Nel manifatturiero, nell’automotive, nel food & beverage e negli studi professionali della Val di Sangro, i dati aziendali sono diventati un asset produttivo tanto critico quanto un macchinario o una linea di assemblaggio. Anagrafiche clienti, distinte base, cicli di lavorazione CAM, documenti contabili, contratti e certificazioni di conformità: la loro perdita o indisponibilità, anche per poche ore, si traduce in fermi produttivi, ritardi di consegna e, nei casi più gravi, in sanzioni contrattuali verso clienti nazionali ed esteri. Molte PMI del territorio continuano però ad affidarsi a backup improvvisati, copie su hard disk esterni lasciati collegati al server o salvataggi manuali dimenticati per settimane. La regola 3-2-1, adottata dagli standard internazionali di continuità operativa, offre un metodo semplice, verificabile e scalabile per proteggere davvero i dati aziendali, indipendentemente dalle dimensioni dell’impresa.
Cos’è realmente la regola 3-2-1
La regola 3-2-1 stabilisce che ogni dato critico aziendale debba esistere in almeno 3 copie distinte, salvate su 2 supporti diversi, con almeno 1 copia conservata in una sede fisicamente separata dall’azienda. Non si tratta di una teoria astratta: è la traduzione operativa del principio “un solo punto di guasto non deve mai compromettere l’intera azienda”. Se un’azienda metalmeccanica di Atessa ha il server di produzione, un NAS di backup in ufficio e nient’altro, sta violando la regola: un incendio, un furto o un attacco ransomware colpirebbero entrambi i sistemi contemporaneamente, azzerando anni di dati tecnici e commerciali.
Applicare correttamente la regola significa, ad esempio, avere il dato originale sul server di produzione, una seconda copia su un NAS locale con snapshot orari, e una terza copia cifrata su cloud o su un sito remoto (magari una seconda sede aziendale o un data center esterno). I due supporti diversi riducono il rischio di guasto hardware simultaneo; la copia offsite protegge da eventi che colpiscono l’intera sede fisica, come alluvioni, incendi o attacchi informatici che si propagano sulla rete locale.
Perché il backup locale da solo non basta
Molte PMI abruzzesi si fermano al primo livello di protezione: un backup giornaliero su NAS o su disco esterno collegato in rete. Questo approccio protegge da errori umani banali, come la cancellazione accidentale di un file, ma è del tutto inefficace contro il ransomware moderno, che è progettato per cifrare anche le unità di rete raggiungibili dal sistema infetto. Abbiamo visto casi concreti in aziende del packaging e della componentistica automotive dove il backup locale è stato cifrato insieme al server principale, vanificando anni di presunta protezione.
Il backup locale resta comunque utile per la velocità di ripristino: se serve recuperare un singolo file cancellato per errore, accedere al NAS locale è molto più rapido che scaricare terabyte da cloud. Il punto non è eliminare il backup locale, ma non fermarsi lì. La combinazione locale più remoto è quella che garantisce sia velocità di ripristino operativo quotidiano, sia resilienza contro eventi catastrofici o attacchi mirati.
La copia offsite: cloud, sede remota o entrambi
La terza copia, quella fisicamente separata, può assumere diverse forme in base alle esigenze e al budget dell’azienda. Per una piccola realtà artigianale può essere sufficiente un servizio cloud business con cifratura end-to-end e versionamento dei file, che conserva le copie per un periodo configurabile (30, 60, 90 giorni) permettendo di recuperare anche versioni precedenti in caso di corruzione silenziosa dei dati. Per aziende manifatturiere più strutturate, con volumi di dati elevati (disegni CAD, video di controllo qualità, database ERP voluminosi), può essere più efficiente replicare i backup su un data center regionale o su una seconda sede aziendale, tramite connessioni dedicate o VPN site-to-site.
Un aspetto spesso sottovalutato è la cifratura della copia offsite: se i dati viaggiano o risiedono su infrastrutture di terzi, devono essere protetti da cifratura sia in transito che a riposo, altrimenti si introduce un nuovo rischio di conformità, specialmente per aziende che trattano dati personali di dipendenti, clienti o fornitori secondo il GDPR.
