La regola 3-2-1-1-0 spiegata

Che cosa dice davvero la regola 3-2-1-1-0

La regola 3-2-1-1-0 è una formula di protezione dei dati che stabilisce quante copie dei dati conservare, su quale tipo di supporto e come dimostrare che funzionano davvero:

• 3 copie dei dati: la copia di produzione più almeno due backup.
• 2 supporti o piattaforme di storage diversi, così che un singolo guasto tecnologico o un'interruzione di un vendor non possano distruggere tutte le copie contemporaneamente.
• 1 copia conservata offsite, geograficamente separata dal sito primario.
• 1 copia aggiuntiva immutabile o in air gap, così che non possa essere modificata né raggiunta nemmeno da un attaccante con credenziali amministrative.
• 0 errori: ogni backup verificato e ogni restore testato, non semplicemente dati per funzionanti.

Le prime tre cifre sono la classica regola 3-2-1. Il secondo "1" e lo "0" sono arrivati dopo. Veeam afferma di aver "extended the rule to 3-2-1-1-0" (esteso la regola a 3-2-1-1-0) e spiega direttamente il motivo della copia in più: "ransomware increasingly targets backups" (il ransomware prende sempre più di mira i backup). Capire perché sono state aggiunte le due cifre spiega sulla strategia di backup moderna più di quanto faccia la sola checklist.

Da dove viene la regola

La parte "3-2-1" del nome è precedente all'affermarsi del ransomware come minaccia diffusa. È attribuita al fotografo Peter Krogh e al suo libro The DAM Book: Digital Asset Management for Photographers. Krogh non ha inventato l'idea di copie ridondanti e offsite; le ha dato un nome abbastanza semplice da ricordare.

Un documento del 2012 scritto per US-CERT, Data Backup Options, è il consueto punto di riferimento. Enuncia la regola come "Keep 3 copies of any important file: 1 primary and 2 backups" (conservare 3 copie di ogni file importante: 1 primaria e 2 backup), "Keep the files on 2 different media types to protect against different types of hazards" (conservare i file su 2 tipi di supporto diversi per proteggersi da diversi tipi di rischio) e "Store 1 copy offsite" (conservare 1 copia offsite), e cita come fonte la seconda edizione del 2009 del libro di Krogh.

Gli stessi fondamenti si ritrovano ancora nelle linee guida attuali. Il Cybersecurity Framework 2.0 del NIST elenca il risultato "Backups of data are created, protected, maintained, and tested" (i backup dei dati vengono creati, protetti, mantenuti e testati) (PR.DS-11). La #StopRansomware Guide della CISA indica alle organizzazioni di "maintain offline, encrypted backups of critical data, and regularly test the availability and integrity of backups in a disaster recovery scenario" (mantenere backup offline e cifrati dei dati critici e testare regolarmente la disponibilità e l'integrità dei backup in uno scenario di disaster recovery).

La regola 3-2-1 originale è stata pensata per le minacce della sua epoca: guasti dei dischi, incendi, alluvioni, furti e cancellazioni accidentali. Il suo presupposto di fondo era che nessun singolo evento fisico potesse plausibilmente distruggere tre copie dei dati distribuite su due tipi di supporto e due località.

Perché la 3-2-1 da sola non è più bastata

Il presupposto è venuto meno quando gli operatori ransomware hanno iniziato a trattare l'infrastruttura di backup come un bersaglio primario anziché come un ostacolo da aggirare. Tre copie su due tipi di supporto, di cui una offsite, soddisfano pienamente la 3-2-1 anche se tutte e tre sono raggiungibili con lo stesso set di credenziali compromesse. È esattamente lo scenario che cercano i gruppi ransomware moderni. La guida della CISA lo dice chiaramente: "most ransomware actors attempt to find and subsequently delete or encrypt accessible backups to make restoration impossible unless the ransom is paid" (la maggior parte degli attori ransomware cerca di individuare e poi eliminare o cifrare i backup accessibili, per rendere impossibile il ripristino a meno che non venga pagato il riscatto).

