Salvataggio e continuità: requisiti per una PMI svizzera

Perché il salvataggio e la continuità diventano vitali per una PMI svizzera

La digitalizzazione offre reali possibilità di ottimizzare i processi aziendali. Comporta però anche rischi significativi: attacchi informatici, perdita di dati e guasti ai sistemi. Ogni settimana, più di 1'000 incidenti informatici vengono segnalati all’Ufficio federale della cibersicurezza (UFCS).

Tutte le aziende sono minacciate. Le grandi imprese costituiscono bersagli redditizi; le piccole e medie imprese (PMI), obiettivi relativamente più facili. Secondo l’UFCS, una PMI su tre è già stata vittima di un attacco informatico.

Senza una strategia di salvataggio, la perdita di dati comporta perdite finanziarie, un calo della produttività e danni alla reputazione. A ciò si aggiungono la perdita di fatturato, di clienti o di opportunità commerciali, nonché la perdita o la compromissione dei dati.

Anche il tempo interno mobilitato conta: direzione, IT, amministrazione, vendite, ufficio legale, risorse umane e assistenza clienti.

Una PMI svizzera deve affrontare due famiglie di requisiti, ciascuna con il proprio nome. I requisiti legali derivano dalla nuova Legge federale sulla protezione dei dati (nLPD) e dalla sua ordinanza di applicazione (OPDo). I requisiti tecnici riguardano il salvataggio, l’RPO, l’RTO e il piano di continuità: frequenza, supporti, copie esterne e tempi di ripristino.

Salvataggio, ripristino, continuità: tre elementi complementari

La copia di sicurezza (backup) duplica i dati per ripristinarli dopo una cancellazione accidentale, una corruzione o una cifratura malevola. Risponde a una domanda precisa: come recuperare i dati persi? Fino a che punto nel passato risale l’ultimo backup utilizzabile?

Il ripristino è l’operazione vera e propria di restauro: rimettere in servizio le copie, nell’ordine corretto, su hardware funzionante e verificare che le applicazioni tornino a uno stato coerente. Viene gestito tramite due parametri: la quantità di dati che si accetta di perdere e la durata dell’indisponibilità tollerata per ogni sistema.

Questi due parametri hanno un nome. La perdita di dati accettabile è l’RPO (Recovery Point Objective); la durata dell’indisponibilità tollerata è l’RTO (Recovery Time Objective). Ogni requisito di continuità si traduce in un RPO e un RTO definiti sistema per sistema.

La continuità operativa non consiste nel fare backup, ma nel mantenere o ristabilire le operazioni critiche durante e dopo l’incidente: posta elettronica, software aziendale, acquisizione degli ordini, accesso dell’assistenza clienti. Un backup senza una procedura di ripristino testata non ristabilisce l’attività; un piano di continuità senza backup aggiornati non permette di ricostruire i dati. I tre elementi si completano a vicenda e vanno pianificati insieme.

Le minacce che rendono la questione urgente

Gli schemi di attacco più comuni sono il furto di dati, gli attacchi di negazione del servizio (DoS) e gli attacchi ransomware. Questi ultimi possono paralizzare l’azienda e causare danni a lungo termine. In caso di ransomware, i dati vengono cancellati o cifrati e possono essere recuperati solo con la chiave corrispondente.

Concretamente, l’incidente si traduce in posta elettronica inaccessibile, file cifrati, software aziendale bloccato, produzione rallentata o fermata, ordini ritardati, assistenza clienti indisponibile e team mobilitati con urgenza.

Il costo non si limita alla riparazione informatica. Include la perdita di fatturato, il danno alla reputazione, la perdita di clienti o opportunità e il tempo interno consumato.

Secondo il Cyberstudio 2024 realizzato da gfs-zürich per conto del Centro nazionale per la cibersicurezza (NCSC), il 4% delle PMI svizzere intervistate è stato vittima di un grave attacco informatico negli ultimi tre anni. Estrapolando, ciò rappresenta circa 24'000 aziende. Secondo il Cyberthreats Report H1 2025 di Acronis, la Svizzera figura al 4º posto tra i paesi più colpiti dai ransomware. Le PMI sono prese di mira proprio perché spesso sono meno protette.

Lo stesso rapporto di Acronis rileva un aumento del 70% dei casi rispetto al 2024 e al 2023. A queste minacce si aggiungono le sanzioni previste dal RGPD e dalla LPD.

Cosa cambia la nLPD per i vostri backup

La nuova Legge federale sulla protezione dei dati (nLPD) e la sua ordinanza di applicazione (OPDo) sono in vigore dal 1° settembre 2023. Si applicano ogni volta che viene effettuato un trattamento di dati personali da parte di privati, persone fisiche o giuridiche, e riguardano quindi tutte le aziende in Svizzera, indipendentemente dalle dimensioni.

