Concetto di backup per le PMI svizzere: conservazione, test e prove

Perché «avere un backup» non è ancora un concetto

In una PMI i dati sono più che semplici file: ordini, fatture, progetti, cronologie delle conversazioni, know-how. Se vanno persi o restano indisponibili per giorni, l’attività si ferma. Un servizio di backup efficace non risponde quindi solo alla domanda se si effettuano copie di sicurezza, ma anche a quanto rapidamente e completamente la capacità operativa ritorna dopo un incidente.

Molte aziende eseguono backup, ma senza obiettivi chiari. Decisivi sono il Recovery Time Objective (RTO) – il tempo massimo di indisponibilità di un sistema – e il Recovery Point Objective (RPO) – la perdita di dati accettabile in minuti o ore. Un concetto si orienta su questi valori, non su calendari generici.

Secondo il Cyberstudie 2024, il 68 percento dei fornitori di servizi IT intervistati valuta il rischio di attacchi informatici contro le PMI svizzere come elevato o molto elevato. Chi esegue backup, ma non regola né il riavvio, né la conservazione, né la cancellazione, non ha una risposta a questo rischio, ma solo una soluzione tecnica isolata.

Chiarire prima: cosa deve tornare operativo per primo?

All’inizio c’è un inventario di ciò che è critico per il business: le classiche infrastrutture server e la virtualizzazione, i database, i file service, le applicazioni specifiche del settore, i servizi Microsoft 365 come caselle di posta, OneDrive, SharePoint e Teams, nonché i file elaborati localmente su notebook e workstation. Anche i sistemi NAS e gli archivi di storage ne fanno parte. Da qui deriva la sequenza: cosa deve essere operativo per primo se più sistemi falliscono contemporaneamente?

Questa sequenza viene associata a ogni sistema con RTO e RPO. Per l’applicazione che gestisce l’acquisizione degli ordini valgono tempi di indisponibilità e perdite di dati tollerati diversi rispetto a un server di archivio. I valori sono parametri direttivi: determinano la tecnologia e l’impegno, non viceversa.

Al fabbisogno di protezione appartengono anche postazioni di lavoro sostitutive. Il ripristino più rapido dei dati non serve a nulla se dopo un’interruzione nessuno può lavorare. È quindi necessario chiarire dove servono postazioni sostitutive e quale percorso di riavvio funziona realmente sotto pressione – non quello che sembra coerente solo nella pianificazione tranquilla.

Termini di conservazione come quadro per il backup

L’art. 958f CO impone la conservazione decennale dei libri commerciali, dei documenti contabili, del rapporto annuale e del rapporto di revisione. Il termine inizia con la fine dell’esercizio commerciale. Il rapporto annuale e il rapporto di revisione devono essere conservati in forma scritta e firmata.

I libri commerciali e i documenti contabili possono essere conservati su carta, elettronicamente o in modo comparabile, purché sia garantita la corrispondenza con le operazioni e i fatti sottostanti e possano essere resi leggibili in qualsiasi momento. I dettagli sono regolati dal Consiglio federale nell’Ordinanza sui libri commerciali (OLC).

Sono tenuti alla contabilità le ditte individuali, le società di persone, le persone giuridiche nonché le associazioni e le fondazioni (art. 957 CO). Oltre al CO valgono altre disposizioni, tra cui nel diritto penale, nella Legge sull’imposta sul valore aggiunto e nell’Ordinanza sull’IVA, nella Legge doganale, nelle leggi fiscali, nella Legge sulla protezione dei dati, nell’Ordinanza del registro di commercio e presso le assicurazioni sociali; per assicurazioni, banche e casse pensioni valgono regole aggiuntive.

Secondo una panoramica sulle PMI, inoltre libri cassa, inventari e liste salariali nonché la corrispondenza e i contratti devono essere conservati per dieci anni; il termine inizia con la fine dell’esercizio commerciale in cui il documento è stato creato.

Anche dopo una liquidazione rimane l’obbligo: i libri commerciali di una società cancellata devono essere conservati per dieci anni in un luogo sicuro. Questo luogo viene designato dai liquidatori; se non riescono ad accordarsi, decide l’Ufficio del registro di commercio (art. 747 CO).

Per il backup questo significa: la conservazione non è la stessa cosa del backup. La copia di sicurezza serve al ripristino dopo un incidente, la conservazione alla tracciabilità per dieci anni. Il concetto di backup deve mantenere versioni per lunghi periodi, garantire la corrispondenza con le operazioni commerciali e permettere una cancellazione ordinata allo scadere del termine. I sistemi di conservazione elettronica devono proteggere i dati da perdita, distruzione e accesso non autorizzato; un backup regolare è indispensabile a tal fine.

Termini di conservazione secondo la legge svizzera: confronto per tipologie di documenti

Integrare la protezione dei dati e la logica di cancellazione nel backup

La Legge sulla protezione dei dati (LPD) rivista è entrata in vigore il 1° settembre 2023. Protegge i dati personali di persone fisiche, ad esempio di clienti, collaboratori, candidati e interlocutori presso i partner commerciali; i dati di persone giuridiche non rientrano più in questa categoria. In quasi ogni PMI tali dati personali vengono trattati quotidianamente.

