Backup per piccole imprese: la regola 3-2-1 in 20 minuti a settimana

Una piccola impresa è protetta quando conserva tre copie di tutto ciò che serve per lavorare, su due tipi di supporto, con una copia fuori sede e offline, e quando qualcuno ha ripristinato un file da ciascuna copia nell'ultimo mese. È la regola 3-2-1 che raccomanda il National Cyber Security Centre (NCSC): costa circa £10 al mese più un disco da £90, e la routine sta in 20 minuti a settimana. Questa guida mostra cosa copiare, dove tenerlo e come verificarlo.

Molti titolari pensano di essere al sicuro perché il portatile si sincronizza con il cloud. La Cyber Security Breaches Survey del governo, pubblicata nell'aprile 2026, ha rilevato che il 43% delle imprese del Regno Unito ha individuato una violazione o un attacco nell'anno precedente, il 46% tra le piccole aziende, e che il 74% fa il backup su un servizio cloud. Eppure, quando nel 2020 l'attacco ransomware a Tuckers Solicitors ha cifrato 972,191 file, anche i backup dello studio sono stati cifrati, e l'Information Commissioner lo ha multato di £98,000. I backup della piccola impresa falliscono in due modi: la copia si trova sulla stessa rete di ciò che copia, oppure nessuno ha mai provato a ripristinarla.

Di seguito: cosa significa 3-2-1 e chi l'ha coniata, l'elenco di ciò che una piccola impresa deve davvero copiare, le tre copie e quanto costa ciascuna a ottobre 2026, i tempi di conservazione che i vostri strumenti cloud offrono già, il test di ripristino che la maggior parte delle aziende salta e le pratiche che un agente IA può svolgere perché il controllo settimanale avvenga anche quando vi dimenticate.

Come abbiamo valutato

1. Prima le indicazioni ufficiali. Le regole vengono dalla guida dell'NCSC per le piccole organizzazioni, pubblicata il 9 aprile 2026, e dal suo consiglio "Offline backups in an online world", aggiornato a luglio 2026.
2. Statistiche governative. I dati su violazioni e backup provengono dalla Cyber Security Breaches Survey 2025/26 del Department for Science, Innovation and Technology.
3. Casi reali. Le sanzioni dell'ICO, non le storie dell'orrore dei fornitori.
4. Prezzi letti il 24 ottobre 2026 sulle pagine dei fornitori, in sterline dove il fornitore indica sterline.
5. Niente che un'azienda individuale non possa fare. Ogni passaggio funziona con un portatile, un disco esterno e un account cloud consumer.

Cosa significa la regola 3-2-1

Tre copie dei dati, su due tipi diversi di supporto, con una copia fuori sede. Il fotografo Peter Krogh ha coniato l'espressione scrivendo la prima edizione di The DAM Book a metà degli anni 2000, e l'NCSC la formula allo stesso modo: almeno tre copie, su due dispositivi, uno dei quali fuori sede. La variante "3-2-1-1-0" di Veeam aggiunge una copia offline o immutabile e zero errori dopo un ripristino verificato. Per una piccola impresa la versione pratica è questa:

La sincronizzazione non è un backup. Se un file viene cifrato o cancellato sul portatile, la cartella sincronizzata copia fedelmente il danno. La cronologia delle versioni del cloud offre una finestra per annullare, ma è breve e si chiude.

Cosa deve davvero copiare una piccola impresa

Fate l'elenco prima di scegliere gli strumenti. Per la maggior parte delle aziende è più corto di quanto si tema:

