Backup immutabile e RPO: l’ultima difesa contro il ransomware

Cos’è un backup immutabile, come si lega all’RPO e perché è l’ultima difesa contro il ransomware — ma non la prima.

Per anni il backup è stato l’ancora di salvezza contro il ransomware: se i dati venivano cifrati, li si ripristinava da una copia e si poteva dire no al riscatto. Proprio per questo gli attaccanti hanno cambiato strategia, e oggi i backup non sono più l’ultima cosa che colpiscono, ma spesso la prima che cercano: distruggerli prima di cifrare i sistemi serve a togliere alla vittima l’unica alternativa al pagamento. Secondo il Veeam Ransomware Trends Report, il 93% degli attacchi ransomware tenta di compromettere i backup.

In questo scenario un backup che si può cancellare con le stesse credenziali di amministratore che l’attaccante ha rubato non è una rete di sicurezza: è un secondo bersaglio. Il backup immutabile nasce per rovesciare questa vulnerabilità. In questa guida vediamo cos’è, come si lega all’RPO, come si inserisce in una strategia moderna — e perché, pur essendo essenziale, non è la difesa principale contro il ransomware.

1. Cos’è un backup immutabile
2. RPO e RTO: cosa sono e perché contano
3. La regola 3-2-1-1-0: dove si colloca l’immutabilità
4. Perché il backup è l’ultima difesa, non la prima

Cos’è un backup immutabile

Un backup immutabile è una copia dei dati che, una volta creata, non può essere modificata, sovrascritta o eliminata per tutta la durata di un periodo di conservazione stabilito — nemmeno da un amministratore con privilegi pieni, nemmeno da un attaccante che ne abbia rubato le credenziali.

È questa la sua caratteristica distintiva, e il modello di minaccia che assume è preciso: dà per scontato che l’attaccante abbia già ottenuto il controllo dei sistemi, backup compresi.

Conviene sgombrare il campo da un equivoco frequente: cifrare i backup non è la stessa cosa che renderli immutabili. La cifratura protegge la riservatezza — impedisce a chi li ruba di leggerli — ma non impedisce a chi ne ha il controllo di cancellarli. Contro il ransomware la proprietà che conta non è la segretezza, è l’inalterabilità. I meccanismi che la realizzano convergono sullo stesso principio: l’object lock, che impedisce a livello di storage la modifica o rimozione di un file fino alla scadenza impostata, e la scrittura su supporti WORM (Write Once Read Many), dove si scrive una sola volta e si legge molte, ottenendo lo stesso effetto a livello fisico.

RPO e RTO: cosa sono e perché contano

Non si può parlare di backup in modo serio senza due parametri che ne definiscono l’efficacia reale. L’RPO (Recovery Point Objective) è la quantità massima di dati che l’azienda può permettersi di perdere, misurata in tempo: un RPO di un’ora significa che, nel peggiore dei casi, si perde al massimo l’ultima ora di lavoro, perché è quella la frequenza con cui si esegue il backup. L’RTO (Recovery Time Objective) è invece il tempo massimo tollerabile per tornare operativi dopo un incidente.

Sono due facce dello stesso obiettivo — la continuità del business — e si traducono in scelte concrete: un RPO stringente impone backup frequenti, un RTO stringente impone che il ripristino sia rapido e testato. L’immutabilità garantisce che la copia esista ancora dopo un attacco; l’RPO e l’RTO definiscono quanto quella copia sarà utile. Un backup immutabile ma vecchio di una settimana rispetta l’inalterabilità ma tradisce l’RPO — e in un’azienda che lavora sui dati, una settimana persa può valere quanto l’attacco stesso. È il motivo per cui backup, RPO e RTO vanno progettati insieme, non trattati come voci separate.

La regola 3-2-1-1-0: dove si colloca l’immutabilità

L’immutabilità non vive da sola, ma dentro una disciplina di copia che si è evoluta proprio per rispondere al ransomware.

La storica regola 3-2-1 — tre copie dei dati, su due tipi di supporto, di cui una fuori sede — è stata estesa nella formula 3-2-1-1-0, dove i due numeri aggiunti sono il cuore della difesa moderna:

• 1 copia isolata o immutabile: una copia sottratta alla portata di un attaccante che controlli la rete, tramite immutabilità (object lock/WORM) o isolamento fisico (air gap);
• 0 errori di ripristino: zero, verificati provando davvero a recuperare i dati — perché un backup che non si è mai testato non è un backup, è una speranza.

Quest’ultimo punto è il più trascurato e il più decisivo. Troppe organizzazioni scoprono solo durante l’emergenza che le loro copie sono incomplete, corrotte o impossibili da ripristinare nei tempi imposti dall’RTO. L’immutabilità garantisce che la copia ci sia; il test di ripristino garantisce che serva a qualcosa. Vale anche la pena distinguere immutabilità e air gap: la prima ferma il comando di cancellazione, il secondo fa sì che quel comando non arrivi nemmeno. Non sono alternativi ma complementari, e la postura più solida li combina.

Perché il backup è l’ultima difesa, non la prima

Qui arriviamo al punto che conta davvero, ed è quello che la SERP piena di venditori di backup tende a non dire. Il backup immutabile è una difesa di recupero: entra in gioco quando l’attacco è già riuscito. È fondamentale — è la differenza tra ripartire in un giorno e chiudere l’azienda — ma è l’ultima rete, quella che si spera di non dover mai usare. Affidare la propria sicurezza al solo backup significa accettare in partenza di subire l’attacco, limitandosi a sopravvivergli.

La difesa vera agisce prima, e mira a impedire che il ransomware entri. Perché il ransomware non si materializza dal nulla: arriva quasi sempre attraverso una vulnerabilità non corretta o un accesso compromesso — una credenziale rubata, un sistema esposto, una falla nota mai patchata. È la fase in cui un’azienda può ancora vincere la partita, invece di limitarsi a contenere le perdite. Un vulnerability assessment individua le porte d’ingresso — i sistemi esposti, le falle sfruttabili — prima che lo faccia un attaccante, e la formazione del personale chiude il vettore che apre più della metà degli attacchi: l’errore umano, il phishing, la credenziale debole.

La strategia completa, quindi, ha due tempi: prevenire l’attacco riducendo la superficie esposta e rafforzando le persone, e prepararsi al peggio con backup immutabili e ripristino testato. Chi salta il primo tempo e investe solo nel secondo ha comprato un’ottima assicurazione su una casa di cui lascia la porta aperta.

In conclusione

Il backup immutabile è oggi un elemento imprescindibile della resilienza aziendale: una copia che nessun attaccante può toccare, che insieme a un RPO e un RTO ben definiti e a un ripristino testato trasforma un attacco ransomware da catastrofe a incidente gestibile. Ma resta una difesa dell’ultimo miglio, e il suo valore è massimo proprio quando fa parte di una strategia più ampia — una che comincia molto prima, impedendo al ransomware di arrivare fino ai dati. Prepararsi al peggio è saggio; lavorare perché il peggio non accada è la vera sicurezza.