Disaster recovery per PMI: piano, RTO, RPO, test di ripristino e costi reali

Un piano di disaster recovery è l'insieme di procedure, strumenti e responsabilità che permette a un'azienda di rimettere in piedi i sistemi dopo un evento grave: un server che non riparte, un ransomware che cifra tutto, un furto, un incendio, un errore umano che cancella il gestionale. Per una PMI non serve un manuale da cento pagine. Servono due numeri decisi con la direzione (RTO e RPO), una copia dei dati che il disastro non può toccare, una procedura scritta che una persona sola riesce a seguire sotto stress e almeno un test di ripristino all'anno. Qui sotto spiego come lo costruisco con i miei clienti, quali alternative esistono, dove sbagliano quasi tutti e quanto costa in modo realistico.

Backup, disaster recovery e continuità operativa non sono la stessa cosa

Molte aziende che incontro mi dicono: abbiamo il backup, quindi siamo coperti. Il backup è una copia dei dati. Il disaster recovery è il piano per tornare a lavorare usando quella copia, su hardware o cloud diversi da quelli colpiti, entro un tempo deciso in anticipo. La continuità operativa è il livello sopra: come l'azienda continua a fatturare, consegnare e rispondere ai clienti mentre l'IT è fermo.

La differenza è pratica. Avere un backup su un NAS nello stesso armadio del server non serve a niente se l'armadio prende fuoco o se il ransomware raggiunge anche il NAS. Avere una copia perfetta in cloud ma nessuno che sa da dove scaricarla, con quali credenziali e su quale macchina installarla, significa stare fermi giorni. Il piano di disaster recovery risponde a queste domande prima che servano.

RTO e RPO: i due numeri da decidere per primi

Prima di parlare di tecnologia faccio sempre decidere alla direzione due valori.

• RTO (Recovery Time Objective): quanto tempo l'azienda può restare senza un sistema prima che il danno diventi serio. Per il gestionale di uno studio commercialista in periodo di dichiarazioni può essere mezza giornata. Per l'archivio fotografico di un'agenzia può essere una settimana.
• RPO (Recovery Point Objective): quanti dati si accetta di perdere, misurati in tempo. Un RPO di 24 ore significa che, nel peggiore dei casi, si perde il lavoro dell'ultima giornata. Un RPO di 15 minuti richiede repliche continue e costa molto di più.

Questi numeri non li decido io. Li decide chi conosce il valore di un'ora di fermo. Il mio compito è spiegare cosa comporta ogni scelta: un RTO di 4 ore con RPO di un'ora su un server fisico richiede una replica pronta altrove, mentre un RTO di 48 ore con RPO di un giorno si ottiene con un backup notturno in cloud e una procedura ben scritta. Spesso, dopo aver visto i costi, l'azienda si accorge che non tutti i sistemi hanno bisogno dello stesso livello: il gestionale sì, il server delle stampanti no.

Un esempio di classificazione

1. Critico: gestionale, posta, cartelle condivise di produzione. RTO 8 ore, RPO 4 ore.
2. Importante: sito web, CRM, archivio documentale. RTO 2 giorni, RPO 24 ore.
3. Secondario: archivi storici, macchine di test. RTO una settimana, RPO una settimana.

Sono valori di esempio, non uno standard. Ogni azienda ha i suoi.

Da dove si parte: inventario e analisi d'impatto

Non si può proteggere ciò che non si conosce. Il primo lavoro, che faccio in una giornata in sede o in videochiamata con chi gestisce l'IT, è un inventario onesto:

• quali server, PC e dispositivi di rete esistono, dove sono e chi ha le password di amministrazione;
• quali applicazioni sono davvero usate ogni giorno e da quante persone;
• dove stanno i dati: server locale, NAS, Microsoft 365, Google Workspace, un gestionale in cloud del fornitore, il PC del titolare;
• quali dipendenze ci sono: il gestionale che si appoggia a un database, il database che vive su una macchina virtuale, la macchina virtuale su un host con dischi di dieci anni;
• quali contratti esistono con i fornitori e cosa promettono davvero sui tempi di ripristino.

Da questo inventario esce l'analisi d'impatto: per ogni sistema, cosa succede se si ferma per un'ora, un giorno, una settimana. Questo esercizio chiarisce dove i soldi vanno spesi. Nelle PMI trovo quasi sempre uno o due sistemi davvero critici e molto rumore intorno.

