Tre reti di sicurezza, tre incidenti
Si dice «è salvato» per meccanismi molto diversi. Ognuno rimedia a un tipo di incidente, con una persona che interviene e un limite.
| Rete di sicurezza | Chi interviene | Che cosa recupera | Il suo limite |
|---|
| Cestino e cartella di recupero | L’utente, nella sua casella | L’errore di manipolazione recente | Durata breve, e nulla se la casella stessa viene eliminata o compromessa |
| Backup del servizio | Il gestore, su richiesta | Il ritorno di un messaggio, di una cartella o di una casella a uno stato precedente | Il periodo di conservazione e l’intervallo tra due backup |
| Ripristino della piattaforma | Il gestore, senza richiesta | Il guasto: la posta continua ad arrivare o riprende | Non recupera un messaggio cancellato |
La copia che il fornitore del software o il provider di hosting conserva per la propria disponibilità, su più dischi o più server, appartiene alla terza rete. Protegge da un guasto hardware. Non protegge da una cancellazione: un messaggio cancellato lo è subito su tutte le repliche. È la confusione più frequente tra ridondanza e backup.
Un backup recupera un messaggio cancellato?
Sì, entro tre limiti.
- Il periodo di conservazione. Con una retention di 30 giorni, un messaggio cancellato sei settimane fa non si trova più in nessun backup. Se la cancellazione viene scoperta solo alla chiusura del bilancio, il backup arriva troppo tardi.
- Il punto di ripristino. Un backup è una fotografia. Un messaggio arrivato alle 10:05 e cancellato alle 10:40, prima del backup successivo, non è mai stato fotografato. Più i backup sono ravvicinati, più questa finestra si riduce; non è mai nulla.
- L’uso. Un backup serve a tornare indietro. Non sostituisce un’archiviazione pluriennale, che conserva i messaggi per poterli produrre, con regole proprie di durata e di accesso.
La cancellazione volontaria merita un’attenzione particolare. Un dipendente scontento che svuota la sua casella, o un attaccante che si è impossessato di un account di amministrazione, può cancellare i messaggi e cercare di cancellare anche i backup. Da qui l’interesse per un backup che nessuno può modificare durante il periodo di conservazione, compreso un amministratore della posta elettronica. La guida dell’ANSSI sul backup raccomanda di isolare i server di backup all’interno del sistema di amministrazione e invita a esaminare il meccanismo di immutabilità di una soluzione di tipo WORM anziché fidarsi della parola.
Indipendente dal server: che cosa significa
Un backup indipendente risiede al di fuori del servizio di posta che protegge. In concreto:
- è conservato su un altro sistema, e preferibilmente in un altro sito, perché un incidente nella sala server non lo coinvolga;
- le credenziali che amministrano la posta elettronica non bastano a eliminarlo;
- è cifrato, perché la copia non diventi una seconda porta d’accesso ai messaggi;
- è testato. L’ANSSI lo formula in modo semplice: i backup devono essere testati regolarmente. Un backup mai ripristinato resta un’ipotesi.
La stessa guida raccomanda la regola «3-2-1», che inizia con tre copie distinte dei dati, e definisce il backup offline come un backup su un supporto scollegato da qualsiasi sistema informativo. Questi concetti valgono per la posta come per i file; la loro declinazione per i documenti è in versioning, replica e backup.
Esempio. In uno studio professionale di 25 persone (caso ipotetico), un collaboratore cancella per errore la cartella di un cliente, svuota il cestino e se ne accorge solo il lunedì successivo. La cartella di recupero non contiene più nulla di utile. Il backup del venerdì precedente contiene la cartella. Il gestore la ripristina nella casella; mancano solo i messaggi arrivati e cancellati tra due backup.
Quando il server si ferma
La posta elettronica tollera bene i guasti brevi. Un server mittente che non raggiunge il suo, o che riceve un errore temporaneo, tiene il messaggio in coda e riprova. Finché il guasto dura meno del tempo dopo il quale il mittente rinuncia, che di solito si conta in giorni, nulla va perso: la posta arriva al ritorno del servizio. La guida migrare la posta elettronica senza interruzioni descrive questo meccanismo in dettaglio. Un gateway di filtraggio posto davanti al servizio di posta svolge lo stesso ruolo: conserva il messaggio accettato finché il server non risponde.
Ciò che vedono gli utenti è diverso: niente più webmail, telefoni che non si sincronizzano più, invii impossibili. È questa durata che misura il primo indicatore.
RTO (durata massima di interruzione ammissibile): il tempo previsto per rimettere in funzione il servizio. RPO (perdita massima di dati ammissibile): la quantità di dati, espressa come durata, che si accetta di perdere se lo storage deve essere ricostruito a partire dall’ultimo backup.
