Risposta breve
Una strategia di backup non si misura dal numero di job completati, ma dalla capacità di ripristinare dati e sistemi quando produzione, credenziali o infrastruttura non sono più affidabili. La regola 3-2-1 del backup fornisce un modello semplice per evitare che un singolo guasto, errore umano, incidente fisico o attacco informatico elimini contemporaneamente dati originali e copie di sicurezza. Il principio classico rimane valido anche in ambienti cloud e ibridi, ma deve essere integrato con immutabilità, isolamento delle credenziali e test di restore. Per questo, negli scenari moderni, viene spesso esteso alla regola 3-2-1-1-0.
Che cos’è la regola 3-2-1 del backup
La regola 3-2-1 stabilisce che un’organizzazione dovrebbe conservare tre copie complessive dei dati, utilizzare almeno due supporti o sistemi di archiviazione differenti e mantenere almeno una copia in una sede separata. Non descrive un prodotto specifico: è un criterio architetturale applicabile a file server, database, macchine virtuali, endpoint, applicazioni SaaS e workload cloud.
Conservare tre copie dei dati
Le tre copie comprendono i dati di produzione e almeno due copie di backup indipendenti. Se un file existe solo sul server operativo e su un unico NAS, l’organizzazione dispone di due copie, non di tre. Le copie devono inoltre avere versioni e retention sufficienti per recuperare dati cancellati o alterati prima che il problema venga rilevato.
Utilizzare due supporti o domini differenti
Le copie non devono dipendere dallo stesso storage, dallo stesso controller, dalle stesse credenziali amministrative o dalla stessa piattaforma. Un esempio coerente può prevedere un backup locale su repository dedicato e una copia su storage cloud separato. Lo scopo è impedire che un singolo guasto tecnico o una singola compromissione renda inutilizzabili tutte le copie.
Mantenere almeno una copia off-site
Almeno una copia deve trovarsi fuori dalla sede principale e fuori dal perimetro fisico interessato da incendio, allagamento, furto, blackout o indisponibilità del data center. Il cloud può soddisfare il requisito off-site solo quando il repository è realmente separato dall’ambiente di produzione e protetto da controlli di accesso indipendenti.
Esempio pratico per una PMI
Dati di produzione su server o Microsoft 365, copia locale o di servizio per restore rapido, copia off-site in cloud con retention e controllo accessi separati. Negli scenari esposti al ransomware, almeno una copia deve essere anche immutabile o non raggiungibile dal dominio compromesso.
Perché la regola 3-2-1 è ancora valida, ma non basta contro il ransomware
La regola tradizionale protegge soprattutto dalla perdita di un supporto o di una sede. Un attaccante ransomware, invece, tenta di individuare repository di backup, console di gestione, account amministrativi, snapshot e copie raggiungibili in rete prima di cifrare i sistemi di produzione. Una copia geograficamente remota può quindi essere distrutta se resta amministrabile con le stesse credenziali compromesse.
La guida StopRansomware di CISA raccomanda backup offline e cifrati, verifica periodica della disponibilità e dell’integrità delle copie e prove delle procedure di ripristino. Il punto non è soltanto conservare più copie, ma assicurarsi che almeno una sopravviva alla compromissione del sistema di produzione e del piano di controllo.
L’evoluzione moderna: la regola 3-2-1-1-0
La versione 3-2-1-1-0 estende il modello classico con due requisiti operativi orientati alla cyber resilience: una copia isolata o immutabile e zero errori verificati nel processo di backup e ripristino.
3 Copie
Dati di produzione più due copie di backup.
2 Supporti o sistemi differenti
Repository separati per tecnologia, amministrazione o dominio di guasto.
1 Copia off-site
Conservata fuori dalla sede o dal data center principale.
1 Copia offline o immutabile
Non modificabile dagli account e dai sistemi compromessi.
0 Errori
Backup monitorati, integrità verificata e restore realmente testati.
