Backup 3-2-1: la regola che salva la tua azienda da un attacco ransomware

Dopo un attacco ransomware tutto si gioca su una domanda: «Abbiamo un backup che funziona?». Non un backup qualsiasi, ma uno recente, completo e che si riesce davvero a ripristinare. Molte aziende scoprono solo in quel momento di non saperlo.

La regola del backup 3-2-1 serve a trasformare quel dubbio in un fatto verificabile. In questa guida trovi cosa prescrive e perché oggi va estesa al 3-2-1-1-0. E poi cosa chiedono le misure NIS2 e perché Microsoft 365 non fa il backup al posto tuo.

Cosa dice la regola del backup 3-2-1?

Prescrive tre copie dei dati, su due tipi di supporto diversi, con una copia fuori sede. È da anni lo schema di riferimento per la protezione dei dati. Anche la guida anti-ransomware della CISA raccomanda backup offline, cifrati e testati con regolarità.

• Tre copie: l’originale su cui lavori ogni giorno, più due backup distinti. Più copie indipendenti riducono la probabilità di perdere tutto insieme.
• Due supporti diversi: per esempio un NAS in ufficio e un servizio cloud. Il guasto di uno non compromette l’altro.
• Una copia fuori sede: in un luogo fisicamente separato. Se un incendio, un furto o un allagamento colpisce l’ufficio, quella copia ti salva.

Perché il ransomware prende di mira proprio i backup?

Perché senza backup la vittima ha poche alternative al riscatto. Un ransomware moderno non cifra solo il computer infetto: cerca nella rete tutto ciò che può raggiungere, cartelle condivise e backup collegati compresi. Spesso entra con credenziali rubate: se sono di un amministratore, può cancellare anche le copie.

Il ransomware resta diffuso. Nel Data Breach Investigations Report 2026 di Verizon il ransomware è presente nel 48% delle violazioni, contro il 44% dell’anno prima. Lo stesso rapporto osserva che le piccole organizzazioni ne sono colpite in modo sproporzionato. In Italia l’Agenzia per la Cybersicurezza Nazionale ha registrato 181 attacchi ransomware nel primo semestre 2026. Sono il 12% in meno dei 206 del primo semestre 2025, ma restano in media uno al giorno.

Il ransomware entra spesso da una email: è utile sapere come riconoscere il phishing. Ma il backup è ciò che decide se l’azienda riparte o paga.

I backup servono davvero dopo un attacco?

Sì, e i dati più recenti lo mostrano bene. Sophos ha intervistato 2.158 responsabili IT di aziende colpite per il rapporto The State of Ransomware 2026. I backup hanno permesso di recuperare i dati nel 66% dei casi con dati cifrati. Nel 2025 erano il 54%, il valore più basso degli ultimi sei anni.

Lo stesso rapporto dice anche che gli attaccanti sono riusciti a cifrare i dati nel 56% degli attacchi. E il 48% di chi ha avuto i dati cifrati ha pagato il riscatto. In altre parole: quasi metà di chi si ritrova con i dati cifrati paga ancora. La differenza la fa una copia che l’attaccante non ha potuto toccare.

Fonte: Sophos, The State of Ransomware 2025 e 2026.

3-2-1-1-0: perché la vecchia regola non basta più?

Perché una copia raggiungibile dalla rete, con le credenziali giuste, si può cancellare. Il 3-2-1 nasceva contro guasti, incendi e furti, non contro un attaccante che entra con i permessi di un amministratore. Da qui l’estensione al 3-2-1-1-0, con due cifre in più:

• +1: una copia immutabile o offline, che non si può modificare né cancellare nemmeno con credenziali rubate.
• 0: zero errori nei test di ripristino, verificati con regolarità e non dati per scontati.

Il backup è obbligatorio per la NIS2?

Sì, per chi rientra nella NIS2 è una delle misure di sicurezza di base. Le specifiche dell’ACN (determinazione 164179/2025, poi aggiornata) la chiamano PR.DS-11: «I backup dei dati sono creati, protetti, mantenuti e verificati». Vale per soggetti importanti ed essenziali, con obblighi più stringenti per i secondi.

In concreto, i soggetti importanti devono fare backup periodici di dati e configurazioni. I backup devono essere coerenti con i piani di continuità operativa e di ripristino in caso di disastro. Almeno per i sistemi rilevanti vanno conservate anche copie offline, e le procedure vanno documentate. I soggetti essenziali devono in più garantire riservatezza e integrità dei backup, con protezione fisica dei supporti o cifratura. E devono verificarne periodicamente l’utilizzabilità con test di ripristino.

Le misure valgono anche quando l’IT è gestito da un fornitore, e coinvolgono indirettamente le PMI che lavorano per soggetti NIS2. Se non sai se la tua azienda rientra, parti dall’albero decisionale. Le altre misure di base sono nella nostra checklist per l’IT.

Microsoft 365 fa il backup dei tuoi dati?

No, non nel senso che intendi. Microsoft si occupa di mantenere il servizio disponibile e di non perdere i dati per un proprio guasto. Ma la protezione dei dati da cancellazioni, errori e ransomware resta responsabilità del cliente. È il modello di responsabilità condivisa descritto nel documento di Microsoft sulle buone pratiche di backup.

