Tra tutte le misure di sicurezza informatica disponibili, i backup regolari e testati rappresentano probabilmente lo strumento più semplice e al tempo stesso più sottovalutato nella protezione delle aziende italiane contro le conseguenze più gravi di un attacco informatico, in particolare quando si tratta di ransomware. Disporre di copie affidabili e recuperabili dei propri dati critici fa la differenza tra un incidente gestibile, seppur fastidioso, e una crisi capace di mettere a rischio la sopravvivenza stessa dell’azienda.
Un errore comune tra le organizzazioni italiane, soprattutto tra le più piccole, riguarda la falsa percezione di sicurezza legata alla semplice esistenza di un backup, senza una verifica periodica della sua effettiva funzionalità . Backup corrotti, incompleti o, nei casi peggiori, mai realmente testati in uno scenario di ripristino reale, possono rivelarsi inutili proprio nel momento di maggiore necessità , quando l’azienda si trova già sotto la pressione di un incidente in corso e scopre, troppo tardi, che il proprio piano di recupero non funziona come previsto.
La strategia di backup più diffusa e raccomandata dagli esperti di sicurezza segue la cosiddetta regola del 3-2-1: mantenere almeno tre copie complete dei propri dati, su due supporti di tipo diverso, con almeno una copia conservata fisicamente separata dalla rete principale, idealmente offline o comunque isolata in modo che un attacco ransomware che si propaga all’interno della rete aziendale non possa raggiungere e cifrare anche le copie di backup, un rischio purtroppo sempre più frequente considerando le tecniche di attacco più recenti, specificamente progettate per individuare ed eliminare i backup prima di procedere con la cifratura dei dati principali.
Il disaster recovery va oltre il semplice backup dei dati, includendo la pianificazione dettagliata delle procedure necessarie per ripristinare l’intera operatività aziendale in caso di incidente grave: quali sistemi ripristinare per primi in base alla loro criticità per il business, quali risorse umane e tecniche sono necessarie per il ripristino, quali fornitori esterni coinvolgere e, non ultimo, quanto tempo l’organizzazione può ragionevolmente sopravvivere senza determinati sistemi prima che l’impatto economico diventi insostenibile.
Per le aziende italiane, definire concretamente questi parametri, noti tecnicamente come RTO, tempo massimo accettabile di interruzione, e RPO, quantità massima di dati che l’azienda può permettersi di perdere in caso di ripristino da un backup non aggiornatissimo, rappresenta un esercizio di pianificazione strategica che coinvolge non solo il reparto IT, ma l’intero management aziendale, chiamato a valutare le priorità di business in relazione ai costi necessari per garantire tempi di ripristino più rapidi.
Testare periodicamente il piano di disaster recovery attraverso esercitazioni simulate, coinvolgendo tutti gli attori aziendali che avrebbero un ruolo effettivo in caso di incidente reale, permette di individuare lacune procedurali prima che si manifestino durante un’emergenza vera, un investimento di tempo relativamente contenuto che può fare la differenza tra un ripristino ordinato in poche ore e un caos organizzativo capace di prolungare significativamente i tempi e i costi di recupero dell’operatività aziendale.
