Tre meccanismi, tre guasti
Le tre parole indicano delle copie. Non indicano le stesse copie, né nello stesso luogo, né per la stessa durata. La domanda giusta non è «abbiamo una copia?», ma «quale copia resta intatta dopo un dato guasto?».
Versioning: la cronologia di un file, conservata nel servizio. Replica: una seconda copia del servizio, mantenuta aggiornata in modo continuo. Backup: una copia separata, datata, conservata per una durata scelta.
Il versioning: la cronologia di un file, nel servizio
Ogni salvataggio crea una versione. Un paragrafo cancellato per errore, una tabella sovrascritta, una formula sbagliata: l’utente apre la cronologia e torna alla versione di martedì. È rapido, senza intermediari, ed è la risposta più utile nel quotidiano.
I suoi limiti dipendono dalla sua collocazione. La cronologia vive nello stesso servizio del file:
- quando il file viene cancellato, le sue versioni lo seguono, prima nel cestino, poi fuori dal servizio quando il cestino viene svuotato;
- l’account che ha il diritto di cancellare una cartella può in genere cancellare anche ciò che contiene, cronologia compresa;
- il numero di versioni e la loro durata sono limitati dalle impostazioni del servizio;
- se l’intero servizio viene distrutto o compromesso, la cronologia scompare con esso.
Il cestino appartiene alla stessa famiglia. È una proroga prima della cancellazione, non una copia.
La replica: una seconda copia, in servizio
La replica mantiene una copia del servizio su un altro server o un altro sito. Se un datacenter cade, l’altro subentra. Risponde alla disponibilità. L’ANSSI la indica per le esigenze di perdita di dati molto bassa: quando la perdita ammissibile è inferiore a 24 ore, raccomanda di privilegiare la replica, sincrona o asincrona.
Il suo difetto è la sua fedeltà. Una copia che segue la produzione ne segue anche gli errori. Una cancellazione viene replicata. Un file cifrato da un ransomware viene replicato. In replica sincrona, ci vogliono pochi secondi. La sincronizzazione di una postazione di lavoro è una replica su piccola scala: ha lo stesso difetto.
Il backup: una copia separata, datata, conservata
Il backup serve a tornare indietro. Ha valore solo se resta intatto quando la produzione non lo è più. Questo presuppone diverse proprietà:
- la separazione: un altro sistema, altri account. L’ANSSI chiede che l’infrastruttura di backup sia indipendente dalle directory di produzione e amministrata da account nominativi e dedicati;
- la conservazione: una profondità di cronologia decisa. L’ANSSI cita come esempio quindici giorni di backup giornalieri, un anno di mensili e cinque anni di annuali, come illustrazione, non come regola;
- la protezione dalla modifica: l’ANSSI chiede un controllo degli accessi che garantisca che i backup non saranno né modificati né alterati. Un backup immutabile (WORM) risponde a questa esigenza. L’ANSSI ritiene tuttavia una copia offline più robusta di una soluzione WORM online, e propone di combinare le due;
- la regola 3-2-1: tre copie dei dati, di cui due backup su supporti diversi, e una offline;
- i test: un backup che non è mai stato ripristinato è un’ipotesi. L’ANSSI chiede test regolari.
Due misure completano il quadro. La perdita massima di dati ammissibile (PDMA nella terminologia dell’ANSSI, o RPO) dice quanto lavoro si accetta di perdere. La durata massima di interruzione ammissibile (DMIA, o RTO) dice quanto tempo si accetta di attendere. Un backup orario limita la perdita a circa un’ora. Non dice nulla del tempo di ripristino del servizio.
Chi risponde a quale guasto
| Guasto | Versioning | Replica | Backup |
|---|
| Errore di modifica in un file | Sì, in autonomia | No, l’errore viene ricopiato | Sì, tramite un ripristino |
| File cancellato ieri | Sì, tramite il cestino | No | Sì |
| File cancellato tre mesi fa | No, cestino svuotato | No | Solo se la conservazione risale fino a quel momento |
| Guasto di un datacenter | No | Sì | Sì, più lentamente |
| Cartella cancellata da un account di amministrazione compromesso | No | No | Sì, se i backup sfuggono a quell’account |
| Ransomware che cifra i file di una postazione sincronizzata | A volte, se la cronologia è intatta | No | Sì, a partire da un punto precedente |
La dimostrazione: perché fare il backup di un sistema di gestione documentale con versioning
Prendiamo il guasto più temuto. Un attaccante ottiene la password di un amministratore. Cancella la cartella «Contratti» e svuota il cestino.
- Il versioning non serve a nulla: le versioni erano archiviate insieme ai file cancellati.
- Nemmeno la replica: la cancellazione è stata ricopiata sul secondo sito in pochi secondi.
- Il backup del giorno prima, o dell’ora precedente, contiene la cartella. Se è immutabile e amministrato da altri account, l’attaccante non ha potuto toccarlo.
