Introduzione

Un disco si rompe. Un laptop sparisce. Un ransomware cifra i file e poi cerca anche le copie. In tutti e tre i casi la domanda è la stessa: hai qualcosa da ripristinare, o hai solo l'illusione di averlo?

La regola 3-2-1 non è uno slogan. È un modo per non mettere tutte le copie nello stesso rischio. Tre copie dei dati. Due tipi di supporto. Una copia fuori sede. E una regola che manca dal nome, ma decide tutto: quella copia deve essere ripristinabile.

Qui: cosa significa 3-2-1, quale copia l'attaccante non deve cifrare, NAS contro disco contro object storage, versioning, frequenza, Windows (Cronologia file) e Linux (rsync o restic) a livello di concetto, isolamento, e il test di ripristino.

Non ti serve un software da enterprise. Ti serve sapere cosa copiare, dove metterlo, e se quel file torna indietro.

Cosa significa 3-2-1, senza slogan

Conta le copie. Poi conta i rischi. Se le tre copie stanno sullo stesso PC, non hai tre copie: hai tre cartelle sullo stesso disco.

Tre copie

La copia 1 è quella su cui lavori: il PC, il server, il NAS di produzione. Non è un backup. È l'originale.

Le altre due sono copie. Devono sopravvivere se l'originale muore. Disco rotto, cancellazione, malware, incendio: almeno una delle due deve restare leggibile.

Tre copie = originale + due backup. Se conti solo i backup e dimentichi l'originale, stai già sbagliando i numeri.

Due supporti

Due copie sullo stesso tipo di supporto falliscono nello stesso modo. Due USB identiche nello stesso cassetto non sono due media.

"Due media" significa due tecnologie o due sistemi. Esempi:

disco interno del PC + disco esterno
NAS in ufficio + object storage (S3 o equivalente)
PC + nastro o disco USB che stacchi dopo il job

Non è magia. È non condividere lo stesso guasto.

Una fuori sede

Fuori sede non è "l'altra stanza". È un luogo che non brucia, non allaga e non viene rapinato insieme all'ufficio. Cloud object storage va bene, se hai account e chiavi separati. Un disco a casa del titolare va bene, se lo ruoti e lo tratti come oggetto di lavoro, non come cassetto dei cavi.

Pezzo della regola	Cosa conta	Cosa non conta
3 copie	Originale + 2 backup indipendenti	Tre cartelle sullo stesso PC
2 media	Due tecnologie o due sistemi	Due USB identiche nello stesso cassetto
1 offsite	Un sito o un provider diverso	Il NAS sotto la scrivania

OneDrive, Google Drive o Dropbox in sync non sono un backup 3-2-1. Se cancelli o cifri un file sul PC, il sync lo propaga. Hai una copia remota del disastro, non una copia da cui tornare indietro.

La copia che l'attaccante non può cifrare

Il ransomware moderno non si ferma ai documenti. Cerca condivisioni di rete, credenziali salvate, software di backup, snapshot del NAS. Se quella copia è montata e scrivibile con lo stesso account di tutti i giorni, è già persa.

Ti serve almeno una copia che l'attaccante non raggiunge dal PC infetto. Offline, immutabile, o su un account che quel PC non ha.

Tre modi, in ordine di realismo per una PMI:

Disco esterno che stacchi. Dopo il backup, lo scolleghi. Non resta montato. Non ha una lettera di unità fissa "per comodità".
Object storage con versioning e, se puoi, Object Lock / immutabilità. L'account del PC può scrivere nuove versioni. Non può cancellare le vecchie per un periodo fissato.
NAS con snapshot e utente di backup dedicato. L'utente quotidiano non ha diritto di cancellare gli snapshot. Meglio se il job parte dal NAS (pull), non dal PC infettabile (push).

Se dal PC di lavoro puoi cancellare tutte le copie, non hai un backup. Hai un secondo disco per il ransomware.

Molti attacchi non iniziano dal backup. Iniziano da una mail, un link, un allegato. Se vuoi capire come arrivano, leggi come riconoscere il phishing. Il 3-2-1 non ferma l'ingresso. Ferma il ricatto dopo.