Cestino e cronologia delle versioni aiutano, ma hanno una durata limitata e non sono un backup. E la sincronizzazione di OneDrive propaga anche i file cifrati o cancellati. Serve un backup dedicato: il servizio Microsoft 365 Backup, venduto a parte da Microsoft, oppure una soluzione di un altro produttore. Ne parliamo anche nella guida a Microsoft 365 per le PMI. Aeon Lab è partner Microsoft: lo dichiariamo perché l’articolo cita un servizio Microsoft a pagamento.

Qual è l’errore più comune con i backup?

Non provare mai a ripristinarli. Un backup mai ripristinato è una promessa, non una garanzia. Succede spesso di scoprire nel momento peggiore che le copie degli ultimi mesi erano incomplete, o che mancava proprio il gestionale. Il rimedio è un ripristino di prova a intervalli fissi, con l’esito scritto.

E c’è una variabile che molti ignorano: il tempo. Un backup che impiega tre giorni a rimettere in piedi l’azienda, per molte PMI, equivale quasi a non averlo. Per questo si fissano due obiettivi: quanti dati puoi permetterti di perdere (RPO) e in quanto tempo devi ripartire (RTO). È il cuore di un piano di disaster recovery fatto bene.

La base, in Europa, c’è già. Secondo Eurostat, nel 2024 il 79% delle imprese dell’Unione con almeno 10 addetti faceva il backup dei dati in un luogo separato. Quello che spesso manca sono la copia immutabile e la prova del ripristino.

Come ti aiuta Aeon Lab con il backup

Applicare il 3-2-1-1-0 in modo affidabile non è un’operazione da fare una volta e dimenticare. Con il servizio di backup e disaster recovery, come MSP e MSSP di Roma gestiamo l’intero ciclo con un unico referente:

• Backup automatici e monitorati, con avviso immediato se una copia non riesce.
• Copia immutabile o offline contro il ransomware.
• Backup dedicato di Microsoft 365: posta, OneDrive, SharePoint e Teams.
• Test periodici di ripristino, con RPO e RTO misurati e un esito scritto.
• Allineamento alle misure NIS2 e alla compliance, con le procedure documentate che chiede l’ACN.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Verifica il tuo backup, consulenza gratuita →

Domande frequenti

Se ho i file su OneDrive o SharePoint ho già un backup?

No. La sincronizzazione non è un backup: se un file viene cifrato o cancellato, la modifica si propaga ovunque. Cestino e versioni hanno una durata limitata. La protezione dei dati resta responsabilità del cliente, quindi serve un backup dedicato.

Il ransomware può cifrare anche i miei backup?

Sì, se sono raggiungibili dalla rete con le credenziali che l’attaccante ha rubato. Per questo serve almeno una copia offline o immutabile. Nel rapporto Sophos 2026 i backup hanno permesso di recuperare i dati nel 66% dei casi con dati cifrati. La copia offline o immutabile è quella che l’attaccante non può cancellare.

Quante copie servono davvero a una PMI o a uno studio?

Almeno tre copie, su due supporti diversi, con una fuori sede. Contro il ransomware si aggiungono una copia immutabile e test di ripristino senza errori. È un impianto sostenibile anche per un ufficio di poche postazioni.

Ogni quanto va fatto il backup?

Dipende da quanti dati puoi permetterti di perdere, cioè dall’RPO. Per la maggior parte delle PMI i dati critici vanno salvati almeno una volta al giorno, spesso di più per posta e gestionale. Provare che il ripristino funzioni conta quanto la frequenza.

La NIS2 chiede di testare i backup?

Per i soggetti essenziali sì: le specifiche ACN chiedono di verificare periodicamente l’utilizzabilità dei backup con test di ripristino, almeno per i sistemi rilevanti. Per i soggetti importanti sono obbligatori i backup periodici e, almeno per i sistemi rilevanti, le copie offline. Il test resta comunque l’unico modo per sapere che funzionano.

In breve

Il backup 3-2-1 resta il riferimento, ma contro il ransomware va esteso al 3-2-1-1-0: una copia immutabile o offline e ripristini provati. Nel rapporto Sophos 2026 i backup hanno permesso di recuperare i dati in due casi su tre tra le aziende con dati cifrati. Per chi rientra nella NIS2 è un obbligo, e chi usa Microsoft 365 deve proteggere i propri dati da sé. Se non sai la data dell’ultimo backup riuscito, è il momento di verificarla. Per gli altri controlli di base, usa la checklist dei 12 controlli di sicurezza informatica.

Pubblicato il 20 febbraio 2026. Ultimo aggiornamento: 26 ottobre 2026.

Fonti

• Sophos, The State of Ransomware 2026 (2.158 responsabili IT e sicurezza in 17 Paesi) e The State of Ransomware 2025.
• Verizon, Data Breach Investigations Report 2026, sintesi esecutiva.
• Agenzia per la Cybersicurezza Nazionale, Operational Summary 1° semestre 2026.
• Agenzia per la Cybersicurezza Nazionale, Determinazione 164179/2025, allegati 1 e 2, misura PR.DS-11 (successivamente aggiornata).
• Eurostat, ICT security in EU enterprises, 2024.
• CISA, #StopRansomware Guide.
• Microsoft, Microsoft 365 Backup: Best practices for data recovery and business continuity.