La copia off-site e quella immutabile possono coincidere, purché il servizio garantisca separazione amministrativa, retention protetta e impossibilità di alterazione o cancellazione durante il periodo configurato. L’etichetta cloud non implica automaticamente questi requisiti.
I tuoi backup rispettano davvero la regola 3-2-1-1-0?
Nexsys verifica copertura dei workload, retention, separazione delle credenziali, immutabilità, monitoraggio e recuperabilità delle copie.
Cosa non può essere considerato un backup indipendente
Molte configurazioni aumentano la disponibilità o la comodità operativa, ma non costituiscono una copia indipendente ai fini della regola 3-2-1.
RAID e mirroring
Proteggono dalla rottura di un disco, ma replicano cancellazioni, corruzioni e cifrature.
Sincronizzazione cloud
OneDrive, SharePoint, Dropbox o strumenti equivalenti possono propagare modifiche e cancellazioni; versioning e cestino sono controlli utili, ma non sempre sostituiscono una policy di backup.
Snapshot sullo stesso storage
Sono rapidi da ripristinare, ma dipendono dallo stesso sistema e dallo stesso piano amministrativo.
NAS nello stesso dominio
Un repository sempre connesso e gestito con credenziali di dominio può essere raggiunto da un attaccante.
Replica continua
Riduce RPO e RTO, ma può replicare dati cifrati o corrotti. Deve essere affiancata da copie versionate e indipendenti.
Ridondanza del provider
Più copie fisiche gestite dallo stesso servizio migliorano la disponibilità, ma non garantiscono necessariamente indipendenza logica, retention o recupero da errori amministrativi.
Come applicare la strategia 3-2-1 nei diversi ambienti
Server, macchine virtuali e database
I sistemi on-premises richiedono copie coerenti delle applicazioni, retention differenziata e almeno un repository non dipendente dal dominio di produzione. Per database e applicazioni transazionali non basta copiare i file: occorre garantire application consistency, gestione dei log e possibilità di ripristino a un punto temporale compatibile con l’RPO.
Microsoft 365 e applicazioni SaaS
Exchange Online, SharePoint, OneDrive e Teams dispongono di funzionalità native di resilienza, versioning e retention, ma l’organizzazione resta responsabile della protezione delle informazioni e della scelta dei controlli coerenti con i requisiti aziendali. La strategia deve distinguere disponibilità del servizio, conservazione, eDiscovery e backup. L’approfondimento dedicato è disponibile nella guida sul backup di Microsoft 365. Chi preferisce delegare la gestione operativa può valutare il backup gestito di Microsoft 365 con Cove.
Endpoint e lavoro distribuito
Notebook e workstation possono contenere file locali, configurazioni e dati non ancora sincronizzati. La policy deve chiarire quali dati sono coperti, con quale frequenza e con quali procedure di restore, evitando di considerare automaticamente protetto tutto ciò che risiede su un dispositivo gestito.
Workload cloud e infrastrutture ibride
Snapshot nativi, replica tra regioni e servizi di backup cloud devono essere progettati tenendo conto di account, subscription, chiavi, policy di retention e dipendenze applicative. Conservare produzione e copie nello stesso tenant con gli stessi privilegi crea un singolo punto di compromissione amministrativa.
Backup immutabile, air gap e separazione delle credenziali
Un backup immutabile non può essere modificato o cancellato durante il periodo di retention configurato. L’air gap può essere fisico, quando il supporto è disconnesso, oppure logico, quando repository, identità e percorsi amministrativi sono separati dalla produzione. In entrambi i casi, la protezione deve essere verificata anche contro la compromissione di account privilegiati.
I controlli minimi comprendono MFA per gli amministratori, ruoli separati, credenziali non condivise con Active Directory, protezione dalla cancellazione, cifratura, logging delle operazioni e procedure controllate per modificare retention o disattivare il servizio. Per ambienti distribuiti, il modello Data Protection as a Service consente di integrare backup, immutabilità, monitoraggio e ripristino in un servizio gestito.
Dalla copia al processo di Data Protection
Proteggi Microsoft 365, endpoint, server virtuali e workload cloud con policy, immutabilità, monitoraggio e ripristino gestiti.
