, ovvero la politica di conservazione delle versioni storiche dei dati, non è un dettaglio tecnico da lasciare al reparto IT o al fornitore esterno: è una decisione strategica che incide direttamente sulla capacità dell’azienda di reagire a un incidente informatico, a un errore umano o a un attacco ransomware scoperto settimane dopo l’infezione iniziale. Una politica di retention mal calibrata può costare all’azienda dati insostituibili, sanzioni normative o costi di storage fuori controllo. In questo articolo analizziamo come definire una strategia di conservazione dei backup adeguata alla realtà operativa di una PMI, bilanciando sicurezza, conformità e sostenibilità economica.
Perché la retention è una decisione strategica e non solo tecnica
Quando un’azienda pianifica il backup, la prima domanda è spesso “quanto spesso salviamo i dati”, ma la domanda più importante è “per quanto tempo conserviamo ogni copia”. La retention determina infatti quale finestra temporale di recupero ha realmente l’azienda a disposizione. Se un malware resta silente nella rete per 20-30 giorni prima di attivarsi, come accade in molti attacchi ransomware moderni, un sistema che sovrascrive i backup ogni 7 giorni avrà già cancellato tutte le copie pulite disponibili.
La retention va quindi progettata partendo da un’analisi realistica dei rischi: quanto tempo può servire per accorgersi di una compromissione, quali dati sono critici per la produzione o la fatturazione, e quali obblighi normativi impongono tempi minimi di conservazione. Non è una scelta che si può standardizzare per tutte le aziende: un’impresa manifatturiera con cicli produttivi continui ha esigenze diverse da uno studio professionale che gestisce principalmente documenti e pratiche.
I rischi di una retention troppo breve
Una retention troppo aggressiva, pensata solo per contenere i costi di storage, è uno degli errori più frequenti riscontrati nelle PMI. Conservare solo gli ultimi 3-5 giorni di backup sembra sufficiente per gli errori quotidiani, ma diventa inutile di fronte a minacce che si attivano dopo un periodo di incubazione più lungo. In questi casi, quando l’azienda scopre l’attacco, tutte le copie disponibili risultano già infette o compromesse.
Un altro rischio concreto riguarda gli errori umani rilevati tardivamente: un file corrotto, una tabella di database modificata per errore, un documento sovrascritto senza accorgersene. Se la finestra di retention è troppo corta, il dato originale non è più recuperabile in nessuna copia disponibile, con conseguenze dirette sulla produzione, sulla contabilità o sulla gestione degli ordini.
I rischi di una retention troppo lunga e i costi nascosti
All’estremo opposto, molte aziende adottano l’approccio “conserviamo tutto per sempre”, convinte che più storia disponibile significhi più sicurezza. In realtà questa scelta genera costi di storage crescenti nel tempo, spesso sottovalutati nella pianificazione del budget IT, e aumenta la superficie di attacco: più copie storiche esistono, più punti di accesso potenziali un attaccante può sfruttare per muoversi lateralmente nella rete.
C’è inoltre un tema di conformità normativa: conservare dati personali o sensibili oltre i tempi necessari, senza una base giuridica precisa, può costituire una violazione dei principi di minimizzazione previsti dalla normativa privacy. La retention dei backup deve quindi essere coordinata con le politiche di conservazione documentale dell’azienda, evitando sia la perdita prematura di dati critici sia l’accumulo indiscriminato di informazioni non più necessarie.
Come costruire una politica di retention efficace
Un approccio consolidato è lo schema GFS (Grandfather-Father-Son), che prevede la conservazione di backup giornalieri per un periodo breve, backup settimanali per alcune settimane e backup mensili per un periodo più lungo, tipicamente 6-12 mesi. Questa struttura garantisce diversi punti di ripristino a diverse profondità temporali, senza far esplodere i volumi di storage necessari.
La politica va poi personalizzata in base alla criticità dei dati: gestionali ERP, database di produzione e sistemi di fatturazione richiedono finestre di retention più ampie rispetto a file di lavoro quotidiani. È utile anche introdurre il versioning, ovvero la capacità di mantenere più versioni dello stesso file nel tempo, particolarmente utile per documenti condivisi e cartelle di rete soggette a modifiche frequenti da parte di più utenti.
Infine, la retention deve essere periodicamente rivista: l’evoluzione dell’azienda, l’introduzione di nuovi software gestionali o cambiamenti normativi possono richiedere un adeguamento della strategia, che non va quindi considerata una configurazione impostata una volta per sempre.
Retention e immutabilità: la difesa contro cancellazioni e attacchi mirati
Un elemento sempre più rilevante nella progettazione della retention è l’immutabilità dei backup. Si tratta di una funzionalità che impedisce, per un periodo definito, la modifica o la cancellazione delle copie salvate, anche da parte di un amministratore di sistema con credenziali compromesse. Molti attacchi ransomware evoluti mirano infatti direttamente ai sistemi di backup prima di cifrare i dati di produzione, cancellando o corrompendo le copie di sicurezza per impedire il ripristino.
Adottare backup immutabili, spesso disponibili come opzione nei servizi di storage cloud e in molte soluzioni di backup enterprise, significa garantire che almeno una parte della retention sia effettivamente inattaccabile per un periodo predefinito, ad esempio 30 o 60 giorni. Questa scelta, combinata con copie air-gap fisicamente separate dalla rete aziendale, costituisce oggi lo standard minimo per le aziende che vogliono garantire continuità operativa anche in presenza di attacchi sofisticati.
Retention, conformità normativa e responsabilità aziendale
La conservazione dei backup si intreccia inevitabilmente con obblighi normativi specifici, soprattutto quando i dati trattati includono informazioni personali, contrattuali o fiscali. La normativa privacy richiede che la conservazione sia proporzionata alle finalità del trattamento, mentre la normativa fiscale e civilistica impone in alcuni casi tempi minimi di conservazione documentale che devono essere riflessi anche nella politica di backup, non solo nell’archiviazione primaria dei documenti.
Per le aziende che rientrano in ambiti regolamentati o che gestiscono filiere con requisiti di sicurezza specifici, è inoltre opportuno documentare formalmente la politica di retention adottata, includendo tempi di conservazione, responsabilità di verifica e modalità di cancellazione sicura dei dati oltre il periodo previsto. Questa documentazione diventa un elemento di accountability importante in caso di audit, verifiche assicurative o controlli da parte di autorità competenti.
- Definire tempi di retention differenziati per categoria di dato (produzione, contabilità, documenti condivisi)
- Adottare uno schema GFS con backup giornalieri, settimanali e mensili
- Attivare l’immutabilità dei backup per almeno 30 giorni sulle copie più critiche
- Mantenere almeno una copia air-gap non raggiungibile dalla rete aziendale
- Rivedere la politica di retention almeno una volta all’anno o dopo cambi organizzativi
- Documentare formalmente tempi e responsabilità della retention per finalità di conformità
- Verificare periodicamente che il ripristino sia effettivamente possibile dalle diverse finestre temporali
Costruire una politica di retention adeguata richiede un’analisi tecnica e organizzativa che tenga conto dei rischi reali, dei vincoli normativi e della sostenibilità economica dello storage nel tempo: un compromesso che raramente può essere lasciato al caso o a configurazioni predefinite. Se vuoi verificare se la strategia di backup e conservazione dei dati della tua azienda è davvero adeguata a garantire continuità operativa, contatta pRcant.NET di Atessa al numero 0872 889205, anche su WhatsApp, per una consulenza IT dedicata alla tua realtà aziendale.