C’è un momento, per chi subisce un attacco ransomware, in cui tutto si gioca su una domanda: “Abbiamo un backup?”. Non un backup qualsiasi, ma uno recente, completo e davvero ripristinabile. Spesso si scopre troppo tardi che il backup non è un dettaglio da delegare e dimenticare: è l’ultima rete di sicurezza dell’intera azienda.
Molte imprese pensano di essere protette e non lo sono. Hanno “un backup”, ma non sanno quando è stato fatto, cosa contiene o se sarebbe davvero ripristinabile. La regola del backup 3-2-1 serve proprio a trasformare questa speranza vaga in una certezza concreta.
In sintesi
- 3-2-1: 3 copie dei dati, su 2 supporti diversi, con 1 copia off-site.
- Il ransomware prende di mira i backup: nel 2025 solo il 54% delle aziende colpite è riuscito a ripristinare dai backup (Sophos, 2025).
- Le PMI sono il bersaglio: ransomware presente nell’88% delle loro violazioni contro il 39% delle grandi organizzazioni (Verizon DBIR, 2025).
- Serve l’evoluzione 3-2-1-1-0: una copia immutabile e zero errori di ripristino testati.
Cosa dice la regola del backup 3-2-1?
La regola 3-2-1 prescrive 3 copie dei dati, su 2 tipi di supporto diversi, con 1 copia off-site. È lo standard di riferimento per la protezione dei dati, richiamato anche dalle linee guida anti-ransomware della CISA, che raccomanda backup offline, cifrati e testati regolarmente.
- 3 copie: l’originale su cui lavori ogni giorno, più due backup distinti. Più copie riducono drasticamente la probabilità di perdere tutto insieme.
- 2 supporti diversi: per esempio un NAS locale e un servizio cloud. Il guasto di uno non compromette l’altro.
- 1 copia off-site: in un luogo fisicamente separato. Se un incendio, un furto o un allagamento colpisce la sede, quella copia esterna ti salva.
Perché il ransomware prende di mira proprio i backup?
Nel 2025 il Verizon Data Breach Investigations Report ha rilevato che il ransomware è presente nell’88% delle violazioni che colpiscono le PMI, contro il 39% delle grandi organizzazioni. Un ransomware moderno non cifra solo il PC infetto: cerca nella rete tutto ciò che può raggiungere, backup collegati e cartelle condivise inclusi.
Ecco perché una copia separata e non costantemente connessa fa la differenza: quando tutto il resto è compromesso, quella copia isolata resta pulita e ti permette di ripartire senza pagare il riscatto. Il ransomware entra spesso via email: utile sapere come riconoscere il phishing.
3-2-1-1-0: perché la vecchia regola non basta più?
Nel 2025, secondo il report The State of Ransomware di Sophos, solo il 54% delle aziende colpite è riuscito a ripristinare i dati dai backup — il minimo degli ultimi sei anni. Il motivo è che i backup sono ormai un bersaglio primario. Da qui l’evoluzione della regola verso il 3-2-1-1-0:
- +1: una copia immutabile o air-gapped, che non può essere modificata o cancellata nemmeno con credenziali rubate.
- 0: zero errori di ripristino, garantiti da verifica automatica e test di restore regolari.
| Cifra | Cosa significa |
|---|---|
| 3 copie | L’originale su cui lavori + due backup distinti |
| 2 supporti | Due tipi diversi, es. NAS locale e cloud |
| 1 off-site | Una copia in un luogo fisicamente separato |
| 1 immutabile | Una copia air-gapped, non modificabile né cancellabile |
| 0 errori | Ripristini testati regolarmente, con esito verificato |
Microsoft 365 fa il backup dei tuoi dati?
No, non nel modo in cui credi. La documentazione ufficiale di Microsoft chiarisce che, nel modello di responsabilità condivisa, il backup e il ripristino dei dati di Microsoft 365 (Exchange, SharePoint, Teams, OneDrive) sono responsabilità del cliente. Le funzioni native — cestino, cronologia versioni — hanno ritenzione limitata, e la sincronizzazione non è un backup.
È il punto cieco più diffuso tra PMI e studi professionali: “è in cloud, quindi è al sicuro” è una convinzione pericolosa. Se usi Microsoft 365, ti serve un backup dedicato di terze parti. Approfondisci nella nostra guida su Microsoft 365 per le PMI.