Le strategie possibili e i loro limiti

Ci sono diverse strade e nessuna è giusta per tutti. Le elenco dalla più semplice alla più costosa.

Backup con copia fuori sede

È la base, obbligatoria anche per chi non fa altro. La regola che applico sempre: tre copie dei dati, su due supporti diversi, di cui una fuori sede e almeno una non modificabile dall'azienda stessa. Quest'ultimo punto è quello che salva dal ransomware: se l'attaccante ha le credenziali del server, deve esistere una copia che nemmeno quelle credenziali possono cancellare (backup immutabile o su account separato con autenticazione a più fattori). Limite: il ripristino richiede un posto dove ricostruire i sistemi e il tempo per farlo. RTO tipico da uno a tre giorni.

Ripristino su cloud

I backup includono le immagini intere delle macchine virtuali e il piano prevede di accenderle su un VPS o su un server dedicato noleggiato al momento. Si paga poco in attesa e si paga il calcolo solo quando serve. Limite: va provato, perché driver, licenze e indirizzi di rete cambiano. RTO tipico da poche ore a un giorno.

Replica continua su un secondo sito

Una copia della macchina virtuale aggiornata ogni pochi minuti su un host in un'altra sede o in cloud, pronta a partire. Limite: costo quasi doppio dell'infrastruttura e manutenzione costante. Ha senso solo per i sistemi con RTO sotto le quattro ore.

Servizi già in cloud

Chi usa Microsoft 365 o Google Workspace ha posta e documenti già distribuiti su più data center. Ma il fornitore non protegge dall'errore umano o dal ransomware che cancella e svuota il cestino: serve comunque un backup separato di posta, OneDrive, SharePoint o Drive, con una conservazione di mesi. Questo punto viene trascurato molto spesso.

Il piano scritto e il test di ripristino

Il piano è un documento breve, stampato e salvato anche fuori dall'azienda, perché se il server è cifrato la copia sul server non si apre. Deve contenere:

• l'elenco dei sistemi con RTO e RPO per ciascuno;
• chi decide di attivare il piano e chi fa ogni passaggio, con i numeri di telefono;
• dove sono i backup, come si accede, dove sono conservate le credenziali (un gestore di password con accesso di emergenza, non un foglio Excel);
• la procedura passo per passo per ricostruire ogni sistema critico, nell'ordine corretto: prima la rete e il dominio, poi il database, poi l'applicazione;
• i contatti dei fornitori: gestionale, connettività, hosting, assicurazione;
• cosa dire a clienti e dipendenti nel frattempo.

Poi il test. Senza test il piano è una speranza. Faccio almeno una volta l'anno un ripristino reale: prendo il backup, lo riporto su una macchina pulita isolata dalla rete e verifico che il gestionale si apra, che i dati siano quelli del giorno previsto e che il tempo impiegato stia dentro l'RTO. Ogni test produce quasi sempre un elenco di correzioni: una password cambiata e non aggiornata, un volume escluso dal backup per sbaglio, un'applicazione che chiede una licenza legata all'hardware vecchio. Meglio scoprirlo un martedì tranquillo che durante l'incidente.

Un caso concreto: azienda meccanica con ransomware

Una piccola azienda di lavorazioni meccaniche in provincia di Varese, una quindicina di persone, mi ha chiamato un lunedì mattina: i file sul server erano tutti cifrati e sul desktop c'era la richiesta di riscatto. Il backup esisteva, su un NAS collegato alla stessa rete. Era cifrato anche quello. L'unica copia sopravvissuta era un disco USB che il titolare portava a casa il venerdì, con dati di tre giorni prima.

Abbiamo isolato la rete, acquisito in modo forense il server per capire la via d'ingresso (un accesso remoto esposto senza autenticazione a più fattori) e ricostruito il gestionale su una macchina virtuale nuova a partire dal disco USB. Hanno perso tre giorni di bolle e preventivi, reinseriti a mano dalle email, e sono stati fermi quattro giorni. Senza quel disco il fermo sarebbe durato settimane.

