Secondo il Rapporto Clusit 2026, gli incidenti informatici gravi in Italia sono aumentati del 42% nel 2025. E le PMI non sono al sicuro: sono spesso il bersaglio preferito, proprio perché hanno difese più deboli rispetto alle grandi aziende. Il problema non è solo il ransomware. Un guasto hardware, un incendio, un errore umano bastano a bloccare un'azienda per giorni — o per sempre.

Perché il backup è una questione di sopravvivenza

I dati sono spietati. Secondo stime citate da più fonti specializzate, il 60% delle PMI che perdono tutti i propri dati chiude entro sei mesi. Non è una questione tecnica: è una questione di continuità aziendale.

Eppure, una parte consistente delle PMI italiane non ha ancora un sistema di backup strutturato e testato. Molte non hanno nemmeno un piano di disaster recovery — cioè un piano che risponda alla domanda: se domani mattina perdiamo tutto, come ripartiamo?

La buona notizia è che proteggersi non richiede grandi budget né competenze informatiche avanzate. Richiede metodo. E il metodo più semplice si chiama regola 3-2-1.

La regola 3-2-1: cosa significa in pratica

La regola 3-2-1 è uno standard nato nel mondo della fotografia professionale — dove perdere uno scatto non si recupera — e adottato da decenni nel settore IT. Si spiega in trenta secondi:

  • 3 copie dei tuoi dati: l'originale più due backup separati.
  • 2 supporti diversi: per esempio, un NAS in ufficio e un servizio cloud dedicato al backup.
  • 1 copia fuori sede: almeno una copia deve stare fisicamente altrove rispetto all'ufficio principale.

Il motivo per cui servono supporti diversi è banale: se tieni due copie sullo stesso disco esterno e il disco si rompe, hai perso entrambe. Se tieni tutto in ufficio e c'è un allagamento o un incendio, nessuna copia è al sicuro.

La copia fuori sede — tradizionalmente un nastro o un disco portato in un altro edificio — oggi si implementa quasi sempre tramite cloud. Ma attenzione: quale cloud conta moltissimo.

Il malinteso più comune: il cloud non è un backup

Qui molte PMI commettono un errore che può costare caro.

Microsoft 365 non fa backup dei tuoi dati. Google Workspace nemmeno.

I file su SharePoint, Teams o su un gestionale SaaS sono accessibili e sincronizzati, ma non sono una copia di sicurezza nel senso tecnico del termine. Se cancelli un file per errore e te ne accorgi dopo 30-60 giorni (il periodo di retention tipico di questi servizi), quel file è perso. Per sempre.

Anche i grandi fornitori cloud non sono immuni da guasti fisici. Nell'estate 2026, un incendio in un'infrastruttura di Google Cloud in India ha causato oltre una settimana di disservizi per migliaia di aziende che si affidavano a quell'infrastruttura. Non è uno scenario fantascientifico: è accaduto.

Il punto è questo: il cloud è un'infrastruttura, non una strategia di backup. Usarlo come destinazione di un backup dedicato e strutturato è corretto. Scambiarlo per un backup perché "i file sono online" è un errore.

L'evoluzione: la regola 3-2-1-1-0

Negli ultimi anni, con la diffusione massiccia del ransomware, la regola 3-2-1 si è evoluta. La versione aggiornata si chiama 3-2-1-1-0 e aggiunge due elementi fondamentali:

  • 1 copia immutabile: una copia che non può essere modificata né cancellata, nemmeno da chi ha accesso al sistema — e nemmeno da un ransomware che ha compromesso la rete. In gergo tecnico si parla di backup immutable o WORM (Write Once, Read Many).
  • 0 errori verificati: i backup vanno testati. Un backup non testato non è una garanzia — è una speranza.

La copia immutabile è diventata lo standard minimo consigliato proprio perché il ransomware moderno, una volta dentro una rete, cerca attivamente i backup e li cifra o li cancella prima di colpire i dati principali. Se la tua copia di sicurezza è raggiungibile dalla rete infettata, non è al sicuro.

Il test di ripristino: il passo che quasi nessuno fa

Secondo i dati del Veeam Data Protection Trends 2025, il 37% dei backup fallisce nel momento del ripristino. Le cause sono diverse: supporti corrotti, configurazioni cambiate nel tempo, backup incompleti, tempi di restore molto più lunghi del previsto.

Questo significa che fare il backup non basta. Bisogna verificare che funzioni, prima di averne bisogno.

Come farlo concretamente:

  1. Pianifica un test di ripristino completo almeno ogni tre mesi.
  2. Simula un'emergenza reale: ripristina i dati in un ambiente isolato, non sul sistema di produzione.
  3. Verifica che i dati siano integri e che i tempi di recupero siano accettabili per la tua attività.
  4. Documenta il risultato: se il test fallisce, devi saperlo ora — non durante l'emergenza.

Il test trimestrale non è un lusso da grande azienda. È l'unico modo per sapere se il tuo backup è reale o solo apparente.

Da dove partire se sei una PMI italiana

Non serve partire con una soluzione complessa. Serve partire con qualcosa che funzioni.

Uno schema minimo ragionevole per una PMI di 5-50 persone:

  • Un NAS in ufficio che fa backup automatico giornaliero dei dati critici (server, cartelle condivise, gestionali).
  • Un servizio cloud dedicato al backup — non Dropbox o OneDrive, ma strumenti progettati per questo: Veeam, Acronis, Duplicati, o soluzioni specifiche per il tuo settore.
  • Una copia immutabile su cloud con retention configurata (almeno 30 giorni di versioni storiche).
  • Un test trimestrale documentato, fatto da chi gestisce l'IT — interno o esterno.

Il costo di una configurazione così dipende dalle dimensioni dell'azienda e dalla quantità di dati, ma in molti casi si parla di poche centinaia di euro al mese. Il costo di non averla, in caso di incidente, può essere la chiusura.

Una cosa è certa: nessun sistema di backup è troppo piccolo per essere necessario. E nessuna azienda è troppo piccola per essere colpita.