L’RPO non riguarda la posta che attende presso i mittenti: quella arriva al ritorno del servizio. Riguarda i messaggi già consegnati nelle caselle, e le azioni degli utenti, dall’ultimo backup, nel caso in cui lo storage stesso andasse perso. Un RPO inferiore a 2 ore significa che al massimo due ore di questo storico sarebbero da ricostituire. Sono obiettivi: chieda come vengono misurati e testati.
Cambiare server senza cambiare dominio
Un guasto prolungato, la fine di un contratto o l’acquisizione del fornitore possono imporre di cambiare servizio di posta. Il suo dominio e i suoi indirizzi non cambiano: è il record MX che indica la nuova piattaforma. Il metodo, con la coesistenza, i passaggi di copia e la coerenza di SPF, DKIM e DMARC, è descritto in migrare la posta elettronica senza interruzioni. Non viene ripreso qui.
Domande frequenti
La ridondanza sostituisce il backup?
No. La ridondanza replica anche le cancellazioni. Protegge da un guasto hardware, non da un errore né da una cancellazione volontaria.
Un messaggio ricevuto durante un guasto va perso?
In generale no: il mittente lo conserva e riprova. Va perso solo se viene rifiutato definitivamente, o se il guasto dura più del tempo dopo il quale il mittente rinuncia.
Trenta giorni di backup bastano?
Per tornare indietro dopo un errore, spesso sì. Per conservare messaggi per diversi anni, no: è il ruolo dell’archiviazione. Veda archiviare i messaggi.
L’attacco a una casella deve essere scoperto in fretta?
Sì, perché il periodo di conservazione scorre. La protezione a monte spetta al gateway di filtraggio; veda proteggere la posta elettronica che già utilizza.
Dove si colloca Klytic
Per Klytic Mail, le tre reti di sicurezza esistono e sono distinte.
- Lato utente, la cartella degli elementi eliminati consente di recuperare da sé, senza costi, i messaggi cancellati.
- Lato servizio, la posta elettronica viene salvata ogni ora. I backup sono cifrati, conservati 30 giorni, replicati su più siti e immutabili: un backup scritto non può più essere modificato né eliminato. Sono monitorati in continuo e i ripristini vengono testati ogni mese. Klytic si avvale a questo scopo dei servizi di WeDoBack, descritti nella pagina Sicurezza e backup.
- Lato piattaforma, gli obiettivi pubblicati sono un ripristino del servizio in meno di 4 ore (RTO) e meno di 2 ore di dati persi al massimo (RPO). Posto davanti al servizio di posta, Klytic MTA conserva temporaneamente, cifrato, un messaggio il cui server destinatario non è disponibile.
Il ripristino di un messaggio, di una cartella o di una casella si richiede al supporto, indicando l’elemento interessato e la data approssimativa. È incluso in caso di malfunzionamento del servizio, di cancellazione volontaria da parte di un dipendente o di account eliminato troppo presto in occasione di un’uscita (nel limite di 3 richieste al mese), oppure di attacco subito nonostante postazioni correttamente protette. Dopo una cancellazione accidentale, un errore di manipolazione, o se le postazioni erano protette in modo insufficiente, è oggetto di un ticket di assistenza a pagamento. La cartella degli elementi eliminati, senza costi, resta il primo rimedio. L’operazione è descritta in ripristinare un messaggio o una casella.
Che cosa l’offerta non copre: un ripristino in self-service da parte dell’utente oltre la cartella degli elementi eliminati, e una conservazione oltre i 30 giorni tramite il backup. Per conservare messaggi per diversi anni, l’archiviazione legale è proposta come opzione.
Questa pagina descrive un quadro generale. Gli impegni applicabili sono quelli del suo contratto.
Fonti
Consultate a ottobre 2026.
- ANSSI, «Sauvegarde des systèmes d’information : les fondamentaux» (Backup dei sistemi informativi: i fondamentali), versione 1.1: definizione del backup offline, regola «3-2-1», test regolari dei backup, isolamento dei server di backup, esame del meccanismo di immutabilità, corrispondenza tra PDMA e RPO, DMIA e RTO. cyber.gouv.fr
- Klytic, Sicurezza e backup: frequenza, retention, cifratura, replica, immutabilità, test mensili, RTO e RPO previsti, ripristino di un’e-mail, di una cartella o di una casella. klytic.com
- Klytic, Domande frequenti: backup orario esclusa la telefonia, obiettivi di ripristino, conservazione temporanea da parte di Klytic MTA quando il server destinatario non è disponibile. klytic.com
- Klytic, Migrare la posta elettronica senza interruzioni: coda dei mittenti in caso di errore temporaneo, ruolo del record MX, coesistenza. klytic.com
