Sicurezza informatica · Guida
Backup aziendale: la regola 3-2-1 spiegata semplice
Quasi tutte le aziende fanno un backup. Poche sono sicure di poterlo ripristinare quando serve. La regola 3-2-1 è il modo più semplice per impostare una strategia di backup che funzioni davvero, anche contro il ransomware.
A cura del team tecnico Ferruzzi Informatica · Aggiornato il 24 settembre 2026 · 3 min di lettura
In breve
✓ 3 copie dei dati, su 2 supporti diversi, di cui 1 fuori sede.
✓ Almeno una copia deve essere isolata o non modificabile, per resistere al ransomware.
✓ Un backup che non è mai stato ripristinato non è un backup verificato.
✓ Serve anche un piano: cosa si ripristina per primo e in quanto tempo.
Cos'è la regola 3-2-1
• 3 copie dei dati: l'originale più due copie di backup.
• 2 supporti diversi: ad esempio un NAS in ufficio e un servizio cloud.
• 1 copia fuori sede: se l'ufficio subisce un furto, un incendio o un allagamento, i dati sono salvi altrove.
Perché non basta più: il ransomware
Il ransomware cifra i file e spesso cerca anche i backup raggiungibili dalla rete. Se la copia di sicurezza è sempre collegata, rischia di essere cifrata insieme ai dati. Per questo oggi si parla di 3-2-1-1-0: una copia isolata o immutabile (che non può essere modificata o cancellata) e zero errori nelle verifiche di ripristino.
Cosa includere nel backup
• File e cartelle condivise.
• Database e gestionali.
• Posta elettronica, anche su Microsoft 365.
• Configurazioni di server, firewall e apparati di rete.
• Macchine virtuali e server interi, per ripartire in fretta.
Il consiglio del tecnico
Microsoft 365 non sostituisce il backup: garantisce la disponibilità del servizio, ma la protezione da cancellazioni e attacchi resta in buona parte responsabilità dell'azienda.
Ogni quanto fare il backup
Dipende da quanti dati puoi permetterti di perdere. Se perdere una giornata di lavoro è accettabile, un backup notturno può bastare; per dati che cambiano continuamente servono copie più frequenti. Questo valore si chiama RPO (quanti dati posso perdere); il tempo massimo per tornare operativi si chiama RTO.
Il passo che quasi tutti saltano: il test di ripristino
01
Pianifica un test
Ad esempio ogni trimestre, su un campione di file e su un intero server.
02
Ripristina davvero
Verifica che i file si aprano e che i programmi funzionino.
03
Misura il tempo
Quanto ci hai messo? È compatibile con le esigenze dell'azienda?
04
Documenta
Annota esito e problemi: è anche una prova utile in caso di audit, ad esempio per la NIS2.
Domande frequenti
Il backup su un disco esterno è sufficiente?
Da solo no: se il disco resta collegato può essere colpito da un ransomware, e se resta in ufficio non protegge da furti o incendi. È un buon supporto, ma dentro una strategia 3-2-1.
Il cloud è sicuro per i backup?
Sì, se il servizio è affidabile e la copia è protetta da cancellazioni e modifiche. Il cloud è ideale come copia fuori sede.
Ogni quanto va testato il ripristino?
Una verifica periodica, ad esempio trimestrale, e comunque dopo ogni modifica importante all'infrastruttura.
Serve il backup anche per Microsoft 365?
È consigliato: protegge da cancellazioni accidentali, attacchi e account compromessi.
Il tuo backup funzionerebbe davvero?
Verifichiamo la tua strategia di backup e ti proponiamo come renderla affidabile, anche contro il ransomware.
Leggi anche
Altre guide utili.
Sicurezza informatica
NIS2 per le PMI: chi è coinvolto e cosa fare entro ottobre 2026
Leggi l'articolo →Chi scrive
Ferruzzi Informatica Srl offre da oltre trent'anni assistenza hardware e software, reti, sviluppo e tecnologia per eventi ad aziende ed enti pubblici di Roma, provincia e Lazio. È iscritta al Mercato Elettronico della Pubblica Amministrazione (MEPA) e ha sede e laboratorio in Via Carlo Arturo Jemolo 309, Roma.