La legge definisce il trattamento come qualsiasi operazione relativa ai dati personali: raccolta, registrazione, conservazione, utilizzo, modifica, comunicazione, archiviazione, cancellazione o distruzione. La conservazione e l’archiviazione rientrano quindi tra le operazioni interessate.

I principi di base restano la liceità, la buona fede, la finalità, la trasparenza, la proporzionalità, l’esattezza e la sicurezza dei dati, e si applicano a tutti i trattamenti.

L’ambito di applicazione include i dati personali sensibili: salute, sfera intima, origine razziale o etnica, opinioni religiose, filosofiche, politiche o sindacali, dati genetici e dati biometrici che identificano una persona in modo inequivocabile. Include anche i dati relativi a procedimenti penali o amministrativi o a misure di assistenza sociale. Un backup che contiene dati delle risorse umane, dei clienti o sanitari è quindi direttamente interessato dall’obbligo di sicurezza.

La legge distingue tra il responsabile del trattamento, che determina da solo o congiuntamente le finalità e i mezzi del trattamento, e il subappaltatore (incaricato del trattamento), che tratta i dati per conto del responsabile. Il fornitore di servizi cloud a cui l’azienda esternalizza le funzioni IT agisce tipicamente come subappaltatore. Il responsabile del trattamento deve assicurarsi che il suo subappaltatore sia in grado di garantire la sicurezza dei dati: la scelta del fornitore, la definizione degli accessi e il livello di protezione restano di sua responsabilità.

La messa in conformità inizia con un’azione specifica: l’identificazione dei ruoli. Ogni azienda determina, per i dati dei suoi clienti, collaboratori e fornitori, se agisce come responsabile del trattamento o come subappaltatore.

La legge impone anche obblighi di informazione: l’identità e i contatti del responsabile del trattamento, la finalità del trattamento e i destinatari dei dati devono essere comunicati. La trasparenza figura tra i principi di base applicabili a tutti i trattamenti.

Costruire un concetto di backup realmente efficace

Un concetto di backup si inserisce in una strategia più ampia di sicurezza e gestione dei rischi. Copre quattro aspetti: le basi del concetto, la scelta dei metodi, il calendario di backup e la preparazione alle emergenze. La scelta di un metodo si basa su tre criteri: la sicurezza offerta, lo spazio di archiviazione richiesto e il tempo necessario, sia per il backup che per il ripristino.

In pratica, si classificano prima i dati in base alla loro criticità: contabilità, dati clienti, dati HR, file di produzione, configurazioni del software aziendale. Per ogni categoria, si fissa la frequenza di backup, il supporto utilizzato e la durata di conservazione. I dati che cambiano più volte al giorno e la cui perdita blocca l’attività non richiedono lo stesso trattamento di un archivio storico.

Il calendario deve essere compatibile con il ritmo dell’azienda e prevedere i casi di emergenza. Cosa succede se l’incidente avviene un venerdì sera o durante le vacanze? Chi avvia il ripristino, su quale hardware, in quale ordine?

Un punto spesso trascurato è il test: un backup il cui ripristino non è mai stato provato non prova nulla. Conservare più copie su supporti distinti fa parte delle basi. Una copia offline o esterna permette di resistere a un ransomware che potrebbe cifrare anche i backup connessi.

Ogni categoria di dati richiede quindi una risposta scritta a tre domande: con quale frequenza effettuare il backup, su quale supporto e per quanto tempo conservare le copie. Queste risposte formano la base del concetto; senza di esse, il ripristino viene deciso nell’emergenza.

Vantaggi e svantaggi di un backup non testato

Piano di emergenza e continuità operativa: la procedura da seguire

Il punto di partenza è una constatazione: il 40% delle PMI svizzere intervistate nel Cyberstudio 2024 di gfs-zürich per il NCSC non dispone di un piano di emergenza o di una strategia di continuità operativa in caso di crisi. Eppure, senza questo piano, un’azienda che sa ripristinare i propri dati non sa ancora chi fa cosa, né in quale ordine rimettere in servizio i sistemi.

Il metodo si articola in quattro fasi. In primo luogo, identificare le attività critiche e le loro dipendenze: software aziendale, posta elettronica, accesso a Internet, fornitori cloud. Bisogna anche individuare quei uno o due collaboratori che detengono conoscenze non documentate.

In secondo luogo, definire i ruoli e i sostituti, con recapiti accessibili senza passare attraverso la posta elettronica aziendale.

In terzo luogo, descrivere le procedure di ripristino: cosa ripristinare per primo, chi decide di passare a una modalità degradata, come informare i clienti e le autorità.