Frequenza e retention: non tutti i dati sono uguali
Un errore comune è applicare la stessa politica di backup a tutti i dati aziendali, indipendentemente dalla loro criticità e dalla frequenza di modifica. Il database ERP di un’azienda alimentare che aggiorna ordini e lotti di produzione ogni ora richiede backup incrementali frequenti, anche ogni 15-30 minuti, per limitare la perdita di dati (RPO) in caso di guasto. Al contrario, l’archivio documentale di uno studio professionale, che cambia poche volte al giorno, può essere backuppato con frequenza giornaliera senza rischi significativi.
Anche la retention, cioè per quanto tempo si conservano le versioni storiche dei backup, va calibrata sul rischio. Contro il ransomware moderno, che spesso resta silente nella rete per settimane prima di attivare la cifratura, una retention di soli 7 giorni può risultare insufficiente: se l’attacco viene scoperto dopo 20 giorni, anche i backup più recenti potrebbero contenere già file compromessi. Una retention di 30-90 giorni, con backup immutabili (che non possono essere modificati o cancellati nemmeno da un amministratore compromesso), offre una protezione molto più solida.
Test di ripristino: il passaggio che quasi nessuno fa
Avere backup che nessuno ha mai testato equivale a non avere backup. È l’errore più frequente e più pericoloso che riscontriamo nelle PMI del territorio: si configura il sistema di backup, si verifica che le copie vengano create, ma non si effettua mai un test di ripristino completo. Il risultato è che, al momento del disastro reale, si scopre che i backup sono corrotti, incompleti, o che il tempo di ripristino (RTO) è molto più lungo di quanto l’azienda possa permettersi.
Un test di ripristino andrebbe pianificato almeno ogni trimestre, ripristinando un set di dati reali su un ambiente isolato e verificando integrità, completezza e tempi effettivi. Per un’azienda automotive con linee di produzione just-in-time, conoscere con precisione quanto tempo serve per rimettere online l’ERP dopo un guasto può fare la differenza tra un fermo di due ore e un fermo di due giorni, con relative penali contrattuali verso i clienti della filiera.
Responsabilità, documentazione e conformità normativa
Un piano di backup solido non è solo una questione tecnica, ma anche organizzativa e di conformità. È necessario definire chiaramente chi è responsabile della verifica quotidiana dei backup, chi riceve le notifiche di errore e chi ha l’autorità per attivare una procedura di ripristino d’emergenza. Nelle PMI più piccole questa responsabilità spesso ricade su una singola persona interna, senza backup di competenze: se quella persona è in ferie o lascia l’azienda, la continuità del processo è a rischio.
Documentare il piano di backup, con procedure scritte, log delle verifiche e report dei test di ripristino, è utile non solo in caso di audit interno, ma anche per rispondere a richieste di clienti che, sempre più spesso, includono clausole contrattuali sulla continuità operativa dei fornitori, specialmente nelle filiere automotive certificate IATF 16949 o nei rapporti con la grande distribuzione alimentare.
- Verificare che ogni dato critico abbia almeno 3 copie su 2 supporti diversi, con 1 copia offsite
- Cifrare le copie di backup, sia in transito che a riposo, specialmente quelle su cloud o data center esterni
- Impostare backup immutabili con retention di almeno 30-90 giorni per resistere al ransomware silente
- Calibrare frequenza e RPO in base alla criticità reale di ciascun sistema (ERP, file server, posta)
- Eseguire test di ripristino completi almeno ogni trimestre, su ambiente isolato
- Documentare responsabilità, procedure e log delle verifiche periodiche
- Prevedere un piano B con almeno una persona di backup formata sulla procedura di ripristino
Costruire un piano di backup conforme alla regola 3-2-1 richiede competenze tecniche specifiche, scelta accurata degli strumenti e test periodici che molte PMI non hanno il tempo o le risorse interne per gestire da sole. pRcant.NET affianca da anni le aziende manifatturiere, automotive, food & beverage e gli studi professionali della Val di Sangro e dell’Abruzzo nella progettazione e verifica di sistemi di backup e continuità operativa realmente efficaci. Contattaci al numero o WhatsApp 0872 889205 per una consulenza IT dedicata alla tua azienda: analizziamo la tua attuale strategia di backup e ti indichiamo, senza fumo negli occhi, dove intervenire prima che sia il ransomware o un guasto hardware a farlo per te.