Cos’è la regola del 3-2-1 per il backup

Per anni, la regola del 3-2-1 è stata considerata una delle strategie più solide per proteggere i dati, tanto da diventare una sorta di linea guida universale per chiunque avesse bisogno di conservare informazioni in modo sicuro. È una regola semplice, nata dall’esperienza di un fotografo, Peter Krogh, che aveva capito prima di tanti altri quanto fosse fragile l’archiviazione digitale.

Secondo questa regola, ogni dato importante dovrebbe sempre esistere in tre copie distinte: una principale (quella che usi quotidianamente) e due copie di sicurezza. Le copie non dovrebbero stare tutte sullo stesso tipo di supporto – ad esempio, non tutte su hard disk esterni – ma almeno su due tecnologie o dispositivi diversi. Infine, è fondamentale che almeno una di queste copie venga conservata in un luogo diverso, lontano fisicamente dal luogo in cui si trovano le altre: in un’altra sede, a casa, o anche nel cloud.

Lo scopo di questa regola era creare una rete di sicurezza per i tuoi dati. In questo modo, anche se un hard disk si rompe, se un virus cancella tutto, o se avviene un incendio o un furto, qualcosa si salva sempre. Era una strategia efficace perché affrontava i rischi principali dell’epoca: guasti hardware, cancellazioni accidentali, eventi catastrofici locali.

Perché oggi il 3-2-1 non basta più

Con il passare degli anni, però, il panorama tecnologico è cambiato in modo profondo. I dati sono diventati molto più numerosi, più distribuiti, e soprattutto molto più esposti a minacce che prima non esistevano, o erano meno gravi.

Uno dei cambiamenti più grandi è stato l’aumento degli attacchi informatici, in particolare quelli da ransomware. Questi software malevoli non si limitano più a colpire i dati “attivi”, ma spesso cercano attivamente anche le copie di backup per renderle inutilizzabili, criptandole o cancellandole. Questo significa che, anche seguendo la regola del 3-2-1, rischi di trovarti con tre copie inutilizzabili se non hai adottato protezioni aggiuntive.

Un altro punto critico è il cloud. Sempre più spesso, le aziende (e anche i privati) usano servizi cloud per archiviare le proprie copie di backup. Questo è comodo e flessibile, ma introduce nuove incognite: ad esempio, non tutti i fornitori garantiscono la reale separazione geografica dei dati, e non sempre è chiaro quanto siano sicure e ridondanti queste soluzioni. Inoltre, il cloud stesso può essere soggetto a vulnerabilità, errori di configurazione o attacchi esterni.

Infine, c’è anche il tema della compliance, ovvero il rispetto di norme e regolamenti (come il GDPR o standard di settore). Oggi molte aziende devono poter dimostrare non solo di aver fatto un backup, ma che quel backup è immutabile (cioè non può essere modificato), testato regolarmente, e accessibile anche in caso di emergenza.

Come si è evoluta la strategia

Per rispondere a tutte queste nuove esigenze, negli ultimi anni la regola del 3-2-1 è stata ampliata e adattata. Sono nate diverse varianti, ognuna pensata per coprire un tipo di rischio aggiuntivo.

Per esempio, la regola 3-2-1-1 aggiunge una copia immutabile dei dati: una copia che, una volta creata, non può più essere modificata o cancellata, nemmeno da un attacco informatico. Altri adottano il concetto di air gapping, cioè tenere una copia completamente disconnessa da internet o da qualunque rete, proprio per evitare che venga attaccata da remoto.

Poi c’è la regola 3-2-1-1-0, che introduce anche l’obbligo di testare periodicamente i backup. Perché un backup che non viene mai controllato può rivelarsi corrotto o inutilizzabile proprio nel momento del bisogno.

Altre varianti, come la 3-2-2 o la 3-1-2, si concentrano invece sulla ridondanza in ambienti cloud, oppure sulla presenza di più copie off-site, in scenari in cui la mobilità o la scalabilità diventano elementi fondamentali.

Quali sono le migliori pratiche per una migliore gestione del backup accanto alla strategia di backup 3-2-1 (o altre)?

• Il backup deve essere eseguito ad intervalli regolari.
• I backup dovrebbero essere automatizzati.
• Il tema dei tipi di supporti di backup deve essere affrontato con preparazione e una ricerca sufficiente.
• La velocità di recupero dovrebbe essere testata regolarmente per correggere gli RTO e gli RPO esistenti, se necessario.
• I dipendenti dovrebbero essere consapevoli delle pratiche di backup esistenti e istruiti su come fare per seguire le regole di base dell’igiene informatica.

Conclusione

In sintesi, la regola del 3-2-1 ha avuto (e ha ancora) un ruolo importantissimo nella protezione dei dati. Tuttavia, il mondo digitale di oggi è molto più ostile rispetto a quello in cui questa regola è nata. Le minacce sono più intelligenti, più aggressive e più rapide, e per questo motivo è stato necessario rafforzare quella strategia, aggiungendo livelli extra di sicurezza.

Per molte realtà, soprattutto aziendali,