Backup e regola 3-2-1

Cos'è

La regola 3-2-1 è un principio pratico, nato negli anni 2000 nel mondo della fotografia digitale e poi adottato in pieno dall'IT, per la strategia di backup: almeno 3 copie dei dati (l'originale più due backup), su 2 supporti o tecnologie diverse (per esempio disco locale e cloud, non due dischi identici collegati allo stesso NAS, che restano comunque un unico punto di guasto), con almeno 1 copia conservata fuori sede o isolata dalla rete di produzione (offline, air-gapped, oppure immutabile e non modificabile nemmeno da chi ha le credenziali di amministratore). Le versioni più recenti, pensate esplicitamente contro il ransomware, aggiungono altre due cifre: un secondo "1" per almeno una copia davvero immutabile, e uno "0" finale per zero errori verificati, cioè backup effettivamente testati con un ripristino reale e cronometrato, non solo eseguiti e archiviati senza mai controllarli.

Perché conta

Il motivo per cui questa regola esiste, e non basta "fare i backup" e basta, è che il ransomware moderno non si limita a cifrare i file di lavoro: cerca attivamente i backup raggiungibili dalla rete compromessa — condivisioni di rete, NAS, repository di backup collegati al dominio — e li cifra o li cancella per primi, proprio per togliere la via di fuga a chi è stato colpito. È una tecnica ormai standard negli attacchi che vedo, non un'eccezione. Un backup salvato sullo stesso NAS della rete infetta, raggiungibile con le stesse credenziali compromesse, spesso non serve a niente: è già perso nel momento in cui l'attaccante trova la cartella. Anche il NIST lo indica chiaramente tra le prime contromisure contro la perdita di dati da ransomware: l'unica copia che salva davvero un'azienda è quella che l'attaccante non riesce a raggiungere né modificare.

Come la traduco in un piano reale

Quando disegno uno schema di backup per un cliente non parto dalla tecnologia, ma da una domanda: quanto tempo posso permettermi di stare fermo, e quanti dati posso permettermi di perdere, per ogni singolo sistema? Un server gestionale critico e un file server di archivio non hanno lo stesso valore, e trattarli allo stesso modo è quasi sempre uno spreco di budget o, peggio, un rischio non coperto. In pratica: backup locale per un ripristino veloce dei guasti comuni (un disco rotto, un errore umano), una copia in cloud o su nastro fuori sede per gli scenari peggiori, e almeno un job che scrive su storage immutabile, non toccabile nemmeno con credenziali di dominio compromesse. Il resto — frequenza, retention, chi è responsabile del monitoraggio quotidiano dei job — va scritto da qualche parte, non tenuto a mente: è la prima cosa che manca quando chi ha configurato il backup non è più in azienda e bisogna ricostruire tutto durante un'emergenza.

// Nota pratica

Un backup non testato è una scommessa, non una protezione: pianifica ripristini di prova periodici, non solo il completamento senza errori del job di backup. La domanda giusta non è "i backup girano?" ma "se dovessi ripristinare tutto adesso, ci riuscirei davvero, e in quanto tempo?"