In quarto luogo, testare e rivedere il piano a intervalli regolari, poiché il parco informatico e i fornitori cambiano.

Il piano di continuità si distingue dal backup per il suo oggetto: organizza la sopravvivenza delle operazioni durante la crisi, anche quando l’IT è indisponibile, mentre il backup fornisce la materia prima per la ricostruzione. I due documenti devono corrispondersi: ogni sistema elencato come critico nel piano deve avere un backup il cui ripristino è previsto e cronometrato.

Le quattro fasi sono governate dai due parametri già citati: un RTO e un RPO per ogni sistema critico. Il piano dice chi agisce e in quale ordine; il backup fornisce i dati.

Misure prioritarie e check-list per una PMI

Le azioni semplici e prioritarie si riassumono in una breve lista: formare i team, rafforzare le password, aggiornare tutto il parco macchine, installare un antivirus serio, attivare l’autenticazione a due fattori (2FA), garantire backup affidabili e controllare rigorosamente gli accessi. Ciascuna mira a un vettore di attacco diverso: l’elemento umano, le credenziali, le vulnerabilità software, la workstation, l’accesso remoto, la perdita di dati, i diritti interni.

I backup affidabili e il controllo degli accessi meritano un’attenzione particolare, poiché sono le due misure che determinano la capacità di ripristino. Un backup non testato, archiviato su un supporto accessibile dalla rete aziendale, non protegge da un ransomware; diritti di accesso troppo ampi permettono a un incidente di propagarsi all’insieme dei dati.

L’assicurazione cyber viene in aggiunta, per il caso in cui accada qualcosa nonostante tutte le misure di sicurezza e prudenza. Non sostituisce né i backup né il piano di emergenza.

Hosting, cloud e sovranità: dove posizionare i propri backup?

I fornitori globali come Microsoft Azure, AWS o Google Cloud dominano il mercato e dettano spesso le condizioni; le PMI svizzere perdono così sempre più il controllo della propria infrastruttura dati. A ciò si aggiungono zone d’ombra giuridiche: la Corte di giustizia dell’Unione europea ha annullato il «Privacy Shield» nel 2020, e i suoi successori come l’«EU-US Data Privacy Framework» sono anch’essi criticati.

Le tensioni geopolitiche mostrano una ulteriore fragilità dei modelli globali di cloud pubblico, sia sul piano giuridico che operativo. L’UE sta ad esempio valutando tasse sui servizi digitali di gruppi americani come Amazon, Google o la piattaforma X, in reazione ai dazi doganali statunitensi. Questi sviluppi possono avere un’influenza diretta sulle infrastrutture digitali e meritano di essere integrati nella strategia cloud, che deve anche affrontare la sicurezza informatica, la conformità e la dipendenza dai grandi fornitori.

Prima di scegliere, bisogna porre domande precise: dove sono archiviati i dati, chi può accedervi e sotto quale diritto? Come recuperare i propri dati e in quale formato in caso di cambio di fornitore (reversibilità)? Quali garanzie contrattuali di sicurezza e disponibilità sono offerte? Non dipendere da una soluzione unica ed esaminare un cloud privato o un fornitore controllato permette alle PMI svizzere di rafforzare la sovranità dei propri dati, la sicurezza e la conformità.

Un fornitore svizzero di cloud privato può rispondere a queste domande. MTF Solutions posiziona la sua offerta per le PMI svizzere sulla sovranità dei dati, la sicurezza e la conformità.

Confronto dei modelli di cloud per le PMI svizzere

Da dove cominciare già da domani

L’ordine di priorità più efficace è il seguente. Valutare i rischi e la criticità dei dati. Mettere in sicurezza il backup, includendo il ripristino testato e una copia offline o esterna.

Formalizzare un piano di emergenza con i ruoli e le procedure di ripristino. Poi formare i collaboratori ai gesti di base: password, phishing, segnalazione di un incidente.

La revisione deve essere pianificata, non lasciata al caso. Ad ogni cambiamento significativo del parco macchine, del software aziendale o del fornitore cloud, la lista dei dati critici, il calendario di backup e il piano di emergenza devono essere ricontrollati. Per approfondire, l’UFCS è il punto di contatto federale verso cui vengono segnalati gli incidenti informatici.

Tre requisiti ritornano dall’inizio alla fine: un backup testato, con una copia offline o esterna; un piano di emergenza e continuità scritto, con ruoli e sostituti; una messa in conformità nLPD/OPDo, dall’identificazione dei ruoli agli obblighi di informazione. Le prime due sono tecniche (backup, RPO/RTO, piano di continuità), la terza è legale, e nessuna dispensa dalle altre.