Se documenti, fatture, contatti o progetti esistono solo sul computer o nell’account di una persona, un guasto può bloccare attività essenziali. Il backup è una copia separata dei dati, pensata per recuperarli dopo una perdita o un incidente; la sincronizzazione, invece, replica le modifiche e può propagare anche cancellazioni o cifrature indesiderate. Per scegliere una soluzione adatta servono priorità chiare, copie protette e prove di ripristino, non soltanto un servizio di archiviazione.
Quali dati devi poter recuperare per primi?
Comincia dai processi, non dai dispositivi. Elenca ciò che serve per emettere fatture, consegnare un servizio, contattare clienti e rispettare gli impegni amministrativi. Potrebbero rientrare documenti contabili, contratti, archivi di progetto, rubriche, database, configurazioni di strumenti e credenziali di emergenza. Distingui i file facilmente ricreabili da quelli insostituibili o necessari per ripartire.
Per ciascun insieme di dati annota chi ne è responsabile, dove si trova, chi può modificarlo e quanto spesso cambia. Includi anche le informazioni conservate fuori dai computer principali: account cloud, portatili, telefoni aziendali e applicazioni in abbonamento. Se i dati servono a capire l’andamento dell’attività, collegare le copie alle successive decisioni operative basate sui dati aiuta a individuare quali archivi sono davvero prioritari. Per altre risorse della rubrica, visita Web e tecnologia.
Due obiettivi rendono più concreta la pianificazione. L’RPO, cioè l’obiettivo di punto di ripristino, indica quante modifiche recenti puoi permetterti di perdere; l’RTO, obiettivo di tempo di ripristino, indica quanto puoi attendere prima di riattivare il servizio. Sono criteri di pianificazione, non soglie legali. Per esempio, una piccola attività potrebbe ipotizzare un RPO di un giorno e un RTO di otto ore per i documenti amministrativi: sono valori illustrativi, da confrontare con le esigenze reali, non standard da applicare automaticamente.
Quali criteri rendono affidabile una copia?
La guida tecnica di ENISA del giugno 2025 descrive la regola 3-2-1 come un riferimento pratico: mantenere 3 copie dei dati contando l’originale, distribuirle su 2 tipi di supporto e conservarne 1 fuori sede. È una raccomandazione organizzativa, non un obbligo di legge né una garanzia assoluta: la configurazione va adattata ai rischi e alle risorse dell’attività. ENISA richiama inoltre la protezione delle copie da modifiche o cancellazioni e la verifica periodica del ripristino (indicazioni tecniche di ENISA sulla gestione del rischio informatico).
Tradotto nella pratica, puoi avere i dati di lavoro, una copia su un supporto locale distinto e una copia in un’altra sede o in un servizio remoto. “Fuori sede” riduce il rischio che incendio, furto o guasto coinvolgano contemporaneamente l’originale e la copia. La diversità dei supporti riduce la dipendenza da un solo dispositivo o fornitore. Non confondere, però, un secondo disco sempre collegato al computer con una copia isolata: se un malware ottiene accesso al sistema, potrebbe raggiungere anche quel disco.
Valuta poi questi aspetti prima di scegliere una soluzione:
- Separazione e accessi: gli account che amministrano i backup dovrebbero essere distinti, protetti e accessibili solo a chi ne ha bisogno. Se possibile, prevedi una copia offline o con protezione contro cancellazioni e modifiche per un periodo definito.
- Cifratura: protegge i dati se un supporto viene perso o un trasferimento intercettato. Conserva le chiavi in modo controllato e assicurati che una persona autorizzata possa recuperarle anche in emergenza.
- Versioni e conservazione: una copia aggiornata non basta se contiene già file corrotti o cifrati. Conservare versioni precedenti può consentire di tornare a uno stato integro; stabilisci per quanto tempo mantenerle tenendo conto di spazio, costi e necessità operative.
- Compatibilità: controlla che i dati siano esportabili e recuperabili senza dipendere da un unico dispositivo o da credenziali non disponibili. Per i servizi cloud, chiarisci chi gestisce copie, conservazione, accessi e ripristino.
- Controlli: verifica registri, avvisi di errore e spazio disponibile. Una copia pianificata ma fallita, incompleta o mai testata non offre una garanzia di recupero.
Disco, servizio remoto o soluzione combinata?
Un disco esterno può essere semplice e rapido per copie locali, ma richiede disciplina: va collegato secondo una procedura, controllato e conservato al sicuro. Se rimane sempre collegato, è più esposto agli incidenti che colpiscono il computer. Un servizio remoto facilita la conservazione fuori sede e può automatizzare attività, ma dipende dalla connessione, dalle impostazioni dell’account, dai costi e dalle condizioni di conservazione offerte. Una soluzione gestita può ridurre il lavoro quotidiano, ma devi comunque conoscere responsabilità, accessi e modalità di uscita o recupero.
Per molti studi e piccole imprese, combinare una copia locale con una copia remota offre una base più resiliente di un’unica destinazione. Non è però una prescrizione universale: una quantità elevata di dati, una connessione lenta, obblighi contrattuali o necessità di riservatezza possono cambiare la scelta. Prima di acquistare o configurare, prova a rispondere a tre domande: quali dati sono inclusi, quanto tempo richiede il ripristino e che cosa succede se perdi l’accesso all’account principale?