• Contabilità e tasse. Fatture, ricevute, estratti conto bancari e il file di contabilità. HMRC si aspetta che i documenti siano conservati per almeno cinque anni dopo la scadenza di presentazione del 31 gennaio, quindi un anno perso è un problema fiscale oltre che amministrativo.
• Archivio clienti. L'esportazione del CRM, l'elenco delle prenotazioni, la mailing list, i contratti firmati e i preventivi.
• Email. Una casella di posta è un documento aziendale. Google Workspace e Microsoft 365 la tengono sui propri server, ma un account chiuso o compromesso se la porta via: esportatela due volte l'anno.
• Il sito web e il negozio. Il database, le immagini dei prodotti, il tema e l'accesso al dominio. La maggior parte degli host conserva backup propri, ma leggete per quanto tempo.
• Foto e progetti grafici. I file del logo, le foto prima e dopo, la grafica delle brochure.
• Password e chiavi. L'esportazione cifrata del gestore di password, i codici di recupero stampati e i codici di backup dell'autenticazione a due fattori, conservati insieme al disco locale e non sul portatile.

Tutto ciò che vi servirebbe per ricostruire l'attività in una settimana è nell'elenco. Tutto ciò che potreste riscaricare da un fornitore no.

Copia uno: la copia di lavoro e cosa offre davvero la sincronizzazione

La cartella sincronizzata nel cloud è già la vostra prima copia ed è meglio di niente. Ogni grande servizio conserva per un po' i file eliminati e le versioni precedenti, e conoscere la finestra conta perché è la differenza tra un annullamento e una perdita:

Lo schema: un mese è il valore predefinito quasi ovunque. Se il ransomware cifra i vostri file un venerdì e ve ne accorgete sei settimane dopo, il servizio di sincronizzazione ha già dimenticato le versioni buone. A questo servono le copie due e tre.

Copia due: il disco esterno che si scollega

Comprate un disco rigido esterno da 2 TB, che i comparatori di prezzi elencavano a circa £85 fino a £100 a ottobre 2026, e lasciate fare il lavoro al sistema operativo. Su Mac, Time Machine è gratuito: collegate il disco e conserva backup orari per 24 ore, giornalieri per un mese e settimanali finché il disco non si riempie, e Apple consiglia un disco grande almeno il doppio della memoria del Mac. Su Windows, File History e gli strumenti di backup integrati fanno lo stesso lavoro.

Poi scollegatelo. La guida dell'NCSC per le piccole organizzazioni dice che il disco di backup non deve restare collegato quando non è in uso, perché il ransomware cifra ogni disco che riesce a vedere, e il caso Tuckers mostra com'è: lo studio non aveva l'autenticazione a più fattori, una patch critica era stata applicata con cinque mesi di ritardo e gli aggressori hanno raggiunto i backup attraverso la stessa rete di tutto il resto.

Tenete il disco in un posto diverso dal portatile. Un cassetto della scrivania protegge da un guasto del portatile; il vano portaoggetti dell'auto o la vostra casa proteggono da uno scasso in ufficio.

Copia tre: fuori sede e automatica

La terza copia dovrebbe avvenire senza di voi. Per una piccola azienda funzionano due strade:

• Un servizio di backup. Backblaze costa $9 al mese o $99 all'anno per dati illimitati da un computer, con 30 giorni di cronologia delle versioni per impostazione predefinita e un anno gratis se lo attivate. Gira in background e potete provare un ripristino dal sito in due minuti.
• Un secondo cloud con una finestra più ampia. iCloud+ da 2 TB costa £8.99 al mese; Dropbox Standard conserva le versioni per 180 giorni; Microsoft 365 per le aziende condivide lo spazio OneDrive per utente. Usatelo per una copia mensile delle cartelle che contano, separata dall'account della sincronizzazione quotidiana.

Proteggete la copia fuori sede con la verifica in due passaggi e una password non riutilizzata altrove. L'NCSC la indica come ultimo passaggio per una ragione: un account di backup che si apre con la stessa password dell'email violata non è fuori sede in alcun senso che conti.

