Quale strategia di backup per una PMI?

Le sei decisioni

1. Che cosa. Server, postazioni che non hanno i propri file sul server, NAS, Microsoft 365 o Google Workspace, database SQL, applicazioni gestionali. Una postazione i cui documenti sono già sul server non richiede lo stesso trattamento di un server. L’ANSSI raccomanda anche di salvare i supporti di installazione e la configurazione delle applicazioni: senza di essi, un dato ripristinato può restare inutilizzabile.
2. Quale cronologia. Per il lavoro corrente, da quattordici a trenta giorni di punti giornalieri coprono la maggior parte degli errori e dei ransomware scoperti in ritardo. L’ANSSI cita come esempio quindici giorni di backup giornalieri, un anno di backup mensili e cinque anni di backup annuali. Per le prove contabili o mediche serve un’archiviazione separata, più lunga, spesso immutabile.
3. Dove. Almeno una copia fuori dall’edificio e fuori dalla rete di amministrazione quotidiana. La regola utile è la 3-2-1: tre copie, su due supporti diversi, di cui una offline secondo l’ANSSI e la CNIL, o almeno fuori sede. Con la diffusione dei ransomware si aggiungono una copia che nessuno può cancellare (immutabile) e un test che termina senza errori.
4. Con quale frequenza. La frequenza è l’RPO. Un database aggiornato tutto il giorno mal si adatta a una sola copia alle 22:00; una cartella di modelli aggiornata una volta alla settimana sì. La CNIL raccomanda backup incrementali giornalieri e backup completi regolari.
5. In quanto tempo. È l’RTO. Ripristinare un file richiede minuti, ricostruire un server a mano richiede giorni. Un’immagine di sistema ripristinabile cambia l’ordine di grandezza.
6. Chi. Una persona designata controlla gli avvisi. Una seconda sa dove si trova la chiave di cifratura. Il fornitore, se c’è, ha un numero di telefono e orari di disponibilità messi per iscritto.

Per stabilire i tempi, vedere Come determinare il proprio RPO? e Come determinare il proprio RTO?.