La soluzione di backup 3-2-1 prevede tre copie dei dati, utilizzando almeno due tipi di supporto diversi, con almeno una copia conservata al di fuori del sito o disconnessa dalla rete. Se un ransomware cifra i file e anche il backup connesso alla stessa rete, la copia esterna permette di ripristinare i dati senza pagare il riscatto. In assenza di una copia recuperabile, la risposta richiede la valutazione di altre fonti di recupero e l'assistenza specialistica; pagare non garantisce il recupero dei dati.
Pubblicato il 25 giugno 2026. Revisione editoriale: 29 settembre 2026. I prezzi sono indicativi netti; verifica la disponibilità in una proposta.
Il giorno in cui un ransomware attacca, l'azienda si rende conto attraverso uno schermo: i file hanno un'estensione nuova e un messaggio richiede un pagamento in criptovaluta per recuperarli. La prima cosa che controlla qualsiasi tecnico è il backup. E lì si scopre se l'azienda aveva un vero backup o solo una copia che viveva sulla stessa rete, cifrata insieme a tutto il resto.
Qual è la situazione quando un ransomware entra in un sistema?
Un ransomware non si limita ad attaccare solo la cartella condivisa: esplora dischi collegati, unità di rete e, qualora ne trovi credenziali valide, interi server. Una risposta efficace combina prevenzione, rilevamento, contenimento e ripristino. I backup isolati e i test di ripristino sono una parte essenziale: permettono di valutare quali dati possono essere recuperati senza dipendere dall'attaccante.
La regola 3-2-1, spiegata in modo semplice, senza tecnicismi.
La regola è semplice da dire e facile da ignorare.
- Tre copie Per ogni dato importante: l'originale più due copie di backup.
- Due prospettive diverseAd esempio, un disco locale e un servizio cloud. La diversificazione riduce i problemi comuni; inoltre, le copie devono essere presenti su dispositivi o posizioni indipendenti. L'utilizzo di dischi dello stesso tipo non implica necessariamente che tutti fallino contemporaneamente.
- Una copia al di fuori del sito.In una posizione indipendente, si necessita anche di isolamento, controlli di accesso o immutabilità per resistere al ransomware; essere fuori dagli ambienti non è sufficiente.
Il punto che quasi nessuno rispetta è il terzo. È comune trovare un disco esterno collegato permanentemente allo stesso server, il che tecnicamente rappresenta una seconda copia, ma non viene considerato “fuori dalla rete”: se il server viene infettato, anche il disco esterno può diventare vulnerabile.
L'errore che si ripete più frequentemente.
In più di una revisione, abbiamo riscontrato lo stesso schema: il backup automatico, configurato anni fa, che punta a una cartella condivisa nello stesso dominio di Windows degli altri computer. Funziona perfettamente per recuperare un file cancellato accidentalmente. Tuttavia, potrebbe fallire di fronte a un ransomware, qualora l'attaccante riuscisse ad accedervi con i permessi necessari.
Quanto costa farlo bene.
| Componente | Cosa risolve | Costo di riferimento |
|---|---|---|
| Backup locale (NAS o disco) | Recuperazione rapida di file cancellati o danneggiati | Costo dell'attrezzatura, una tantum. |
| Backup nel cloud, isolamento. | Una unità esterna dotata di controlli di accesso, isolamento o immutabilità. | A partire da $25.000 al mese per 250 GB |
| Verifica periodica di restauro | Verificare che il supporto sia effettivamente utile, non solo che esista. | Incluso nel servizio di sicurezza informatica gestito |
| EDR (protezione dei dispositivi) | Rilevare attività sospetta e contribuire a contenerla. | A partire da $4.500 € al mese per equipaggio. |
Nessuna di queste quattro strategie sostituisce le altre. L'EDR riduce la probabilità che un attacco abbia successo; il backup 3-2-1 migliora le possibilità di recupero delle informazioni; l'integrità e il tempo di recupero devono essere verificati.
Come si verifica realmente
Verificare che il file esista, ma piuttosto testare la sua integrità e funzionalità. .bak Es un backup che esiste e che ha il peso previsto. Consiste nel ripristinarlo in un ambiente separato e nel verificare che si apra correttamente, che i dati siano completi e che l'intero processo, dalla decisione di ripristino al ripristino completo del sistema, richieda un tempo che l'azienda può accettare. Questo test trimestrale è ciò che distingue un backup reale da una semplice cartella con buone intenzioni.
Due domande distinguono un test reale da un test per la procedura. La prima: ¿la restauración è stata effettuata su un dispositivo diverso da quello che ha generato il backup, o sullo stesso server infetto ipoteticamente? Se è stata effettuata sullo stesso sistema, non dimostra nulla contro un ransomware. La seconda: ¿qualcuno ha misurato il tempo impiegato per l'intero processo, dal momento in cui viene presa la decisione di ripristino fino al momento in cui il sistema torna operativo? Non il fatto che "esista un backup", ma il numero di tempo, è quello che bisogna essere in grado di fornire prima che si verifichi un incidente, non durante.
Quale non viene considerato come la terza copia
È utile menzionare gli errori più comuni, perché possono sembrare un backup 3-2-1, ma non lo sono: un disco esterno collegato permanentemente al server (che è crittografato come al solito), una cartella sincronizzata con un servizio cloud ma senza controllo delle versioni (il ransomware sincronizza anche i file crittografati, sovrascrivendo quelli corretti), o un backup che viene effettuato ma non viene controllato per verificare se è stato eseguito correttamente (molti vengono eseguiti con errori silenziosi per mesi). La terza copia reale è disconnessa dalla rete per impostazione predefinita, oppure versiona i file in modo che una versione precedente all'infezione rimanga disponibile e non possa essere eliminata dalle stesse credenziali compromesse.
Cosa fare se è già successo.
Disconnettere il dispositivo interessato dalla rete immediatamente, senza spegnerlo (per non perdere le prove), e non pagare il riscatto come prima azione: in molti casi, il pagamento non garantisce il recupero del 100% dei dati. Con una strategia di backup 3-2-1 attiva, il ripristino da una copia isolata è solitamente più rapido ed economico rispetto a qualsiasi negoziazione. Se la vostra azienda non dispone di questa terza copia, il primo passo ragionevole è una revisione… cybersecurity Prima che sia necessario, non dopo.
Riferimento tecnico
La Guida StopRansomware di CISA Si si raccomanda di conservare copie di backup crittografate offline e di verificare la loro disponibilità e integrità. La possibilità di recupero dipende anche dall'entità dell'incidente e dallo stato dei sistemi.
Domande frequenti
Cosa significa esattamente 3-2-1?
Tre copie dei dati, in due tipi di supporto diversi (ad esempio, disco locale e cloud), con almeno una copia al di fuori della sede o disconnessa dalla rete principale.
Perché un semplice backup sulla stessa rete non è sufficiente?
Poiché un ransomware che entra in una rete cifra anche i backup connessi. Se l'unica copia del backup si trova sullo stesso server o in una cartella condivisa, viene persa insieme a tutto il resto.
Quanto spesso bisogna verificare il backup?
Con una vera procedura di recupero, non limitandosi a verificare l'esistenza del file almeno una volta ogni trimestre. Un backup che non è mai stato ripristinato è solo un'ipotesi, non un backup.
Quanto costa una soluzione di backup nel cloud per una piccola impresa?
Da $25.000 al mese per 250 GB nel servizio di cybersicurezza di Ditap Tecnología. Il prezzo varia in base al volume di dati e alla frequenza delle copie.