Cosa copiare (e cosa puoi lasciare)

Non copiare "tutto il PC" se non sai cosa c'è dentro. Parti dai dati che, se spariscono lunedì, fermano il lavoro.

Cosa entra nel 3-2-1 (minimo utile)

Documenti, fogli, PDF, contratti, fatture
Mail e archivi (PST, export, mailbox se non è già sul provider)
Database gestionali, export contabilità, backup dell'applicativo
Foto e scansioni se sono prove o archivio aziendale
Progetti, repository, file di configurazione che non sono su git remoto
Elenco software, licenze, password vault (export cifrato)

Puoi escludere all'inizio: cache, download, ISO, cartelle Temp. Occupano spazio. Un'immagine intera del sistema è un altro lavoro: disaster recovery, non backup dati. Prima i file. Poi, se serve, le immagini.

NAS, disco esterno, object storage

Tre strumenti. Ruoli diversi. Quasi mai uno da solo chiude la regola.

Disco esterno

Economico, semplice, offline se lo stacchi. Va bene come seconda copia. Non come unica: si perde, si cade, resta attaccato. Se copi sopra la cartella di ieri, non hai versioning.

NAS

Comodo per più PC, job automatici, snapshot. Resta in ufficio. Se brucia l'ufficio, brucia anche il NAS. Se il ransomware ha le credenziali di amministrazione del NAS, cifra o cancella anche quello.

Un NAS è un ottimo secondo supporto. Non è fuori sede. Non è offline se i volumi sono sempre montati sui PC.

Object storage

Bucket S3-compatibile o lo storage del tuo cloud. Fuori sede per definizione. Tiene versioni. Può rendere gli oggetti immutabili per N giorni. Costa in uscita e in attenzione: chiavi API, MFA, policy "no delete". È un disco di qualcun altro, con regole tue.

Supporto	Velocità di ripristino	Fuori sede	Isolamento ransomware	Per chi
Disco USB/SSD	Alta se è in ufficio	No, se resta lì	Alta se lo stacchi	Casa, studio, 1-2 PC
NAS	Alta in LAN	No	Media, dipende da account e snapshot	Ufficio con più postazioni
Object storage	Media (download)	Sì	Alta con versioning/lock	Chi accetta un ripristino più lento

Il NAS "sempre mappato" come unità Z: su tutti i PC è il modo più veloce per perdere originale e copia insieme. Se ti serve l'accesso quotidiano, quello non è il volume di backup.

Versioning: ieri non basta

Un backup che sovrascrive sempre la stessa cartella ti salva dal disco rotto di oggi. Non ti salva dal file corrotto di tre settimane fa, né dal ransomware scoperto in ritardo.

Ti servono versioni. Non infinite: un calendario che puoi spiegare.

Esempio realistico per una PMI piccola:

giornaliero per 14 giorni
settimanale per 8 settimane
mensile per 12 mesi

I numeri si adattano. Il principio no: se scopri l'infezione il venerdì e l'unica copia è di venerdì notte, hai copiato i file già cifrati.

Il versioning è la differenza tra "ho un backup" e "ho un punto nel tempo da cui tornare".

Object storage e restic lo fanno di default. rsync da solo no: copia lo stato attuale. Nessuno di questi, da solo, è il 3-2-1.

Quanto spesso

La frequenza dipende da quanto lavoro sei disposto a rifare. Quella quantità ha un nome: RPO, recovery point objective. In italiano: quanti dati puoi perdere, in ore, senza chiudere.

Tipo di dato	Frequenza tipica	Perché
Gestione, fatture, mail di lavoro	Ogni giorno	Un giorno perso si rifà. Una settimana no.
Progetti in modifica continua	Ogni giorno, o più	Il lavoro di ieri è già soldi
Archivio statico, scansioni vecchie	Settimanale	Cambia poco
Configurazioni e export password	Ad ogni cambio	Poche volte, ma critiche

Automatico batte manuale. Un job alle 22:00 vale più della buona intenzione del venerdì. Il disco che stacchi resta un rito in calendario, non un ricordo. Se lavori fino alle 19 e il job gira alle 22, un crash alle 20 ti costa tre ore. Accettalo o accorcia l'intervallo.

