Backup: perché da solo non basta e cosa serve davvero

Il 54% delle organizzazioni colpite da ransomware recupera i dati dai backup. Sembra una buona notizia, finché non si legge il dato accanto: quasi una su due paga comunque il riscatto. È la fotografia scattata dal report State of Ransomware 2025 di Sophos, e racconta una verità scomoda: avere il backup e essere protetti sono due cose diverse. Tra le due c’è di mezzo tutto ciò che le aziende danno per scontato — che la copia sia integra, che non sia stata cifrata insieme al resto, che il ripristino funzioni e nei tempi giusti.

Attorno al backup si sono sedimentate convinzioni che non reggono più alla prova degli attacchi moderni. In questa guida le smontiamo una per una, e vediamo cosa serve davvero perché la copia dei dati sia una garanzia e non un’illusione.

1. “Abbiamo il backup, siamo protetti dagli attacchi”
2. “Una copia basta”: la regola 3-2-1 e l’evoluzione 3-2-1-1-0
3. “Il backup è al sicuro”: perché serve l’immutabilità
4. “Se c’è il backup, il ripristino funzionerà”
5. “Il backup è una scelta tecnica”: cosa dice la NIS2
6. Il punto cieco: la sicurezza dell’infrastruttura di backup
7. Domande frequenti

“Abbiamo il backup, siamo protetti dagli attacchi”

È il fraintendimento più diffuso, e va smontato subito: il backup non previene nulla. Non ferma un’intrusione, non blocca un malware, non impedisce il furto di dati. È uno strumento di recupero, non di difesa — serve dopo che il danno è avvenuto, per limitarlo.

E c’è di peggio: i backup non sono più spettatori neutrali degli attacchi, ne sono diventati un bersaglio primario. I ransomware moderni, prima di cifrare i sistemi di produzione, cercano attivamente le copie di sicurezza — repository di backup, NAS, snapshot — e le cifrano o le eliminano, proprio per togliere alla vittima l’alternativa al pagamento. È successo in modo emblematico con Deadbolt, il ransomware che colpisce i backup aziendali sui NAS, e accade ogni volta che un attaccante con accesso alla rete trova le copie raggiungibili dagli stessi sistemi che sta compromettendo. Un backup raggiungibile dall’attaccante non è un backup: è un’altra vittima.

“Una copia basta”: la regola 3-2-1 e l’evoluzione 3-2-1-1-0

La singola copia — il disco esterno attaccato al server, la cartella sincronizzata sul cloud — protegge da un solo scenario: la cancellazione accidentale. Per tutto il resto serve ridondanza strutturata, e lo standard di riferimento da anni è la regola 3-2-1: tre copie dei dati (l’originale più due backup), su due tipi di supporto diversi, di cui una conservata fuori sede. I supporti diversi proteggono dai guasti hardware, la copia off-site dai disastri locali — incendio, allagamento, furto.

Gli attacchi moderni hanno però imposto un’evoluzione, la 3-2-1-1-0, che aggiunge due requisiti: una copia offline o air-gapped, fisicamente o logicamente isolata dalla rete, che nessun ransomware può raggiungere; e zero errori verificati, cioè backup testati e validati, non solo eseguiti. I due numeri aggiunti rispondono esattamente ai due modi in cui i backup falliscono oggi: vengono compromessi insieme ai sistemi, o si scoprono inservibili al momento del bisogno.

“Il backup è al sicuro”: perché serve l’immutabilità

Spostare i backup sul cloud o su un repository dedicato non li rende automaticamente intoccabili: se le credenziali che li gestiscono vengono compromesse, l’attaccante li cancella o li cifra come qualsiasi altro dato. La risposta tecnica è il backup immutabile: una copia che, una volta scritta, non può essere modificata né eliminata da nessuno — nemmeno da un amministratore con credenziali valide — per tutto il periodo di conservazione stabilito. Ne abbiamo dedicato un approfondimento completo: cos’è il backup immutabile e perché ferma i ransomware.

L’immutabilità chiude la falla più sfruttata, ma con un’avvertenza che vedremo tra poco: rende inalterabile la copia, non garantisce che ciò che avete copiato fosse pulito.

“Se c’è il backup, il ripristino funzionerà”

È il mito che si paga più caro, perché si scopre falso nel momento peggiore. Un backup mai testato è un’ipotesi: la copia può essere corrotta, incompleta, o semplicemente troppo lenta da ripristinare. Perché se anche tutto funziona, resta la domanda che quasi nessuno si fa prima dell’incidente: quanto tempo richiede il ripristino completo? Un restore che impiega quattro giorni, per un’azienda che può tollerarne uno, è un fallimento riuscito tecnicamente.

