Strategia di backup cloud: una guida completa

Il GDPR, all'articolo 32, impone misure tecniche per garantire la disponibilità e la resilienza dei sistemi di trattamento — e un backup cloud senza test di ripristino non costituisce una misura adeguata. Una strategia di backup cloud funzionante segue la regola 3-2-1: tre copie dei dati, su due tipi di supporto diversi, con una copia fuori sede — in pratica un primario (storage di produzione), un backup locale (NAS o disco esterno), e almeno un livello cloud (Backblaze B2, AWS S3 Glacier Deep Archive o Wasabi). Aggiungi l'immutabilità tramite object lock, cifra lato client con AES-256-GCM prima dell'upload, automatizza nottetempo tramite restic o Borg, e — questo è il passaggio che la maggior parte dei team salta — testa un ripristino completo ogni trimestre. Senza un ripristino testato, hai speranza, non un backup.

Perché la 3-2-1 regge ancora nel 2026

La 3-2-1 risale alla fotografia su pellicola, ma la matematica non è cambiata. Tre copie offrono ridondanza sufficiente affinché qualsiasi singolo guasto (crash del disco, ransomware, rm -rf accidentale) lasci due copie intatte. Due tipi di supporto coprono i guasti sistematici — una cattiva versione del firmware che blocca un intero modello di SSD, o un'interruzione della regione di un provider cloud. Fuori sede protegge dall'evento a livello di edificio: incendio, alluvione, furto o il camion del trasloco che colpisce il tuo rack.

Esistono varianti modernizzate. La 3-2-1-1-0 aggiunge una copia immutabile e richiede zero errori nei test di ripristino. La 4-3-2 (usata da molti MSP) mantiene quattro copie e due vendor cloud. Scegli una, documentala e rispettala. Il numero specifico conta meno della disciplina.

Scegliere i livelli di storage per costi vs. velocità di recupero

I provider cloud offrono classi di storage a prezzi molto diversi:

| Livello | Costo per GB/mese | Latenza primo byte | Costo egress | |---------|-------------------|---------------------|--------------| | S3 Standard | $0,023 | millisecondi | $0,09/GB | | S3 Glacier Instant | $0,004 | millisecondi | $0,03/GB | | S3 Glacier Flexible | $0,0036 | 3-5 minuti | $0,02/GB | | S3 Glacier Deep Archive | $0,00099 | 12 ore | $0,02/GB | | Backblaze B2 | $0,006 | millisecondi | $0,01/GB | | Wasabi | $0,0069 | millisecondi | gratuito (fino a 1x archiviato/mese) | | Cloudflare R2 | $0,015 | millisecondi | gratuito |

Per il backup specificamente, Glacier Deep Archive raggiunge circa 1 $ per TB al mese, ma la latenza di ripristino significa che non puoi usarlo per "ho cancellato il file di ieri per errore". Un approccio a due livelli funziona meglio: backup recenti in un livello caldo (B2 o R2), più vecchi di 30 giorni su lifecycle verso Glacier Deep Archive.

La regola 3-2-1 in termini concreti

Uno stack di esempio per un working set di 2 TB:

Produzione: laptop, server, dati SaaS (copia primaria)
Locale: NAS con ZFS e snapshot, 4 TB utilizzabili, mirroring settimanale su un disco USB esterno in una cassaforte ignifuga
Cloud caldo: bucket Backblaze B2 con restic, incrementale notturno, retention di 90 giorni a circa 12 $/mese per 2 TB
Cloud freddo: S3 Glacier Deep Archive tramite lifecycle policy, snapshot annuali, retention di 7 anni a circa 24 $/anno per 2 TB

Costo mensile totale: meno di 20 $ per copertura 3-2-1 completa con una storia di sette anni. Meno costoso di un singolo laptop sostitutivo.

Automatizzare i backup con strumenti che non ti mordono

Restic è la scelta de facto per i backup incrementali cifrati su object storage. Deduplica, comprime, cifra con AES-256-CTR più Poly1305, e supporta B2, S3, Azure, GCS e SFTP nativamente:

restic -r b2:hexa-backups:production init
restic -r b2:hexa-backups:production backup /var/data \
  --exclude-file=/etc/restic/exclude.txt \
  --tag nightly
restic -r b2:hexa-backups:production forget \
  --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune

Eseguilo nottetempo tramite systemd timer o cron, con la password del repository in un file leggibile solo da root. Borg Backup è un'ottima alternativa, particolarmente se hai bisogno del supporto per repository locali; Kopia è più recente e ha un'interfaccia più amichevole.

Per le workstation Windows, Duplicati o il File History integrato di Windows più un target cloud copre le basi. Per Mac, Time Machine su un NAS locale più Arq Backup su Backblaze B2 è una combinazione collaudata.