Il versioning e la replica fanno bene il loro lavoro. Semplicemente, non è questo il loro lavoro. Il caso del ransomware, con l’ordine di ripresa, è trattato in proteggere un sistema di gestione documentale da un ransomware, e ripristinarlo.
Cinque domande da porre al suo fornitore
- Con quale frequenza vengono eseguiti i backup dei documenti, e per quanto tempo vengono conservati?
- Un account di amministrazione del servizio può cancellare o modificare un backup?
- Dove si trovano le copie, in quanti luoghi, ed esiste una copia offline?
- Quando è stato testato un ripristino l’ultima volta?
- Chi richiede un ripristino, con quali informazioni, e in quanto tempo viene eseguito?
Le risposte scritte a queste cinque domande valgono più di una percentuale di disponibilità.
Gli errori frequenti
- «Ogni postazione ha una copia sincronizzata.» Queste copie seguono il server, cancellazioni comprese.
- «Il cestino conserva tutto per trenta giorni.» Conserva ciò che non viene svuotato. Un attaccante lo svuota.
- «Siamo replicati su due siti.» È disponibilità, non un ritorno indietro.
- «Il backup gira.» Bisogna anche che sia stato ripristinato almeno una volta, e che la sua conservazione copra il tempo di scoperta di un incidente.
Domande frequenti
Come recuperare una vecchia versione di un file?
Tramite la cronologia del file, senza passare da un ripristino. L’operazione è descritta in recuperare una versione di un documento.
Il backup sostituisce il versioning?
No. Il versioning è immediato e nelle mani dell’utente. Il ripristino di un backup è un’operazione più pesante, spesso eseguita da un amministratore o dal fornitore.
Un backup è un’archiviazione?
No. Un backup dura giorni o settimane. Un’archiviazione risponde a una durata di conservazione fissata da un testo o da una politica. Si veda conservare e archiviare i documenti.
E per la posta elettronica?
Il ragionamento è lo stesso, con meccanismi propri. Si veda backup, cancellazione e continuità della posta elettronica.
Dove si colloca Klytic
Versioning. Klytic Docs conserva la cronologia delle versioni di ogni file e dispone di un cestino. L’utente recupera da solo una versione precedente.
Backup. I documenti vengono sottoposti a backup ogni ora, come la posta elettronica e il CRM. I backup sono cifrati, conservati 30 giorni, replicati su più siti e immutabili: un backup scritto non può più essere modificato né cancellato, nemmeno da un attaccante. Sono monitorati e i ripristini vengono testati ogni mese. Gli obiettivi sono un ripristino del servizio in meno di 4 ore (RTO) e una perdita massima di dati inferiore a 2 ore (RPO).
Ripristino. Si richiede al supporto Klytic, indicando che cosa è interessato e la data approssimativa. È incluso in caso di malfunzionamento del servizio, di cancellazione volontaria da parte di un dipendente o di account cancellato troppo presto in occasione di un’uscita (nel limite di 3 richieste al mese), o di attacco subito nonostante postazioni correttamente protette. Dopo una cancellazione accidentale, un’operazione errata, o se le postazioni erano protette in modo insufficiente, è oggetto di un ticket di assistenza a pagamento. La cronologia delle versioni e il cestino, senza costi, restano il primo ricorso.
Il backup è gestito con WeDoBack, specialista del backup sicuro, come indicato nella pagina sicurezza e backup. WeDoBack si occupa del backup; la cronologia delle versioni è una funzione di Klytic Docs.
I limiti: trenta giorni di conservazione non coprono una cancellazione scoperta oltre tale termine, e non costituiscono un’archiviazione. Klytic non è un’offerta qualificata SecNumCloud.
Questa pagina descrive meccanismi generali. Le durate e gli obiettivi del suo servizio si verificano nel suo contratto.
Fonti
Consultate nell’ottobre 2026.
- ANSSI, «Sauvegarde des systèmes d’information» (Backup dei sistemi informativi), guida ANSSI-BP-100, v1.1: regola 3-2-1 con una copia offline, offline ritenuto più robusto del WORM online, durate di conservazione da definire, PDMA e DMIA, replica per una perdita inferiore a 24 h, account di amministrazione dedicati, test regolari. messervices.cyber.gouv.fr
- ANSSI, «Les Essentiels – Sauvegarde des systèmes d’information» (Gli essenziali – Backup dei sistemi informativi), v1.1: backup offline regolari, controllo degli accessi affinché non siano né modificati né alterati, infrastruttura indipendente dalle directory di produzione. messervices.cyber.gouv.fr
- Klytic, Sicurezza e backup: backup cifrato, 30 giorni, immutabile, replicato in più luoghi, ripristini testati ogni mese, RTO inferiore a 4 h, RPO inferiore a 2 h, backup gestito con WeDoBack. klytic.com
- Klytic, domande frequenti: backup ogni ora, cifrato, conservato 30 giorni; obiettivi RTO e RPO. klytic.com