Dopo l'incidente abbiamo scritto il piano che mancava: backup notturno su cloud con copia immutabile e conservazione di 90 giorni, RTO di un giorno per il gestionale, accesso remoto solo tramite VPN con doppio fattore, un test di ripristino ogni sei mesi. Il costo della consulenza e della configurazione è stato una frazione di quei quattro giorni di fermo.

Errori da evitare

• Backup nello stesso posto del server. Incendio, furto e ransomware colpiscono tutto insieme.
• Nessuna copia immutabile. Se chi entra nel server può cancellare anche il backup, il backup non esiste.
• Fidarsi del messaggio di backup completato senza aprire i file. Un backup che si completa ogni notte può contenere archivi corrotti o cartelle vuote.
• Credenziali in testa a una sola persona. Se è in ferie, o se è proprio lei il problema, il piano si ferma.
• RTO deciso dall'informatico invece che dalla direzione. Il tecnico non sa quanto costa un giorno di fermo in fatturato e penali.
• Dimenticare la posta e i documenti in cloud. Microsoft e Google non fanno il backup al posto tuo con la conservazione che ti serve.
• Piano scritto e mai aggiornato. Ogni nuovo server, software o fornitore va inserito. Un piano di tre anni fa descrive un'azienda che non esiste più.
• Pagare il riscatto come prima opzione. Non garantisce nulla e spesso l'attaccante torna. Il piano serve proprio a non trovarsi in quella posizione.

Quanto costa un piano di disaster recovery

Lavoro a preventivo fisso, senza rivendere hardware o licenze: il cliente sceglie e acquista i servizi cloud a suo nome e resta proprietario di tutto. Questo mi permette di consigliare la soluzione più adatta e non quella che rende di più.

• Consulenza IT (inventario, analisi d'impatto, definizione di RTO e RPO, scrittura del piano, configurazione dei backup e primo test di ripristino): da 500 a 2.500 €, in base al numero di sistemi e alla complessità.
• Audit di sicurezza e vulnerability assessment, se si vuole verificare anche da dove un attaccante potrebbe entrare: da 2.000 a 8.000 €.
• Incident response, quando il disastro è già avvenuto e serve contenere, analizzare e ripristinare: da 1.500 a 6.000 €. Per le urgenze applico una maggiorazione del 50%.
• Recupero dati da dischi danneggiati, quando non c'è nessun backup utilizzabile: da 300 a 2.000 €, senza garanzia di risultato perché dipende dallo stato del supporto. Ho spiegato come funziona nell'articolo sul recupero dati da hard disk.

A questi va aggiunto il costo ricorrente dello spazio cloud per i backup, che l'azienda paga direttamente al fornitore e che dipende dai volumi. Il confronto da fare è sempre con il costo di un giorno di fermo. Trovi i dettagli di tutti i servizi nella pagina servizi.

Domande frequenti

Ogni quanto va fatto il backup?

Dipende dall'RPO che hai deciso. Per la maggior parte delle PMI un backup notturno dei server e una copia più frequente dei database del gestionale è un buon equilibrio tra costo e perdita accettabile.

Il mio fornitore del gestionale in cloud fa già tutto?

Chiedi per iscritto quali sono RTO e RPO contrattuali e se puoi esportare i tuoi dati in un formato leggibile. Se non ricevi una risposta chiara, fai una tua esportazione periodica.

Quanto tempo serve per scrivere il piano?

Per una PMI con uno o due server e servizi in cloud, in genere da una a tre settimane tra inventario, configurazione e primo test, lavorando a distanza o in sede a Varese, Como e Milano.

Il disaster recovery serve anche per il GDPR?

Sì. Il GDPR chiede di poter ripristinare tempestivamente la disponibilità dei dati personali dopo un incidente. Un piano testato è il modo concreto per dimostrarlo, e vale lo stesso per chi rientra nella NIS2.

Cosa faccio se il disastro è già successo?

Stacca la rete, non spegnere le macchine se puoi, non pagare, non cancellare nulla. Poi chiama. Se invece sei vittima di una frode, ho scritto una guida su cosa fare subito dopo una truffa online.

Se vuoi sapere quanto reggerebbe la tua azienda a un server che non riparte domani mattina, chiedi un preventivo gratuito: rispondo entro 24 ore, anche su WhatsApp, e la prima valutazione la facciamo insieme in videochiamata.