di Daniele Curto — Amministratore e fondatore, DC Consult SRL · 21 agosto 2026 · lettura 10 min
Un backup progettato per il guasto hardware non regge un attacco che parte da credenziali amministrative valide. La regola 3-2-1-1-0 è il metodo con cui una PMI passa da "i backup ci sono" a "so ripristinare, e l'ho dimostrato". Qui la spieghiamo cifra per cifra e la colleghiamo a ciò che NIS2 e GDPR richiedono davvero.
Perché il backup che hai probabilmente non basta
Nella maggior parte delle PMI il backup esiste. Il problema è che esiste in una forma pensata per lo scenario di ieri — il guasto hardware — e non per lo scenario oggi prevalente: un attaccante che ha già le credenziali di amministratore e che, prima di cifrare i dati di produzione, cerca e cancella le copie.
Tre configurazioni ricorrenti, e il motivo per cui cedono.
- NAS in rete con credenziali di dominio. È raggiungibile dallo stesso attaccante che ha compromesso un client. Se il backup è scrivibile e cancellabile dall'account che ha il controllo, non è un backup: è una seconda copia dello stesso rischio.
- Sincronizzazione cloud confusa con backup. Un servizio di sync propaga le modifiche, incluse cifratura e cancellazione. La cronologia delle versioni mitiga, ma ha finestre e limiti; non è progettata come archivio di ripristino.
- Backup che nessuno ha mai ripristinato. Il job risulta "completato" da mesi, nessuno ha verificato che il contenuto sia utilizzabile. Il primo test coincide con l'emergenza.
La domanda utile, quindi, non è "faccio i backup?" ma "quando ho ripristinato per l'ultima volta, e quanto ci è voluto?"
Cosa chiedono davvero NIS2 e GDPR
NIS2. L'art. 24 del D.lgs. 138/2024 include tra le misure minime di gestione del rischio la continuità operativa, ivi compresa la gestione dei backup e il ripristino in caso di disastro, e la gestione delle crisi. Le misure di base sono declinate negli allegati 1 (soggetti importanti) e 2 (soggetti essenziali) della Determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026 e costruita sulle sottocategorie del Framework Nazionale per la Cybersecurity e la Data Protection. Gli obblighi si applicano ai soggetti che rientrano nel perimetro NIS: per il test di perimetro rimandiamo alla guida NIS2 e PMI: come capire se sei nel perimetro.
GDPR. L'art. 32, par. 1 del Regolamento (UE) 2016/679 richiede misure adeguate che garantiscano la disponibilità e la resilienza dei sistemi e dei servizi di trattamento (lett. b) e la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali in caso di incidente fisico o tecnico (lett. c). Questo vale per qualunque titolare del trattamento, dentro o fuori dal perimetro NIS. È il punto da tenere a mente: sul backup non esiste esenzione dimensionale.
La convergenza. Entrambe le norme fissano un obiettivo di risultato — essere in grado di ripristinare — non una tecnologia. Nessuna delle due prescrive quante copie tenere o su quali supporti. Ed è esattamente per questo che serve un metodo verificabile: senza uno standard interno documentato, "misura adeguata" resta un'affermazione che non si può dimostrare in caso di controllo o di incidente.
La regola 3-2-1-1-0, cifra per cifra
Chiariamo subito lo status: la 3-2-1-1-0 è una buona prassi tecnica di settore, evoluzione della regola 3-2-1, e non un requisito di legge. Nessuna norma europea o italiana la impone con questa formulazione. La norma fissa l'obiettivo; questa regola è il metodo con cui l'obiettivo si raggiunge in modo dimostrabile.
| Cifra | Requisito | Rischio che neutralizza |
|---|---|---|
| 3 | Tre copie dei dati: la produzione più due backup | Guasto singolo, cancellazione accidentale, corruzione di una copia |
| 2 | Due tipologie di supporto diverse | Difetto sistematico o vulnerabilità comune a una tecnologia |
| 1 | Una copia off-site, fuori dalla sede | Evento fisico: incendio, allagamento, furto, danno all'edificio |
| 1 | Una copia offline, air-gapped o immutabile | Attaccante con privilegi amministrativi che cancella i backup |
| 0 | Zero errori nella verifica di ripristino | Backup formalmente presente ma non utilizzabile |
3 — Tre copie
Il dato di produzione conta come una. Servono quindi due backup distinti, non due copie dello stesso backup nella stessa posizione. Il criterio operativo è semplice: se un singolo evento può compromettere due copie insieme, non sono due copie.
2 — Due supporti
L'obiettivo è non concentrare il rischio su una sola tecnologia o su un solo fornitore. Combinazioni tipiche: disco locale più object storage cloud, oppure disco più nastro. Il punto non è il supporto in sé, ma l'indipendenza dei modi di guasto.
1 — Una copia off-site
Fuori dall'edificio, non nella stanza accanto. Copre gli scenari fisici che nessuna configurazione locale può coprire. Per una PMI il cloud è la via più praticabile: nessun trasporto manuale, nessun supporto da ricordare di portare via.
1 — Una copia offline o immutabile
È l'aggiunta che distingue la 3-2-1-1-0 dalla vecchia 3-2-1, e nasce dal ransomware. Due approcci: air-gap fisico, cioè un supporto scollegato e non raggiungibile in rete; immutabilità logica, cioè storage in cui i dati non possono essere modificati né cancellati per un periodo definito, nemmeno da un account amministrativo. Il criterio di verifica è secco: prova a cancellare un backup con le credenziali più privilegiate che hai. Se riesci, non è immutabile.
0 — Zero errori
Non è una postilla: è il livello che rende reali gli altri quattro. Lo sviluppiamo nella sezione successiva.
Quando hai ripristinato per l'ultima volta?
Se la risposta è "non lo so" o "mai", il problema non è la tecnologia: è che nessuno ha ancora verificato che il piano funzioni. Il momento per scoprirlo non è durante un incidente.
Scopri i servizi di sicurezza informaticaIl punto che salta sempre: lo zero
Le prime quattro cifre riguardano l'architettura, e un consulente le sistema in poche giornate. Lo zero riguarda la disciplina operativa: va mantenuto nel tempo ed è il primo a decadere. È anche il motivo per cui un modello di assistenza attivato solo a guasto avvenuto fatica a sostenerlo, come abbiamo analizzato in Break & fix: il costo reale del modello a chiamata.
- Verifica di ripristino, non di completamento del job. Un job "completato con successo" attesta che i dati sono stati scritti, non che siano leggibili e coerenti. La verifica utile è un ripristino effettivo in ambiente separato, con apertura del dato ripristinato.
- Periodicità definita e scritta. Il test va calendarizzato, con un responsabile nominato e un esito registrato. Se non c'è un registro, il test non è dimostrabile — e ciò che non è dimostrabile, in un audit, equivale a non fatto.
- Prova di scenario, non solo di file. Ripristinare un singolo documento non dice se sai rimettere in piedi un servizio. Almeno una volta l'anno va provato lo scenario completo: quanto tempo serve a tornare operativi, e in quale ordine.
- Monitoraggio degli esiti. Un backup che ha smesso di funzionare tre settimane fa e nessuno l'ha notato è il punto di rottura più frequente. Serve un alert su fallimento e su assenza di esecuzione: anche il silenzio è un segnale.
C'è infine il collegamento con la governance. Sotto NIS2 l'attuazione delle misure è responsabilità degli organi di amministrazione e direttivi (art. 23 del D.lgs. 138/2024). Il registro dei test di ripristino è uno dei pochi documenti che dimostra in modo oggettivo che la misura non è solo dichiarata.