Un backup conta solo quando può ripristinare ciò che serve, nei tempi utili.
Avere copie non equivale ad avere una strategia di recupero. Occorre sapere quali dati e sistemi sono critici, quanto si può perdere, quanto può durare un fermo e chi esegue il ripristino.
Il report “backup completato” non chiude il rischio.
Errori silenziosi, credenziali compromesse, copie raggiungibili dallo stesso ambiente, retention insufficienti e procedure mai provate possono emergere soltanto durante un incidente. La governance del backup collega tecnologia, processo e obiettivi aziendali.
Aree di controllo
- classificazione di sistemi, dati e dipendenze;
- definizione e approvazione di RPO e RTO quando applicabili;
- architettura delle copie e separazione dei domini di rischio;
- retention, versioni, immutabilità o offline secondo necessità;
- cifratura, accessi e responsabilità amministrative;
- monitoraggio degli esiti e gestione delle anomalie;
- test di ripristino documentati;
- procedure, contatti ed escalation;
- copertura di cloud, SaaS, endpoint e configurazioni, non solo server;
- allineamento con business continuity e incident response.
Metodo
- identificare ciò che deve essere recuperato;
- collegarlo a processi e impatto del fermo;
- verificare copertura, retention, accessi e monitoraggio;
- definire test realistici;
- registrare risultati, lacune e azioni correttive;
- riesaminare la strategia dopo nuovi sistemi o cambiamenti.
Output
- matrice sistemi/dati e strategia di backup;
- responsabilità e contatti;
- RPO/RTO concordati o decisioni ancora aperte;
- calendario dei test;
- verbali ed evidenze di ripristino;
- registro delle anomalie;
- piano di miglioramento.
Domande frequenti
Fare il backup nel cloud è sufficiente?
“Cloud” descrive una modalità o una destinazione, non garantisce di per sé separazione, retention, sicurezza o ripristinabilità. Questi elementi devono essere verificati.
I servizi SaaS sono già coperti dal fornitore?
Dipende dal servizio e dal contratto. Disponibilità della piattaforma, retention, recupero granulare e responsabilità del cliente vanno verificati caso per caso.
Con quale frequenza va testato il ripristino?
La frequenza deve dipendere da criticità, cambiamenti, obblighi e rischio. È necessario definire un calendario proporzionato e documentare gli esiti.
Backup e disaster recovery sono la stessa cosa?
No. Il backup conserva copie; il disaster recovery descrive come ripristinare sistemi e servizi. Entrambi fanno parte di una più ampia capacità di continuità.