Per un’azienda B2B, perdere l’accesso a documenti, database, contratti e informazioni operative può significare interrompere il lavoro per ore o giorni. Un backup in cloud permette di mantenere una copia dei dati al di fuori dell’infrastruttura aziendale e di predisporre procedure di recupero più rapide in caso di guasto, errore umano o attacco informatico.
La strategia, però, non consiste semplicemente nel trasferire i file online. Un sistema professionale deve prevedere backup automatici, copie separate dall’ambiente di produzione, cifratura e verifiche periodiche del ripristino, secondo le buone pratiche indicate da ENISA per le PMI.
La fragilità dei server fisici interni e dei NAS locali
Server aziendali e NAS permettono di conservare i dati all’interno dell’organizzazione, ma concentrano una parte importante dell’operatività in dispositivi fisici che possono guastarsi, essere danneggiati o diventare indisponibili.
Un NAS può essere utile come livello di archiviazione locale e consentire recuperi rapidi, ma non dovrebbe essere considerato automaticamente sufficiente come unica strategia di backup. ENISA raccomanda infatti di mantenere le copie di sicurezza separate dall’ambiente di produzione e, quando possibile, di automatizzare il processo.
I rischi di furto, incendio e danni accidentali all’hardware aziendale
Un server o un NAS custodito negli uffici rimane esposto agli eventi che interessano fisicamente la sede. Un furto, un incendio, un allagamento o un danno accidentale possono rendere contemporaneamente indisponibili sia i sistemi utilizzati per lavorare sia le copie dei dati conservate nello stesso ambiente.
Anche un guasto hardware può provocare un’interruzione se non esistono copie aggiornate e indipendenti. Per questo una strategia di continuità operativa dovrebbe prevedere almeno una copia dei dati collocata fuori dall’ambiente principale: la cosiddetta copia off-site è infatti uno degli elementi della strategia 3-2-1.
L’inadeguatezza del salvataggio dati su supporti removibili manuali
Hard disk esterni, chiavette USB e altri supporti removibili possono rappresentare una copia aggiuntiva, ma affidarsi esclusivamente a salvataggi manuali espone l’azienda a dimenticanze, errori e intervalli troppo lunghi tra un backup e l’altro.
Il problema riguarda anche la gestione fisica dei supporti: devono essere conservati correttamente, protetti dagli accessi non autorizzati e aggiornati con una frequenza coerente con la quantità di dati che l’azienda può permettersi di perdere.
Per questo ENISA raccomanda backup regolari e automatici quando possibile, cifratura delle copie e test periodici della capacità di ripristinare effettivamente i dati.
I vantaggi della remotizzazione dei dati in cloud
La remotizzazione dei dati in cloud aggiunge una copia esterna all’infrastruttura aziendale. In questo modo, se un server locale si guasta o la sede diventa temporaneamente inutilizzabile, l’organizzazione può contare su un ambiente separato da quello in cui si è verificato il problema.
La soluzione deve essere progettata in funzione delle esigenze dell’azienda: quantità di dati, frequenza dei salvataggi, tempi massimi di indisponibilità accettabili e periodo di conservazione delle copie. Non esiste quindi un’impostazione universale valida per ogni realtà B2B.
La garanzia di disponibilità costante e i backup incrementali automatici
Un servizio professionale può programmare il salvataggio automatico dei dati secondo intervalli prestabiliti, evitando che la protezione dipenda dall’intervento manuale dei dipendenti.
I backup incrementali permettono di salvare dopo il primo backup soltanto i dati modificati o aggiunti, riducendo il volume delle informazioni trasferite rispetto a una copia completa eseguita ogni volta. La frequenza deve essere comunque definita sulla base del Recovery Point Objective (RPO), cioè della quantità massima di dati che l’azienda è disposta a perdere in caso di incidente.
La disponibilità delle copie, inoltre, non deve essere confusa con la certezza del ripristino: è essenziale verificare periodicamente che i dati possano essere recuperati correttamente.
Il ripristino istantaneo in caso di attacco ransomware sui dispositivi aziendali
Il ransomware rappresenta uno dei rischi più rilevanti per la continuità operativa.