Se il backup contiene dati personali, anche la sua gestione rientra nella valutazione della sicurezza e degli accessi. La Commissione europea, nel testo del GDPR su EUR-Lex, indica che le misure devono essere adeguate al rischio e cita la capacità di ripristinare tempestivamente disponibilità e accesso ai dati personali in caso di incidente fisico o tecnico; non prescrive però una particolare marca, un numero fisso di copie o una frequenza uguale per tutte le imprese (articolo 32 del GDPR su EUR-Lex). Per valutare anche gli accessi e la protezione delle informazioni durante l’uso quotidiano, considera le buone pratiche per la privacy online.
Come mettere in piedi il piano senza complicarlo?
- Fai l’inventario. Segna dati, dispositivi, applicazioni e persone responsabili. Verifica che i file importanti non restino solo su un portatile o nell’account personale di un collaboratore.
- Assegna priorità e obiettivi. Stima la perdita di lavoro tollerabile e il tempo massimo per riaprire i processi essenziali. Scrivi valori realistici e motivali: una copia ogni ora può essere superflua per alcuni archivi e insufficiente per altri.
- Scegli destinazioni e accessi. Definisci dove vanno le copie, chi può amministrarle e come proteggerle da furto, modifica o cancellazione. Attiva autenticazione robusta sugli account e conserva le istruzioni di emergenza in un luogo accessibile alle persone autorizzate.
- Imposta frequenze e versioni. Adatta la pianificazione al ritmo di modifica dei dati. Come semplice esempio ipotetico, potresti copiare ogni giorno i documenti di lavoro e conservare versioni settimanali più a lungo; non è un requisito normativo e va verificato rispetto a capacità di archiviazione e rischi.
- Scrivi la procedura di recupero. Indica chi decide, dove trovare le credenziali, quale copia usare e in quale ordine riattivare file e strumenti. La procedura deve essere comprensibile anche se la persona che l’ha configurata non è disponibile.
Le cifre e le frequenze degli esempi sono scelte di pianificazione, non obblighi legali. Separatamente, se un incidente comporta una violazione di dati personali, il GDPR prevede una possibile notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Questa scadenza riguarda la notifica nei casi previsti, non il tempo concesso per fare un backup o un ripristino; la valutazione dipende dalle circostanze e dagli obblighi applicabili, come indica l’articolo 33 del regolamento già citato.
Come controlli che il ripristino funzioni davvero?
Programma prove in un ambiente separato, così un test non sovrascrive il lavoro corrente. Recupera un campione di file da ogni destinazione e controlla che si apra, mantenga contenuti e nomi corretti e sia utilizzabile. Se dipendi da un gestionale o da un database, verifica con chi lo amministra che anche configurazioni e componenti necessari siano inclusi: copiare i documenti non equivale sempre a ripristinare il servizio.
Registra la data, la copia provata, i dati recuperati, il tempo impiegato e gli errori incontrati. Confronta il risultato con i tuoi obiettivi RPO e RTO; se il recupero è più lento o recente del previsto, modifica frequenza, strumenti o istruzioni. Ripeti la prova quando cambi software, account, dispositivi o organizzazione del lavoro, e dopo modifiche sostanziali al piano.
Una checklist essenziale, da tenere aggiornata, comprende: inventario dei dati prioritari, responsabile assegnato, copie in destinazioni distinte, accessi protetti, versioni recuperabili, avvisi di errore controllati, credenziali di emergenza disponibili e ultimo test documentato. Il piano è utile quando una persona autorizzata riesce a seguire questi passaggi anche sotto pressione, senza improvvisare né dipendere da un solo account o dispositivo.
Domande frequenti
Il cloud sincronizzato è sufficiente come backup?
Non necessariamente. La sincronizzazione mantiene file allineati tra dispositivi, ma una cancellazione o una modifica indesiderata può propagarsi. Verifica se il servizio conserva versioni precedenti, per quanto tempo e se consente di recuperare dati cancellati. Per i file essenziali, affianca una copia separata, con accessi distinti e una procedura di ripristino provata.
Con quale frequenza conviene fare il backup?
Dipende da quanto lavoro puoi ricostruire senza danni operativi. Se perdere una giornata di modifiche è inaccettabile, pianifica copie più frequenti dei dati che cambiano spesso; archivi statici possono richiedere aggiornamenti meno ravvicinati. Non esiste una cadenza universale: definiscila in base alla perdita massima tollerabile e controlla che il processo termini correttamente.
Un piccolo professionista deve fare backup per legge?
Non c’è una regola generale che imponga a ogni attività una specifica architettura, frequenza o numero di copie. Se tratti dati personali, il GDPR richiede misure di sicurezza adeguate al rischio e include la capacità di ripristinare tempestivamente disponibilità e accesso ai dati in caso d’incidente. La misura concreta dipende dal trattamento e va valutata nel suo contesto.
Come verifico che una copia sia davvero recuperabile?
Esegui un ripristino di prova in una cartella o in un ambiente separato, senza sovrascrivere i dati di produzione. Apri i file recuperati e controlla che siano completi e leggibili; per un’applicazione, verifica anche accessi e funzioni necessarie. Annota data, esito, durata e problemi, poi correggi la procedura prima che serva durante un’emergenza.