Privacy by Design e by Default richiedono di integrare la protezione dei dati nella scelta e nella configurazione dei sistemi: minimizzazione dei dati, autorizzazioni, registrazione, impostazioni standard sicure nonché una logica di cancellazione e conservazione. Si aggiungono gli obblighi di informazione e i diritti degli interessati: i processi per l’accesso, la rettifica e la cancellazione devono essere pronti prima che arrivi la prima richiesta. Le violazioni della protezione dei dati devono essere notificate.

Il conflitto pratico risiede nella versioning. Se un set di dati viene cancellato nel sistema produttivo, non scompare automaticamente dalle copie di backup; un archivio immutabile rende inoltre più difficile la cancellazione successiva. Le PMI devono quindi stabilire come bilanciare gli obblighi di conservazione e le richieste di cancellazione, chi effettua tale bilanciamento e come una cancellazione su tutte le copie, incluse quelle di archivio, venga documentata in modo tracciabile.

Copie multiple, archivi immutabili e separazione

La diffusa regola 3-2-1 viene integrata nella pratica con due elementi diventando 3-2-1-1-0. Le informazioni critiche per il business esistono almeno in tre copie, su due diversi sistemi di storage, con una copia fuori dalla sede aziendale. Il secondo «1» sta per un backup immutabile (immutable) con carattere di Air-Gap, separato logicamente o fisicamente, in modo che aggressori o configurazioni errate non possano manipolarlo successivamente. Lo zero è un obiettivo di qualità: zero errori negli ultimi test di ripristino.

I repository immutabili impediscono che il ransomware «porti via» anche i backup. Non sostituiscono tuttavia la protezione dell’infrastruttura di backup stessa. Questa fa parte dell’infrastruttura critica: il trasferimento verso la destinazione di backup e l’archiviazione sono cifrati, gli accessi avvengono secondo il principio del Least Privilege e vengono registrati.

L’ambito deriva dall’inventario prioritario: viene registrato ciò che lì è considerato critico per il business – inclusi i servizi per i quali singoli elementi o caselle di posta devono essere ripristinati. I sistemi con peculiarità speciali devono essere considerati senza creare vie eccezionali; l’obiettivo rimane una logica di ripristino uniforme e tracciabile.

Vantaggi e sfide dei backup immutabili

Esercitare il ripristino invece di limitarsi al backup

Un piano di test definisce quali sistemi e dataset vengono testati, con quale cadenza, con quali criteri di successo e chi approva il risultato. Non si verifica solo il ripristino completo dei server, ma anche il ripristino granulare di singole caselle di posta, file o contenuti di SharePoint e Teams – proprio questo tipo di ripristino è spesso richiesto nei casi reali.

Un test fallito è un risultato utilizzabile: mostra quale documento, quale dipendenza o quale autorizzazione manca. Decisivo è che la risoluzione degli errori venga messa per iscritto e che il test venga ripetuto.

Prove che resistono a un controllo

Un fascicolo di prove per un controllo fiscale, una revisione o una richiesta di un cliente contiene il piano di backup con i sistemi registrati e gli RTO e RPO definiti per sistema. Si aggiungono i verbali di test con data, dataset controllati, risultato e approvazione, le risoluzioni degli errori documentate, le responsabilità nonché le regole di conservazione e cancellazione.

Nella misura in cui i documenti rientrano negli obblighi legali di conservazione – in particolare libri commerciali e documenti contabili – essi devono essere conservati per dieci anni dalla fine dell’esercizio commerciale. I documenti soggetti all’obbligo di conservazione devono essere protetti da perdita, distruzione e accesso non autorizzato, in locali di archivio propri o presso un fornitore specializzato in servizi di archiviazione.

Il mancato rispetto degli obblighi di conservazione può comportare multe, problemi durante i controlli fiscali, pagamenti supplementari e conseguenze penali. Le prove non dovrebbero quindi finire come documentazione IT presso l’amministratore di sistema, ma essere gestite in modo tracciabile e versionato.

Lista di controllo: prove per controllo fiscale o revisione

Responsabilità, manutenzione e limiti del concetto

Il concetto ha bisogno di nomi: chi avvia il backup, chi controlla i protocolli, chi esegue i test di ripristino, chi li approva, chi decide sulle cancellazioni. Per i documenti soggetti all’obbligo di conservazione la delega finisce: l’organizzazione e la strutturazione della contabilità rimangono compito inderogabile del consiglio di amministrazione ai sensi dell’art. 716a cpv. 1 n. 3 CO.

Il concetto deve essere mantenuto vivo. Nuovi sistemi, una sede aggiuntiva, un’applicazione esternalizzata o il cambio di un servizio cloud modificano il fabbisogno di protezione e i percorsi di riavvio. Ogni tale modifica deve essere aggiornata nel piano di backup, negli RTO e RPO nonché nel piano di test, altrimenti la documentazione descrive un ambiente che non esiste più.

Una PMI raggiunge i suoi limiti dove la varietà dei sistemi, i volumi di dati e gli obblighi di prova superano il proprio impegno o dove, in caso di emergenza, non è disponibile nessuno che possa effettivamente eseguire il ripristino. I fornitori colmano questa lacuna, tra l’altro, con assessment – ad esempio backup o disaster recovery assessment – nonché con servizi di managed backup. La decisione rimane una questione di concetto: un fornitore di servizi può fornire l’esercizio e le prove, ma non può stabilire quali sistemi devono tornare operativi per primi e quanto a lungo un’interruzione sia tollerabile.

Passi per creare un concetto di backup efficace per le PMI svizzere