È qui che il backup smette di essere un tema tecnico e diventa un tema di continuità: i tempi di ripristino vanno definiti prima (i parametri RTO e RPO), calibrati sui processi critici e verificati con test periodici di restore — non solo “il backup è andato a buon fine”, ma “ho ripristinato davvero e ci ho messo quanto previsto”. Di come si costruisce questo impianto parliamo nella guida alla continuità operativa.

“Il backup è una scelta tecnica”: cosa dice la NIS2

Per molte aziende italiane non è più una scelta. Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, all’articolo 24 colloca esplicitamente la gestione dei backup, il disaster recovery e la continuità operativa tra le misure di gestione del rischio che i soggetti nel perimetro devono adottare — e dimostrare. Non basta dichiarare di fare backup: servono procedure documentate, test verificabili e coerenza con l’analisi del rischio. Un backup eseguito ma mai testato, davanti a un audit, è una non conformità con tanto di prova scritta.

Il punto cieco: la sicurezza dell’infrastruttura di backup

Resta l’ultimo equivoco, il più sottile. Tutto l’impianto — 3-2-1-1-0, immutabilità, test — poggia su un presupposto: che l’infrastruttura di backup sia essa stessa sicura. Ma i server di backup, i NAS, le console di gestione sono sistemi come gli altri, con vulnerabilità come gli altri. Lo dimostrano i casi reali: la vulnerabilità critica di Veeam Backup & Restore (CVE-2025-23120) permetteva l’esecuzione di codice remoto proprio sul software che custodisce le copie. Un attaccante che compromette il sistema di backup non deve nemmeno cercare i dati di produzione: ha già in mano l’ultima linea di difesa.

E c’è il rovescio temporale: se l’attaccante è nella rete da settimane prima di agire — com’è la norma — i backup recenti contengono già la sua presenza. Ripristinare significa reinstallare la compromissione. Per questo la solidità del backup non si separa dalla solidità dell’infrastruttura: le vulnerabilità vanno trovate e chiuse prima, sui sistemi di produzione e su quelli di backup allo stesso modo.

Una strategia di backup regge solo se i sistemi su cui poggia non offrono porte d’ingresso. Cyberment affianca le imprese italiane con il Vulnerability Assessment e il Penetration Test certificati ISO 27001, che individuano e verificano le vulnerabilità di tutta l’infrastruttura — server di backup e console di gestione inclusi — prima che diventino la via d’accesso alle vostre copie di sicurezza. La formazione completa il quadro preparando i team a non aprire la porta agli attaccanti.

Domande frequenti

Il backup protegge dagli attacchi informatici?

No: il backup non previene gli attacchi, serve a recuperare i dati dopo. È uno strumento di ripristino, non di difesa. I ransomware moderni, inoltre, cercano e cifrano attivamente le copie di backup raggiungibili in rete, per impedire il recupero e forzare il pagamento del riscatto.

Cos’è la regola 3-2-1 del backup?

Prevede tre copie dei dati (l’originale più due backup), su due tipi di supporto diversi, di cui una conservata fuori sede. L’evoluzione moderna, la 3-2-1-1-0, aggiunge una copia offline o air-gapped isolata dalla rete e la verifica che i backup siano privi di errori e realmente ripristinabili.

Cos’è un backup immutabile?

È una copia che, una volta scritta, non può essere modificata né cancellata da nessuno per il periodo di conservazione stabilito, nemmeno con credenziali amministrative. Impedisce ai ransomware e agli attaccanti di distruggere i backup, ma non garantisce che i dati copiati fossero puliti al momento del backup.

Ogni quanto va testato un backup?

Con regolarità e con test di ripristino completi, non limitandosi a verificare che il job sia andato a buon fine: la copia può essere corrotta o troppo lenta da ripristinare rispetto ai tempi che l’azienda può tollerare. Un backup mai testato è un’ipotesi, non una garanzia.

La NIS2 impone obblighi sui backup?

Sì: il D.Lgs. 138/2024, all’articolo 24, include la gestione dei backup, il disaster recovery e la continuità operativa tra le misure di gestione del rischio obbligatorie per i soggetti nel perimetro, con requisiti di documentazione e verificabilità.

I ransomware possono colpire anche i backup?

Sì, ed è ormai prassi: prima di cifrare i sistemi di produzione, molti ransomware cercano repository di backup, NAS e snapshot raggiungibili in rete e li cifrano o eliminano. Le contromisure sono la copia offline air-gapped e il backup immutabile.