I dati delle indagini vanno nella stessa direzione. Il 2025 Ransomware Trends report di Veeam, basato su un'indagine su 1.300 organizzazioni, 900 delle quali colpite da ransomware nei 12 mesi precedenti, ha rilevato che l'89% delle organizzazioni attaccate ha visto i propri repository di backup presi di mira dall'attaccante e che, in media, il 34% dei loro repository di backup è stato modificato o eliminato. Lo State of Ransomware 2025 di Sophos, un'indagine su 3.400 responsabili IT e di cybersecurity le cui organizzazioni erano state colpite da ransomware, ha rilevato che solo il 54% delle organizzazioni i cui dati erano stati cifrati li ha ripristinati usando i backup, il tasso che Sophos definisce il più basso degli ultimi sei anni. Delle 151 organizzazioni di quell'indagine che hanno pagato più della richiesta iniziale dell'attaccante, il 38% ha dichiarato che i propri backup non avevano funzionato o erano malfunzionanti.

Tre copie geograficamente separate non servono a nulla contro un attaccante che possiede già le credenziali per eliminarle tutte e tre. È questa la lacuna che le due cifre aggiuntive sono state pensate per colmare.

L'"1" in più: una copia che gli attaccanti non possono davvero raggiungere

L'"1" aggiuntivo richiede almeno una copia immutabile o in air gap. Immutabile significa protetta da modifica o eliminazione per un periodo di retention definito, in genere tramite Object Lock sull'object storage cloud, hardware Write Once Read Many (WORM) o un hardened repository che impone la retention a livello di storage. In air gap significa che non esiste alcun percorso di rete permanente dalla produzione alla copia.

È un requisito più severo di quanto sembri a prima vista. Due region cloud dello stesso provider, entrambe raggiungibili con lo stesso account amministrativo, non lo soddisfano: la separazione geografica senza separazione delle credenziali non vi protegge da un attaccante che ha già i privilegi di domain admin. La CISA fa un'osservazione analoga sui backup in cloud, suggerendo un approccio multi-cloud "in case all accounts under the same vendor are impacted" (nel caso in cui vengano colpiti tutti gli account presso lo stesso vendor). Le implementazioni più solide spesso combinano storage cloud immutabile per un ripristino rapido con una copia offline o in air gap per il caso peggiore, in cui è stato compromesso persino il management plane del livello immutabile.

Anche l'immutabilità ha i suoi compromessi. La guida della CISA osserva che alcuni cloud vendor offrono storage immutabile che protegge i dati senza un ambiente separato, e aggiunge un avvertimento: "Use immutable storage with caution as it does not meet compliance criteria for certain regulations and misconfiguration can impose significant cost" (usare lo storage immutabile con cautela, perché non soddisfa i criteri di conformità di alcune normative e una configurazione errata può comportare costi significativi).

Lo "0": dimostrare che il backup funziona davvero

Lo "0" è la metà operativa della regola, e quella più facile da saltare. Richiede zero backup non verificati: ogni backup controllato per integrità e ogni percorso di restore testato periodicamente dall'inizio alla fine, non solo monitorato in attesa di una notifica verde di "job completato". Veeam descrive la cifra come "zero recovery errors" (zero errori di ripristino); nella versione della CISA si tratta di "regularly test the availability and integrity of backups" (testare regolarmente la disponibilità e l'integrità dei backup).

Un job di backup riuscito e un restore pulito sono cose diverse. Il 2024 Ransomware Trends report di Veeam ha rilevato che solo il 37% delle organizzazioni attaccate intervistate ha usato una sandbox di qualche tipo durante il ripristino. Senza un'area di staging in cui i dati recuperati vengono scansionati prima di tornare in produzione, un restore può riportare con sé il malware dell'attaccante e trasformare un ripristino in un secondo incidente.

Lo "0" esiste perché un backup mai ripristinato non è un controllo. È un'ipotesi. La verifica, eseguita secondo una pianificazione e misurata rispetto a obiettivi realistici di tempo di ripristino, è ciò che trasforma quell'ipotesi in un fatto su cui contare durante un incidente reale.

Errori comuni nell'implementare la 3-2-1-1-0

• Contare due region cloud come "due supporti". La diversità dei tipi di supporto significa tecnologie o piattaforme di storage davvero diverse, non due istanze dello stesso object store.
• Considerare soddisfatto l'"1" in più con una qualsiasi copia offsite. L'offsite riguarda la geografia; l'immutabilità o l'air gap riguardano la compromissione delle credenziali. Una copia offsite conforme alla regola che condivide un piano di identità con la produzione non colma la lacuna che ha motivato l'aggiunta della cifra.
• Saltare lo "0" perché i job di backup risultano verdi. Un job di backup riuscito conferma che i dati sono stati scritti. Non conferma che i dati siano ripristinabili, coerenti a livello applicativo o privi del malware che renderà necessario il restore.
• Applicare la regola in modo uniforme indipendentemente dalla criticità dei dati. I sistemi tier-one richiedono in genere verifiche più frequenti e RTO più brevi rispetto ai dati di archivio; un'unica policy di retention e di test su tutto l'ambiente di solito protegge poco i sistemi più importanti e spende troppo per quelli che non lo sono.