L’errore più comune: non testare mai i ripristini
Un backup mai ripristinato è una promessa, non una garanzia. Capita più spesso di quanto si creda di scoprire, nel momento peggiore, che i backup degli ultimi mesi erano corrotti o incompleti. E c’è una variabile che molti ignorano: il tempo di ripristino.
Un backup che impiega tre giorni a tornare operativo, per molte aziende, equivale quasi a non averlo. Non basta verificare che i dati siano integri: bisogna misurare in quanto tempo l’azienda riparte davvero. È il cuore di un piano di disaster recovery ben fatto.
Backup e NIS2: una misura di base, non un optional
Il backup non è solo buon senso: per molte aziende è un obbligo. Nel 2024 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha registrato in media circa 165 eventi cyber al mese, con il ransomware indicato come principale minaccia. Il backup rientra tra le misure di sicurezza di base richieste dalla direttiva NIS2 (D.Lgs. 138/2024), e vale anche per le PMI che forniscono soggetti in ambito.
Non sai se la tua azienda è coinvolta? Usa il nostro albero decisionale per capire se rientri nella NIS2. Nota di contesto: nel 2024, secondo Eurostat, il 79% delle imprese europee conservava già un backup su supporto separato o in cloud — la base c’è, ma spesso manca l’immutabilità e il test dei ripristini.
Come ti aiuta Aeon Lab con il backup
Applicare il 3-2-1-1-0 in modo affidabile non è un “imposta e dimentica”. Con il nostro servizio di Backup e Disaster Recovery, come MSP/MSSP di Roma gestiamo l’intero ciclo, con un unico referente:
- Backup automatici e monitorati, con alert immediato in caso di fallimento.
- Copia immutabile/air-gapped anti-ransomware.
- Backup dedicato di Microsoft 365 (email, SharePoint, OneDrive, Teams).
- Test periodici dei ripristini e misura di RTO/RPO.
- Integrazione con le misure NIS2 e la compliance.
Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.
Verifica il tuo backup — consulenza gratuita →
Domande frequenti
Se ho i file su OneDrive o SharePoint ho già un backup?
No. La sincronizzazione di Microsoft 365 non è un backup: il ripristino dei dati è responsabilità del cliente e le funzioni native hanno ritenzione limitata. Se un file viene cifrato o eliminato e te ne accorgi dopo settimane, la sincronizzazione ha già propagato il problema. Serve un backup dedicato.
Il ransomware può cifrare anche i miei backup?
Sì, è lo scenario più comune: i backup collegati alla rete sono un bersaglio primario. Nel 2025 solo il 54% delle aziende colpite ha ripristinato dai backup (Sophos). Per questo serve almeno una copia offline o immutabile, secondo la regola 3-2-1-1-0.
Quante copie servono davvero a una PMI o a uno studio?
Almeno 3 copie dei dati, su 2 supporti diversi, con 1 copia off-site. Per la resilienza anti-ransomware si aggiungono 1 copia immutabile e 0 errori di ripristino, verificati con test regolari. È un impianto sostenibile anche per uffici di poche postazioni.
Ogni quanto va fatto il backup?
Dipende da quanti dati puoi permetterti di perdere (l’RPO). Per la maggior parte delle PMI il backup dei dati critici è almeno giornaliero, spesso più frequente per email e gestionali. Ciò che conta quanto la frequenza è testare che il ripristino funzioni davvero.
In breve
Il backup 3-2-1 resta il riferimento, ma contro il ransomware va esteso a 3-2-1-1-0: una copia immutabile e zero errori di ripristino testati. Le PMI sono il bersaglio più colpito, e chi usa Microsoft 365 deve dotarsi di un backup dedicato. Se non sai quando è stato fatto l’ultimo backup funzionante della tua azienda, è già un buon motivo per una verifica.
Fonti
- Verizon, Data Breach Investigations Report 2025: verizon.com
- Sophos, The State of Ransomware 2025: sophos.com
- Eurostat, ICT security in EU enterprises 2024: ec.europa.eu/eurostat
- ACN, Relazione Annuale (dati 2024): acn.gov.it
- CISA, #StopRansomware Guide: cisa.gov
- Microsoft 365 Backup — Best practices (responsabilità condivisa): adoption.microsoft.com