Test di restore, RPO e RTO: il significato dello zero
Un job completato senza errori dimostra che il software ha scritto dei dati nel repository; non dimostra che l’azienda possa recuperare il servizio entro tempi accettabili. Lo zero della regola 3-2-1-1-0 richiede verifiche automatiche, monitoraggio degli alert e prove di ripristino documentate.
RPO - Recovery Point Objective
Quantità massima di dati che l’organizzazione può accettare di perdere, espressa come intervallo temporale.
RTO - Recovery Time Objective
Tempo massimo entro il quale sistema, applicazione o processo devono tornare operativi.
RPO e RTO non devono essere definiti dal software di backup, ma dalla criticità dei processi. Una Business Impact Analysis consente di collegare tempi di fermo, perdita dati, dipendenze e priorità di ripristino. Il piano di test deve includere restore granulari, ripristino di sistemi completi, verifica applicativa, misurazione dei tempi effettivi e registrazione degli esiti.
Il NIST inquadra il contingency planning come strategia coordinata di procedure e misure tecniche per recuperare sistemi, operazioni e dati dopo un’interruzione. Il backup è quindi una componente del piano, non il piano completo.
Regola 3-2-1 e obblighi NIS2 su continuità e ripristino
La Direttiva NIS2 e il D.Lgs. 138/2024 richiedono ai soggetti in perimetro misure di gestione del backup, ripristino in caso di disastro e continuità operativa, insieme alla capacità di dimostrarle: policy, RPO e RTO documentati, evidenze dei test di restore e log delle operazioni. Una strategia 3-2-1-1-0 non è quindi solo una buona pratica tecnica, ma la base documentale di quella misura.
Il tema riguarda anche le aziende non direttamente obbligate: chi fornisce servizi a un soggetto NIS riceve oggi questionari e clausole contrattuali che chiedono proprio retention, immutabilità e tempi di ripristino. Per il quadro di obblighi e scadenze è disponibile la guida NIS2 per le PMI.
Devi dimostrare backup e ripristino a un cliente o all’autorità?
Scarica la checklist operativa in 7 step e forma chi deve applicarla: obblighi, misure tecniche ed evidenze richieste in audit.
Regola 3-2-1 e ransomware recovery
La presenza di copie integre è una condizione necessaria, ma non sufficiente, per il recupero dopo un ransomware. Prima del restore occorre identificare il punto di ingresso, eliminare persistenze, valutare le credenziali compromesse, selezionare una versione pulita dei dati e ripristinare in un ambiente bonificato o isolato.
La guida completa al ransomware approfondisce prevenzione e risposta; il servizio di ransomware recovery copre invece lo scenario specialistico post-attacco, comprendendo triage, analisi, bonifica e ripristino controllato. Per le prime 24 ore dopo la scoperta di un attacco è disponibile il protocollo di emergenza T24.
Backup, disaster recovery e business continuity non sono equivalenti
Il backup conserva copie recuperabili dei dati. Il disaster recovery definisce infrastrutture, dipendenze, priorità, procedure, RPO e RTO necessari per ripristinare sistemi e servizi. L’alta disponibilità riduce l’interruzione in caso di guasto, ma può replicare errori e compromissioni. La business continuity comprende anche persone, sedi, fornitori, comunicazioni e procedure operative alternative.
Nessuno di questi controlli sostituisce incident response, hardening o monitoraggio di sicurezza. Una strategia efficace li integra, mantenendo distinti obiettivi, responsabilità e criteri di verifica.
Checklist per verificare una strategia di backup 3-2-1-1-0
Inventario dei workload
Inventariare dati, applicazioni, configurazioni e workload SaaS da proteggere.
Criticità, RPO e RTO
Classificare criticità, dipendenze, RPO e RTO sulla base dell’impatto business.
Tre copie complessive
Verificare l’esistenza di tre copie complessive, compresi i dati di produzione.
Repository separati
Separare almeno due repository per tecnologia, amministrazione o dominio di guasto.
