Backup e ransomware: la regola 3-2-1 (e perché oggi serve il 3-2-1-1-0)

Molte piccole aziende pensano di non essere un bersaglio. I dati dicono il contrario: il Rapporto Clusit 2026 registra 507 attacchi gravi contro organizzazioni italiane, in netta crescita sull'anno precedente, e colloca l'Italia ai primi posti in Europa per numero di episodi ransomware. Sul fronte delle piccole imprese, l'Osservatorio del Politecnico di Milano rileva che negli ultimi tre anni quasi una PMI su quattro ha subito una violazione informatica. In caso di ransomware, il malware che cifra i tuoi dati e chiede un riscatto, l'unica vera rete di salvataggio è il backup. Ma non un backup qualsiasi.

La regola 3-2-1, in breve

È lo standard classico, valido da vent'anni. Significa avere sempre:

• 3 copie dei dati (l'originale più due backup);
• su 2 supporti diversi (es. disco interno e un secondo dispositivo o cloud);
• di cui 1 fuori sede (off-site), così un guasto, un furto o un incendio non porta via tutto insieme.

È il minimo indispensabile. Ma è nata in un'epoca in cui il ransomware non esisteva.

Perché oggi non basta più

I ransomware moderni restano nascosti nella rete per settimane prima di attivarsi, e nel frattempo cercano e cifrano anche i backup, soprattutto quelli sempre connessi. Se la tua unica copia off-site è un cloud costantemente collegato alla rete infetta, può essere cifrata o cancellata insieme al resto. Ti ritrovi con tre copie... tutte inutilizzabili.

Il nuovo standard: 3-2-1-1-0

È l'evoluzione che molti assicuratori del rischio cyber ormai richiedono. Alle 3-2-1 classiche aggiunge due elementi decisivi:

• 1 copia immutabile o offline (air-gapped): una copia che, una volta scritta, non può essere modificata né cancellata, nemmeno da un ransomware che ha preso il controllo della rete.
• 0 errori nei test di ripristino: un backup vale solo se sai che si ripristina davvero. Vanno testati con regolarità: "zero errori" verificati, non sperati.

Non è un dettaglio da addetti ai lavori: il backup off-site cifrato o offline è ormai uno dei requisiti che le compagnie assicurative verificano prima di emettere una polizza cyber, insieme all'autenticazione a più fattori e all'installazione delle patch critiche entro tempi definiti.

La verità scomoda: un backup mai testato non è un backup

L'errore più comune non è non avere backup: è avere backup che nessuno ha mai provato a ripristinare. Il momento sbagliato per scoprire che non funzionano è dopo l'attacco. Il test di ripristino periodico è la parte che tutti saltano ed è quella che fa la differenza tra un disagio e un disastro.

Cosa fare, in pratica

• Definisci quali dati sono vitali (gestionale, contabilità, documenti, email) e con che frequenza cambiano.
• Imposta backup automatici 3-2-1, con almeno una copia immutabile o offline.
• Programma test di ripristino periodici e verifica che l'esito sia pulito.
• Aggiungi le basi che moltiplicano la protezione: autenticazione a più fattori, aggiornamenti, formazione anti-phishing (le esche più usate restano ordini, fatture e pagamenti finti).

Sono, in fondo, le stesse misure di buona igiene informatica che chiede anche la direttiva NIS2, sempre più uno standard di fatto anche per chi non è direttamente obbligato.

Come ci muoviamo noi

Facciamo un check della tua situazione, impostiamo un backup 3-2-1-1-0 con copie immutabili, automatizziamo tutto e, soprattutto, testiamo il ripristino con regolarità, così sai che i tuoi dati tornano davvero. Mettiamo in sicurezza anche le basi (accessi, aggiornamenti, formazione), perché il modo migliore di gestire un ransomware è non trovarsi mai a pagarlo.