La realtà del ransomware per le aziende con e senza backup

Il rapporto State of Ransomware 2026 di Sophos, un'indagine su 2,158 organizzazioni con da 100 a 5,000 dipendenti condotta tra gennaio e marzo 2026, ha rilevato che il 56% aveva subito la cifratura dei dati in un attacco. Di queste, il 66% ha ripristinato dai backup e il 48% ha pagato un riscatto, con un costo medio di recupero di $1.70 million e una mediana di $375,000. Nel campione del Regno Unito, pubblicato a luglio 2026, la quota di chi paga è scesa dal 54% nel 2025 al 18% nel 2026, mentre la quota di chi ripristina dai backup è salita dal 39% al 78%. Sono aziende più grandi della maggior parte dei lettori di questo blog, ma la direzione è la lezione: le aziende che hanno pagato erano per lo più quelle che non riuscivano a ripristinare.

L'NCSC non incoraggia a pagare. Il suo consiglio è lo stesso per un'azienda di due persone e per un ospedale: tenere backup offline recenti, verificare di poter ripristinare da essi e scansionare il backup prima di ripristinare, per non reinstallare il problema.

Il test di ripristino che nessuno fa

Il rapporto 2025 di Kaseya sui backup, basato su oltre 3,000 professionisti IT, ha rilevato che il 60% credeva di poter ripristinare entro 24 ore ma solo il 35% lo aveva dimostrato, e che solo il 15% testa i backup ogni giorno e il 25% ogni settimana. Una piccola impresa non ha bisogno di test quotidiani. Le serve un test mensile di dieci minuti:

1. Scegliete un file che avete modificato la settimana scorsa. Cancellatelo dal portatile.
2. Ripristinatelo dal disco esterno. Apritelo.
3. Ripristinate dal backup cloud la versione del mese scorso di un secondo file. Apritelo.
4. Annotate la data e l'esito in un registro di una riga.

Se uno dei due passaggi fallisce, il backup non è mai stato un backup. Scoprirlo un martedì tranquillo costa dieci minuti; scoprirlo dopo un furto costa l'azienda.

I 20 minuti a settimana

• Lunedì, 5 minuti. Collegate il disco, lasciate lavorare Time Machine o File History, scollegatelo quando la spia smette di lampeggiare.
• Lunedì, 5 minuti. Aprite il servizio di backup e controllate la data dell'ultima esecuzione riuscita e la dimensione. Un backup che "gira" da tre settimane è un backup che si è fermato.
• Lunedì, 5 minuti. Esportate tutto ciò che vive solo dentro un'app web: l'elenco prenotazioni, i contatti del CRM, gli ordini del negozio. Mettete l'esportazione nella cartella sottoposta a backup.
• Primo lunedì del mese, 5 minuti in più. Il test di ripristino descritto sopra e il controllo che i codici di verifica in due passaggi degli account di backup siano ancora stampati e facili da trovare.

Come un agente IA vi aiuta a rispettare la regola

La parte difficile del 3-2-1 non è la tecnologia. È fare la stessa piccola cosa ogni settimana per anni. È il tipo di lavoro che un agente svolge senza annoiarsi.

• Esegue le esportazioni settimanali. Date all'agente accesso allo strumento di prenotazione, al CRM e al negozio e ogni lunedì scarica le esportazioni nella cartella sottoposta a backup, nominandole con la data. Le automazioni di Jobbit girano secondo un programma senza che dobbiate aprire un portatile.
• Controlla che il backup sia davvero partito. Legge lo stato del servizio di backup e vi dice la data dell'ultima esecuzione riuscita, in un messaggio di una riga, invece che in una dashboard che non aprite mai.
• Tiene il registro dei ripristini. Vi ricorda il primo lunedì, registra l'esito e segnala un mese saltato.
• Scrive il piano di ripristino. Un documento di una pagina: dove si trova ogni copia, quale account la ripristina, chi custodisce i codici, nell'ordine in cui vi servirebbero nel giorno peggiore.
• Sorveglia le finestre di conservazione. Quando Dropbox o Google cambiano una politica, o un abbonamento scade, vi avvisa prima che la finestra si chiuda.
• Prepara la segnalazione se capita il peggio. L'ICO si aspetta una segnalazione della violazione entro 72 ore; l'agente prepara i fatti nel formato dell'autorità mentre voi vi occupate dell'azienda.

