Approfondimento editoriale · fonti ufficialimedium
Backup 3-2-1: la difesa che rende il ransomware sopravvivibile
Contro il ransomware non esiste una singola tecnologia risolutiva, ma esiste una misura che più di tutte decide se un attacco sarà una crisi o una catastrofe: il backup fatto bene. La regola di riferimento, citata da NIST e CISA, resta la 3-2-1 — tre copie, due supporti, una fuori sede — estesa oggi con almeno una copia offline o immutabile e con il test regolare del ripristino. Un approfondimento su cosa raccomandano davvero le linee guida ufficiali, e perché "avere un backup" non basta se non è raggiungibile fuori dalla portata dell'attaccante.
La misura che decide l'esito
Nei dossier su Akira, su Qilin, sull'attacco a Fairlife, torna sempre lo stesso spartiacque: non quanto è sofisticato l'attaccante, ma se la vittima può ripartire senza pagare. È lì che il backup smette di essere un adempimento noioso e diventa la difesa più strategica che un'organizzazione possieda. La #StopRansomware Guide di CISA lo mette nero su bianco: mantenere backup offline e cifrati dei dati critici è tra le prime raccomandazioni per gestire il rischio, e l'obiettivo dichiarato è poter recuperare senza cedere al riscatto.
Il punto di partenza è una regola vecchia e ancora valida, quella che NIST e CISA citano come base: la 3-2-1. Tre copie dei dati, su due tipi di supporto diversi, con almeno una copia conservata fuori sede. È il minimo architetturale, non il traguardo.
Perché "avere un backup" non basta
Il ransomware moderno ha imparato a fare una cosa precisa: prima di cifrare, cerca e distrugge i backup. Se le copie di sicurezza sono raggiungibili dalla stessa rete, con le stesse credenziali, sono altrettanto vulnerabili dei dati che dovrebbero proteggere. Per questo la 3-2-1 è stata estesa: almeno una copia deve essere offline o immutabile. Offline significa fisicamente o logicamente scollegata, fuori dalla portata di un attacco che si propaga in rete; immutabile significa scritta in un formato che non può essere modificato o cancellato per un periodo definito, nemmeno da chi ha le chiavi di amministrazione. È la copia che sopravvive quando tutto il resto viene cifrato.
C'è poi la parte che quasi tutti trascurano, e che le linee guida considerano decisiva: il ripristino provato. Un backup che non è mai stato testato è un'ipotesi, non una garanzia. Le raccomandazioni di CISA insistono sulla verifica periodica della capacità di ripristinare i dati, con un riferimento concreto — essere in grado di recuperare almeno sette giorni di operatività. Il momento per scoprire che un backup è corrotto, incompleto o troppo lento da ripristinare non è durante un attacco.
- 01Copia offline o immutabilefuori dalla portata di chi cifra la rete
- 02Cifratura dei backupi dati protetti anche se le copie vengono rubate
- 03Ripristino testatoprova periodica: almeno sette giorni di operatività
Dal backup al piano di ripristino
Un backup solido è la fondazione, ma da solo non è un piano. La funzione Recover del Cybersecurity Framework del NIST inquadra il resto: sapere quali sistemi ripristinare per primi, in quanto tempo, e con quali dipendenze. Due parametri, in particolare, vanno decisi prima e non durante la crisi — quanto tempo si può restare fermi e quanti dati si è disposti a perdere tornando all'ultima copia buona. Sono le domande che trasformano "abbiamo i backup" in "sappiamo esattamente come ripartiremo".
Una nota di misura, per non vendere certezze che non esistono. Il backup non previene l'attacco né annulla il problema della doppia estorsione: se i dati sono stati anche esfiltrati, poterli ripristinare non impedisce che vengano pubblicati. Il backup risolve la metà della minaccia — la cifratura, il blocco operativo — e va perciò abbinato a tutto il resto: segmentazione della rete, autenticazione forte sugli accessi, patch tempestive. Ma è la metà che decide se un'organizzazione, il giorno dopo, può ancora funzionare. Nella maggior parte degli incidenti che raccontiamo, la differenza tra una brutta settimana e un disastro è stata esattamente questa.