La 3-2-1-1-0 basta ancora nel 2026?

Per la maggior parte delle organizzazioni, implementare correttamente la 3-2-1-1-0 colma una parte significativa della lacuna che consente al ransomware di trasformare l'infrastruttura di backup in un bersaglio. Correttamente significa che la copia immutabile o isolata e la verifica del ripristino sono applicate davvero, non solo spuntate su una lista.

Resta una solida base operativa. Veeam promuove esplicitamente il modello 3-2-1-1-0. NIST e CISA rafforzano i controlli sottostanti: backup protetti, copie offline e test regolari. La CISA menziona anche lo storage immutabile come opzione, con le avvertenze citate sopra.

Il limite della regola non è la ridondanza, ma l'architettura di sicurezza che la circonda. Ci dice quante copie mantenere, dove devono trovarsi e in quale stato devono essere. Non definisce in modo completo la governance degli accessi, i confini di fiducia amministrativa, la segmentazione di rete, il monitoraggio e l'architettura di ripristino necessari per mantenere protette quelle copie durante una compromissione in corso.

È questa la lacuna che la Fibonacci Rule of Backup Security (5-3-2-1-1-0) di BackupSec è pensata per affrontare. Non sostituisce la 3-2-1-1-0; la estende con cinque principi di sicurezza fondamentali.

Per le organizzazioni che stanno ancora lavorando a una strategia 3-2-1-1-0 pienamente implementata e verificata regolarmente, quella base viene prima di tutto. La Fibonacci Rule è il livello architetturale che si costruisce sopra di essa.

Il ruolo di BackupSec

BackupSec lavora sul lato Veeam di questo problema. Quattro dei nostri servizi corrispondono alla regola:

• ZeroMON monitora Veeam Backup & Replication. Gira on-premises come OVA, si connette con un account in sola lettura e non invia nulla a BackupSec né a terze parti. Tiene traccia dello stato di salute dei job, registra le modifiche di configurazione (chi ha cambiato cosa e quando), esegue una checklist di sicurezza e mostra lo stato di immutabilità che Veeam riporta dalle impostazioni dei propri repository. Gli alert arrivano via email e tramite notifica in-app. ZeroMON legge la configurazione di Veeam; non verifica i lock sullo storage stesso e non esegue test di restore. Vi avvisa quando cambiano le condizioni alla base del vostro "1" e del vostro "0"; il test di restore è un'attività separata.
• ZeroVault è un object storage cloud compatibile S3 con Object Lock, usato come destinazione immutabile offsite per i backup Veeam. A differenza di ZeroMON, conserva per sua natura i dati di backup al di fuori del vostro ambiente, perché è proprio questo che è una copia offsite.
• ZeroTAM vi mette a disposizione un advisor dedicato alla sicurezza dei backup per architettura, capacità, pianificazione del ripristino da ransomware e supporto prioritario in caso di crisi. È un lavoro di consulenza, non un software: la persona a cui chiedere se il vostro "1" in più è davvero isolato o solo lontano.
• ZeroPEN è un penetration test guidato dalle minacce su Veeam Backup & Replication, Veeam ONE ed Enterprise Manager. Simula una kill chain ransomware in otto fasi mappate su MITRE ATT&CK, dall'accesso iniziale, passando per l'accesso ai repository e la neutralizzazione dei backup, fino alla prova della capacità di cifratura. Non è distruttivo: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (non elimina mai backup reali, non esegue cifrature reali e non arresta servizi di produzione o di backup). L'engagement include anche la verifica dell'integrità del ripristino e dell'immutabilità, si conclude con un pacchetto di report pronto per l'audit e comprende un retest delle criticità gravi.

Parlate con BackupSec della vostra postura di sicurezza dei backup →

Volete prima una rapida autovalutazione? Il Backup Security Assessment gratuito pone 28 domande in sette aree, dalla strategia di backup e dal controllo degli accessi fino ai test di ripristino.