Il mito del "ho fatto il backup"

Molti imprenditori e responsabili IT dormono sonni tranquilli perché hanno un server NAS in ufficio o un abbonamento al cloud che sincronizza i file. Pensano di essere al sicuro. Sbagliato.

C'è una differenza abissale tra avere una copia dei dati e avere una strategia di ripristino. Il primo è un'operazione tecnica; la seconda è una polizza assicurativa sulla sopravvivenza del business.

Immaginate di perdere l'accesso a tutti i vostri server domani mattina a causa di un ransomware o di un guasto hardware catastrofico. Avete i backup? Bene. Ma quanto tempo ci vorrebbe per rimettere in piedi l'intera infrastruttura? Ore? Giorni? Settimane?

Il tempo è il vero nemico.

Proprio qui entra in gioco una vera soluzione backup e disaster recovery. Non si tratta solo di salvare i bit, ma di definire esattamente come, quando e dove l'azienda torna a respirare dopo un crash.

RTO e RPO: le due metriche che decidono il tuo destino

Se non conosci questi due acronimi, stai navigando al buio. Non sono termini per nerd, ma parametri di business purissimi.

L'RPO (Recovery Point Objective) definisce quanta perdita di dati l'azienda può tollerare. Se fate un backup ogni 24 ore, il vostro RPO è di un giorno. Significa che, in caso di disastro, potreste perdere tutto il lavoro svolto nell'ultima giornata. Per un e-commerce o una banca, questo scenario è un incubo.

L'RTO (Recovery Time Objective), invece, riguarda il tempo. È l'intervallo tra il momento del crash e il momento in cui i sistemi tornano operativi. Un'ora? Dieci ore?

Un dettaglio non da poco: più vuoi abbassare questi tempi, più la soluzione diventa complessa e costosa. Ma è un investimento che si ripaga al primo vero incidente.

La regola del 3-2-1: l'unico standard che conta

Non inventatevi sistemi proprietari basati sulla speranza. Esiste una regola aurea che ogni professionista della cybersecurity segue rigorosamente:

  • 3 copie dei dati: quella di produzione e due backup.
  • 2 supporti diversi: ad esempio, un disco locale e un cloud, o un NAS e un nastro LTO.
  • 1 copia off-site: almeno un set di dati deve stare fisicamente lontano dall'azienda.

Perché? Semplice. Se scoppia un incendio in server room o avviene un allagamento, avere due backup nello stesso ufficio non serve a nulla. Bruciano insieme al server principale.

Oggi questa regola si evolve. Molti parlano di 3-2-1-1-0: l'aggiunta di una copia immutabile (che non può essere cancellata nemmeno da un amministratore, proteggendovi dai ransomware) e la verifica che ci siano zero errori nei processi di ripristino.

Il Disaster Recovery non è un software, è un processo

Comprare un software costoso non significa avere un piano di DR. Il software è lo strumento; il piano è la mappa.

Un piano serio deve prevedere scenari concreti. Cosa succede se cade la fibra ottica principale? Cosa facciamo se l'intero data center di un provider cloud va offline? Chi chiama chi? Qual è l'ordine di accensione dei server per evitare che le applicazioni vadano in crash perché il database non è ancora attivo?

Senza una documentazione chiara, durante un'emergenza regna il caos. E nel caos si commettono errori che possono rendere i dati irrecuperabili.

La pianificazione è noiosa, ma l'improvvisazione è letale.

Cloud Backup vs Disaster Recovery as a Service (DRaaS)

Spesso i due termini vengono confusi. Facciamo chiarezza.

Il Cloud Backup serve a conservare i dati. È come avere un archivio remoto. Se perdi un file, vai nel cloud e lo riscarichi. Utile, fondamentale, ma lento se devi recuperare terabyte di informazioni su una connessione internet standard.

Il DRaaS è un salto di qualità. Qui non parliamo solo di file, ma di intere macchine virtuali che possono essere "accese" nel cloud in pochi minuti. Se il tuo server fisico muore, l'infrastruttura cloud prende il suo posto quasi istantaneamente.

L'azienda continua a lavorare mentre voi riparate o sostituite l'hardware locale. Questo è il vero significato di business continuity.

Il punto critico: i test di ripristino

Ecco dove la maggior parte delle aziende fallisce. Fanno il backup, vedono la spunta verde del software che dice "Backup completato con successo" e si rilassano.

Errore fatale.

Un backup non esiste finché non è stato testato il ripristino. Esistono casi agghiaccianti di aziende che hanno scoperto, solo nel momento del bisogno, che i loro backup erano corrotti da mesi o che le chiavi di cifratura erano andate perdute.

Un sistema di protezione serio prevede test periodici: ogni mese o ogni trimestre si prova a ripristinare un server critico in un ambiente isolato. Se funziona, allora siete protetti. Altrimenti, state solo spostando dati inutili da un disco all'altro.

Come scegliere la soluzione giusta per 428.it e i suoi clienti

Non esiste una misura unica per tutti. Una piccola agenzia di comunicazione ha esigenze diverse rispetto a uno studio medico o a un'industria manifatturiera.

Per capire di cosa avete bisogno, ponetevi queste domande:

  • Qual è il costo orario del mio fermo aziendale?
  • Quali sono i dati che, se persi, porterebbero al fallimento dell'attività?
  • Quanto tempo posso permettermi di stare offline prima che i clienti inizino a scappare?

Le risposte a queste domande definiscono l'architettura tecnica. Se il costo del fermo è altissimo, non potete accontentarvi di un semplice backup notturno. Vi serve una replica sincrona e un piano di DRaaS.

La cybersecurity oggi non riguarda più solo il "tenere fuori i cattivi". I firewall sono necessari, ma non bastano. La vera resilienza sta nella capacità di incassare il colpo e rialzarsi in pochi minuti.

Essere pronti al peggio è l'unico modo per garantire il meglio.

Sintesi tecnica per chi decide

Se dovete implementare o aggiornare la vostra soluzione backup e disaster recovery, concentratevi su tre pilastri: automazione (per eliminare l'errore umano), immutabilità (per sconfiggere i ransomware) e test rigorosi.

Non guardate solo al costo del software. Guardate al costo dell'inattività. Quando farete i conti, scoprirete che una strategia di DR professionale non è un costo, ma la protezione più redditizia che possiate acquistare per il vostro business.