Rendere i backup immutabili contro il ransomware

Il ransomware che cifra i tuoi dati di produzione proverà a cifrare anche i tuoi backup. L'object lock lo impedisce. Sia AWS S3 che Backblaze B2 supportano la "compliance mode" dove nemmeno l'account root può eliminare gli oggetti fino alla scadenza del periodo di retention:

aws s3api put-object-lock-configuration \
  --bucket backup-immutable \
  --object-lock-configuration '{
    "ObjectLockEnabled":"Enabled",
    "Rule":{"DefaultRetention":{"Mode":"COMPLIANCE","Days":30}}
  }'

Per 30 giorni dopo l'upload, nessuno — compresi gli amministratori compromessi — può eliminare il backup. Combina questo con il versioning, MFA-delete, e un ruolo IAM che può scrivere ma non sovrascrivere, e hai chiuso il percorso dominante del ransomware.

Cifrare lato client prima dell'upload

Anche con la crittografia lato provider (SSE-KMS), il tuo vendor cloud detiene le chiavi, il che significa che le richieste di subpoena possono imporre la decifratura. Per i dati sensibili, cifra prima che i byte lascino la tua rete. Restic lo fa automaticamente; per i file ad hoc, age è una buona scelta:

age -r age1xyz... -o archivio.tar.gz.age archivio.tar.gz
aws s3 cp archivio.tar.gz.age s3://backups/

Memorizza la chiave privata age in 1Password o in una chiave di sicurezza hardware come YubiKey. Fai il backup della chiave stessa su carta, cifrata con una passphrase, in una cassetta di sicurezza. Una chiave di crittografia persa è catastrofica quanto i dati persi.

Il test di ripristino è il backup

Ogni trimestre, scegli un file o un server casuale e ripristinalo end-to-end in un ambiente pulito. Misura:

RTO (recovery time objective): dalla decisione al ripristino
RPO (recovery point objective): quanti dati sono stati persi (ore, giorni)
Integrità: i byte ripristinati corrispondono all'hash originale?

Un esempio reale: un team che eseguiva backup notturni su S3 Glacier Deep Archive ha scoperto durante il primo test di ripristino che la predisposizione dei permessi di ripristino più l'attesa delle 12 ore di recupero portavano l'RTO a 18 ore quando il business ne richiedeva 4. Hanno spostato la retention attiva su Glacier Flexible (recupero in 3-5 minuti) e hanno mantenuto Deep Archive solo per la storia di conformità. Quel test li ha salvati dall'imparare la lezione durante un incidente reale.

Requisiti di retention normativi

Molti framework specificano la retention minima. Il GDPR non fissa un numero specifico ma impone di conservare i dati solo per il tempo necessario agli scopi dichiarati. La normativa italiana implementata dal Garante per la protezione dei dati personali prevede:

GDPR: nessun numero fisso; conserva solo per il tempo necessario agli scopi dichiarati
HIPAA: 6 anni per log di audit e policy
SOX: 7 anni per i record finanziari
PCI DSS 4.0: 1 anno per i trail di audit, 3 mesi "immediatamente disponibili"

Etichetta i backup con i metadati di retention e applica tramite lifecycle policy affinché non conservi i dati più a lungo del necessario (un problema GDPR) né meno del necessario (un problema SOX).

Monitoraggio e avvisi

I backup che falliscono silenziosamente sono peggio di nessun backup. Ogni job restic o Borg deve emettere metriche: durata, byte trasferiti, file modificati, successo/errore. Invia a Prometheus, Datadog o un log cron semplice monitorato da uno strumento Dead Man's Snitch che avvisa quando il heartbeat atteso non arriva. Il caso di errore da rilevare è "i backup sono rotti da 90 giorni e nessuno se ne è accorto."

Avvisa su: errore del job, job saltato, corruzione del repository (restic check), variazione di dimensione insolita (perdita di dati o crescita inattesa), e test di ripristino fallito.

HexaTransfer non è uno strumento di backup — è per trasferimenti cifrati una tantum — ma gli stessi principi di crittografia end-to-end si applicano quando si invia un archivio di backup a un collega. Prova su https://hexatransfer.com — gratuito, senza account, massimo 10 GB.

Dalla strategia alla disciplina

Una strategia di backup cloud vive o muore per la disciplina più che per l'architettura. Esecuzioni notturne, test di ripristino trimestrali, revisioni annuali del runbook, retention immutabile e crittografia lato client non sono glamour, ma fanno la differenza tra "avevamo un backup" e "avevamo un ripristino". Scrivi quello che fai, automatizza quello che puoi, testa quello che non puoi automatizzare, e mantieni il costo mensile totale abbastanza basso da non far mai sorgere domande in finanza.