Una copia di backup separata dall’ambiente di produzione può consentire di recuperare versioni precedenti dei dati dopo la compromissione dei dispositivi aziendali. Non è però corretto considerare ogni servizio cloud capace di garantire automaticamente un ripristino istantaneo: velocità e modalità di recovery dipendono dalla piattaforma, dalla quantità di dati e dall’architettura adottata.
Per aumentare la resilienza è quindi importante che le copie siano protette anche rispetto a cancellazioni o modifiche provocate dall’attacco e che il processo di ripristino venga testato regolarmente.
Archiviazione locale su NAS vs piattaforma di cloud backup professionale
Il confronto seguente evidenzia le differenze tra una copia conservata esclusivamente su un NAS aziendale e una piattaforma professionale di cloud backup. La distinzione è utile perché le due soluzioni possono anche essere complementari: il NAS può favorire un recupero locale rapido, mentre il cloud aggiunge una copia remota e separata.
| Caratteristica | Archiviazione locale su NAS | Piattaforma di cloud backup professionale |
| Posizione dei dati | All’interno dell’azienda | In un’infrastruttura remota |
| Automazione | Dipende dalla configurazione | Generalmente programmabile e automatizzata |
| Protezione da danni alla sede | Limitata se non esiste una copia esterna | Maggiore grazie alla separazione geografica |
| Ransomware | Il NAS può essere coinvolto nell’attacco | Può offrire copie separate e versioning, secondo il servizio |
| Scalabilità | Legata alla capacità hardware | Generalmente più flessibile |
| Gestione | A carico dell’azienda o del reparto IT | Gestita secondo il modello del provider |
| Ripristino | Rapido per dati disponibili localmente | Dipende da piattaforma, connessione e quantità di dati |
| Cifratura | Dipende dalla configurazione | Deve essere prevista e verificata nel servizio |
Le best practice per la sicurezza informatica
Il backup deve essere considerato parte di una strategia più ampia di sicurezza informatica e continuità operativa. ENISA indica tra le misure fondamentali l’automazione dei backup, la separazione dall’ambiente di produzione, la cifratura e i test di ripristino.
È inoltre opportuno valutare attentamente il provider prima dell’attivazione del servizio, verificando dove vengono conservati i dati, quali misure di sicurezza sono adottate, come vengono gestite le chiavi di cifratura, quali sono i tempi di conservazione e quali procedure esistono per il recupero.
L’importanza della crittografia end-to-end prima del trasferimento dei file
La crittografia protegge i dati rendendoli illeggibili a chi non dispone delle chiavi necessarie. Per un sistema di backup aziendale è importante verificare la protezione dei dati durante il trasferimento e quando vengono conservati sull’infrastruttura remota.
Prima di scegliere un servizio è quindi utile controllare quali algoritmi e modalità di cifratura vengono utilizzati, come sono gestite le chiavi e quali soggetti possono accedere ai dati. Anche l’autenticazione degli account amministrativi e il controllo degli accessi devono essere parte della protezione complessiva.
Come rispettare il GDPR scegliendo provider con server sul territorio europeo
Quando il backup contiene dati personali, la scelta del provider deve tenere conto anche degli obblighi previsti dal GDPR. Conservare i dati all’interno dell’Unione europea può semplificare la gestione degli aspetti legati ai trasferimenti internazionali, ma la sola localizzazione dei server in Europa non garantisce automaticamente la conformità al GDPR.
L’EDPB chiarisce che, quando i dati personali vengono trasferiti al di fuori dell’UE, devono essere rispettate specifiche condizioni e possono essere necessarie garanzie come una decisione di adeguatezza, clausole contrattuali standard o altre misure previste dal GDPR.
Per questo l’azienda dovrebbe verificare nel contratto e nella documentazione del servizio dove vengono conservati i dati, dove possono essere trasferiti, quali subfornitori intervengono nel trattamento e quali garanzie vengono applicate. La scelta di un provider con infrastrutture e trattamento dei dati nell’UE può ridurre la complessità legata ai trasferimenti verso Paesi terzi, ma deve essere inserita in una valutazione complessiva di sicurezza, protezione dei dati e requisiti aziendali.