Windows: Cronologia file, e cosa non fa

Su Windows, Cronologia file (File History) copia le librerie e le cartelle che scegli su un'altra unità. Tiene versioni. Si avvia da Impostazioni o dal Pannello di controllo, a seconda della versione. Va bene per un PC di casa o di un professionista: Documenti, Desktop, poco sforzo.

Non è fuori sede. Non isola la copia se il disco resta attaccato. Non copre un server o un gestionale. Non è un test di ripristino: è solo il meccanismo.

USB + Cronologia file è un inizio. Per chiudere il 3-2-1 aggiungi una copia remota e un ripristino provato. Su un server la logica è la stessa (Windows Server Backup, wbadmin, o un agente): destinazione diversa, versioni, una copia che il server non può bruciare da solo.

Linux: rsync o restic, a livello di concetto

Su Linux non ti serve un prodotto con il logo. Ti serve un job ripetibile e una destinazione che non sia la stessa partizione.

rsync: copia incrementale, una destinazione

rsync allinea una cartella sorgente a una destinazione. Copia solo ciò che è cambiato. È chiaro, veloce, ovunque.

# Esempio illustrativo: documenti verso un disco USB montato
rsync -aH --delete --progress \
  /home/utente/Documenti/ \
  /media/utente/backup-usb/Documenti/

--delete rende la destinazione uguale alla sorgente. Utile. Pericoloso se la sorgente è già vuota o cifrata: il job "aggiorna" il backup cancellando i file buoni. Per questo rsync da solo non basta contro il ransomware. Ti serve una seconda destinazione, o snapshot, o un tool con versioni.

restic: repository, versioni, cifratura

restic scrive snapshot in un repository. Locale, SFTP, o object storage. I dati sono cifrati. Puoi tornare a uno snapshot di martedì senza sovrascrivere quello di lunedì.

# Esempio illustrativo: init una tantum, poi backup
restic -r /mnt/backup/restic-repo init
restic -r /mnt/backup/restic-repo backup ~/Documenti ~/Progetti
restic -r /mnt/backup/restic-repo snapshots

Il repository su object storage chiude il "fuori sede". Il repository su un disco che stacchi chiude l'isolamento. I due insieme sono il 3-2-1 fatto in casa.

La password del repository restic è parte del backup. Se la perdi, i bit ci sono e non li leggi. Conservala nel password manager, non in un file password.txt accanto al repo.

La differenza che conta: copia a specchio (rsync, robocopy) contro snapshot versionati (restic o un software commerciale). Contro il ransomware vuoi gli snapshot.

Isolamento: il ransomware non deve trovare il volume

Isolamento non è un prodotto. È una lista di no.

Nessuna share di backup montata in permanenza sui PC.
Nessun account "Administrator" uguale su PC, NAS e cloud.
MFA sull'account cloud che tiene i bucket.
Job con utente dedicato, privilegi minimi, password lunga e unica.
Disco fisico: attacca, lancia, verifica il log, stacca.
Se il NAS fa snapshot, l'utente di dominio non li cancella.

Se la postazione di lavoro ha le chiavi di tutte le copie, il 3-2-1 è carta. Le credenziali del backup non stanno nel browser dell'impiegato.

Push (dal PC)

Il PC scrive sul NAS o sul cloud
Se il PC è infetto, può scrivere anche la cifratura
Accettabile solo con versioning immutabile in destinazione

Pull (dal NAS o dal server)

Il backup "tira" i file dal PC
Il PC non ha le credenziali della destinazione
Meglio, se puoi farlo

Devi isolare NAS e copie remote senza fermare il lavoro? Parliamone

Il test di ripristino: la parte che nessuno fa

Un job "Completed" nel log non prova nulla. Prova un file. Poi una cartella. Poi, una volta l'anno, un ripristino che fa paura.