Copia off-site
Mantenere almeno una copia off-site rispetto alla sede o al data center principale.
Immutabilità e isolamento
Proteggere almeno una copia con immutabilità, air gap o isolamento equivalente.
Account amministrativi protetti
Separare gli account amministrativi del backup dal dominio e dalla produzione, applicando MFA e least privilege.
Cifratura e retention
Definire cifratura, retention, versioning, logging e protezione dalla cancellazione.
Monitoraggio continuo
Monitorare job, capacità, anomalie e scadenze con responsabilità ed escalation definite.
Test di ripristino
Eseguire restore test documentati e confrontare i risultati con RPO e RTO concordati.
Valutare la strategia di backup con Nexsys
Nexsys analizza la copertura dei sistemi aziendali, verifica policy, retention, segregazione degli accessi, immutabilità e risultati dei test di restore. L’output consente di distinguere i gap tecnici dalle carenze procedurali e di definire una roadmap coerente con rischio, budget e requisiti di continuità operativa.
Il servizio di backup aziendale comprende progettazione, controllo continuativo dei job e supporto al ripristino. Per un modello cloud-native e multi-workload è disponibile la Data Protection as a Service.
Trasforma il backup in una capacità di ripristino verificata
Richiedi un assessment della strategia 3-2-1-1-0: copertura, isolamento, immutabilità, RPO/RTO e restore test.
Domande frequenti sulla regola 3-2-1 backup
Che cosa significa la regola 3-2-1 del backup?
Significa conservare tre copie complessive dei dati, utilizzare almeno due supporti o sistemi di archiviazione differenti e mantenere almeno una copia off-site rispetto alla sede o al data center principale.
Qual è la differenza tra 3-2-1 e 3-2-1-1-0?
La versione 3-2-1-1-0 aggiunge una copia offline, air-gapped o immutabile e richiede zero errori verificati tramite monitoraggio, controllo dell’integrità e test di ripristino.
Un NAS è sufficiente per rispettare la regola 3-2-1?
No. Un NAS può essere uno dei repository, ma se resta sempre connesso alla rete e usa le stesse credenziali del dominio può essere compromesso insieme ai sistemi di produzione. Servono ulteriori copie indipendenti e almeno una off-site.
RAID e replica possono sostituire il backup?
No. RAID e replica migliorano disponibilità e tempi di recupero, ma possono propagare cancellazioni, corruzioni e cifrature. Devono essere affiancati da copie versionate, separate e recuperabili.
Il cloud soddisfa automaticamente il requisito off-site?
Solo se il repository è realmente separato dalla produzione, utilizza identità e privilegi distinti e dispone di retention e protezioni contro modifica o cancellazione. Salvare dati nello stesso tenant con gli stessi account non elimina il rischio amministrativo.
Microsoft 365 esegue automaticamente un backup completo dei dati aziendali?
Microsoft 365 offre resilienza, versioning, retention e funzionalità di recupero, ma l’organizzazione deve valutare se copertura, tempi, granularità e conservazione soddisfano i requisiti aziendali. Retention, eDiscovery e backup hanno finalità differenti.
Con quale frequenza devono essere testati i restore?
La frequenza dipende da criticità, RPO, RTO e velocità di cambiamento dell’ambiente. I workload critici richiedono verifiche più frequenti. Ogni test deve misurare tempi, integrità dei dati e funzionamento dell’applicazione ripristinata.
La regola 3-2-1 è obbligatoria per la NIS2?
La normativa non impone la formula 3-2-1 in quanto tale: richiede misure di backup, ripristino e continuità operativa proporzionate al rischio, con evidenze documentali. La regola 3-2-1-1-0 è il modo più diretto per soddisfare e dimostrare quel requisito.
La regola 3-2-1 garantisce il disaster recovery?
No. Garantisce una base solida per la disponibilità delle copie. Il disaster recovery richiede anche infrastruttura di destinazione, ordine di ripristino, dipendenze, runbook, responsabilità, comunicazioni e test end-to-end.