ChatGPT, Claude, Gemini, Microsoft Copilot, Manus e Muse di Meta vi spiegheranno i backup e scriveranno una lista di controllo. Quello che non fanno è eseguire la routine del lunedì per un anno. Un agente Jobbit esegue il programma, tiene il registro e, quando il lavoro richiede mani, coinvolge una persona verificata della rete per configurare il disco o recuperare il negozio.

La vostra prima settimana

• Giorno 1: fate l'elenco. Le sei categorie sopra, con la cartella o l'app in cui vive ciascuna.
• Giorno 2: ordinate il disco. 2 TB, di una marca nota, e una busta etichettata per i codici di recupero.
• Giorno 3: attivate la copia fuori sede. Un servizio di backup o un secondo account cloud, verifica in due passaggi attiva, password nel gestore.
• Giorno 4: primo backup locale. Lasciatelo finire, scollegate, riponete.
• Giorno 5: primo test di ripristino. Un file da ciascuna copia, registrato.
• Giorno 7: impostate il promemoria del lunedì, oppure affidate la routine all'agente.

Da leggere dopo

• Best Password & Privacy Tools in 2026 (1Password, Bitwarden, Proton & More)
• AI Scams in 2026: 9 Tricks Aimed at Small Businesses and How to Spot Each One
• 50 AI Automation Ideas for Small Businesses in 2026 (With Examples)

Domande frequenti

Cos'è la regola di backup 3-2-1?

Tre copie dei dati, su due tipi diversi di supporto, con una copia conservata fuori sede. L'NCSC la raccomanda con queste parole. Per una piccola impresa significa la copia di lavoro sul portatile e la sua cartella sincronizzata, una copia settimanale su un disco esterno che poi viene scollegato e una copia automatica con un servizio di backup cloud o un secondo account cloud.

La sincronizzazione cloud come Google Drive o OneDrive è un backup?

Solo in parte. La sincronizzazione copia ogni modifica, comprese una cancellazione o una cifratura, quindi protegge da un portatile perso ma non dal ransomware o da un errore che notate in ritardo. Google Drive conserva i file eliminati per 30 giorni e OneDrive per il lavoro per 93 giorni; dopo, sono persi. Considerate la sincronizzazione come la copia uno e aggiungete le altre due.

Ogni quanto deve fare il backup una piccola impresa?

In modo continuo per la cartella sincronizzata, ogni settimana per il disco esterno e automaticamente ogni giorno per il servizio fuori sede. Provate un ripristino una volta al mese. L'indagine Kaseya 2025 ha rilevato che solo il 35% delle organizzazioni aveva dimostrato di poter ripristinare entro un giorno, contro il 60% che credeva di poterlo fare.

Quanto costa il backup di una piccola impresa?

Circa da £85 a £100 una tantum per un disco esterno da 2 TB, più $9 al mese per Backblaze o £8.99 al mese per 2 TB di iCloud+, ai prezzi di ottobre 2026. Il software di backup del sistema operativo, Time Machine su Mac e File History su Windows, è gratuito.

Devo pagare un riscatto ransomware se non ho un backup?

L'NCSC non incoraggia a pagare, e il pagamento non garantisce che i dati tornino. Nell'indagine Sophos 2026 sul Regno Unito il 78% delle aziende colpite ha ripristinato dai backup e il 18% ha pagato, contro il 54% dell'anno prima. La copia offline su un disco scollegato è l'assicurazione più economica per non dover mai decidere.

Un agente IA può gestire i miei backup?

Può svolgere le parti che vanno fatte ogni settimana: le esportazioni dalle app web, il controllo che il servizio di backup sia stato completato, il promemoria mensile di ripristino e il registro. Un agente Jobbit lo fa secondo un programma, con 100 crediti gratuiti al giorno e senza carta, e chiama una persona verificata quando il lavoro richiede qualcuno in loco.