Cosa testare, in pratica

Scegli un file che conosci: una fattura, un progetto, un export.
Ripristinalo in una cartella temporanea, non sopra l'originale.
Aprilo. Non basta che "il file ci sia". Deve aprirsi con il programma giusto.
Segna data, quanto ci hai messo, da quale copia hai pescato.
Cancella la cartella temporanea.

Una volta al trimestre, ripristina una cartella intera. Una volta all'anno, simula "il PC non c'è più": nuovo disco o nuovo PC, solo backup.

Il test minimo che vale come prova

Un file singolo, questo mese, da ciascuna destinazione (NAS e offsite)
Una cartella di lavoro, questo trimestre
Un ripristino "da zero" almeno una volta all'anno
Tempo misurato: se ci metti tre giorni, lo scopri ora, non in emergenza
Una riga di diario: data, cosa, esito, chi l'ha fatto

Ripristinare sopra i file originali "per vedere se va" è un modo per distruggere l'unica copia buona. Destinazione temporanea. Sempre.

Se il ripristino dal cloud è lento, lo scopri nel test. Allora tieni il NAS per il giorno dopo, e il cloud per il giorno in cui il NAS non c'è. Questo è il senso di due destinazioni, non un vezzo.

Errori comuni

Ho il cloud. Il sync non è versioning. Cestino corto, stesso account del PC. Un attaccante con la sessione aperta svuota anche quello.
Il NAS è in un altro piano. Stesso edificio, stesso incendio. Fuori sede è un altro indirizzo o un altro provider.
Quando mi ricordo. Non lo fai. Orario fisso. Il disco da staccare sta in calendario.
Il software è caro, quindi funziona. Fallisce in silenzio come quello gratis. Cambia solo la dashboard.
La password del backup sta sul PC. Furto o ransomware se la portano via. Password manager, su un altro dispositivo.

Checklist 3-2-1

Checklist: tre copie che si ripristinano

Elenco scritto di cosa copi (dati di lavoro, non "tutto il disco")
Originale + due backup, su due supporti diversi
Una copia fuori sede (object storage o disco in un altro indirizzo)
Almeno una copia che il PC di lavoro non può cancellare o cifrare
Versioning con ritenzione che copre una scoperta in ritardo
Job automatico, log controllato, non "quando ricordo"
Account di backup diverso da quello quotidiano, MFA sul cloud
Disco esterno staccato dopo il job, se è quella la copia isolata
Ripristino di un file questo mese, in cartella temporanea
Tempo di ripristino annotato; se è inaccettabile, cambi destinazione o frequenza

Se puoi indicare dove sta ciascuna delle tre copie, da quale media ripristini in un'ora, e da quale ripristini se l'ufficio non c'è, hai un 3-2-1. Il resto è manutenzione.

Conclusione

Il 3-2-1 non è un prodotto da comprare. È tre decisioni: quante copie, su cosa, e dove sta quella che sopravvive all'ufficio. La quarta decisione è quella che la gente salta: aprire un file ripristinato prima che serva sul serio.

Parti da poco. Documenti e gestionale. Un disco che stacchi. Un bucket con versioning. Un test questo mese. Poi allarghi. Non aspettare il ransomware per scoprire che il NAS era montato su tutti i PC.

Se l'attacco arriva da una mail, il backup non è la causa. È l'uscita. Chiudi anche l'ingresso: riconoscere il phishing è il pezzo a monte. Per controllare che un archivio non sia stato toccato, il generatore di hash calcola SHA-256 e SHA-512 nel browser. Se vuoi delegare backup e ripristino, c'è backup e disaster recovery.

Vuoi impostare un 3-2-1 che si può ripristinare, non solo "che gira"? Contattaci

Risorse utili (autorevoli):

CISA: Back Up Business Data — regola 3-2-1 per PMI
CISA: #StopRansomware Guide — backup offline, cifrati, testati
restic documentation — snapshot, cifratura, destinazioni
rsync man page — copia incrementale