Disaster Recovery Plan: Cosa Fare nelle Prime 24 Ore di un Attacco Ransomware

Se domani mattina entri in ufficio e tutti i computer mostrano una schermata di richiesta riscatto, quanto tempo ti serve per tornare operativo? La risposta media in Italia, per una PMI che non ha mai pensato seriamente a un disaster recovery plan, è 6-12 settimane. La risposta media per una PMI con un DR plan strutturato è 24-72 ore. La differenza tra queste due risposte è la differenza tra "passiamo un brutto momento" e "siamo costretti a chiudere". Le statistiche di settore 2026 sono inequivocabili: il 60% delle PMI colpite da ransomware senza piano di ripristino chiude entro 6 mesi.

In questo articolo vediamo cos'è un Disaster Recovery Plan, le metriche fondamentali (RTO e RPO) spiegate semplici, le differenze sostanziali tra backup tradizionale e disaster recovery, perché molte aziende scoprono nel momento del bisogno che i loro backup erano inutili, e il playbook delle prime 24 ore di un attacco ransomware. Dati e best practice basati su incident response reali 2024-2026, framework CISA e linee guida vendor (Acronis, Veeam, Rubrik).

RTO e RPO: le due metriche che devi conoscere

Tutto il disaster recovery ruota intorno a due acronimi:

RTO (Recovery Time Objective) – Il tempo massimo che la tua azienda può sopportare di stare offline prima che il business impact diventi inaccettabile. RTO di 4 ore = entro 4 ore dal disastro tutto deve tornare operativo. RTO si misura in avanti dal disastro.

RPO (Recovery Point Objective) – La quantità massima di dati che puoi accettare di perdere. RPO di 1 ora = al ripristino, accetti di aver perso massimo 1 ora di lavoro. RPO si misura indietro dal disastro. Backup quotidiano = RPO 24 ore. Replica continua = RPO minuti.

Esempio concreto: e-commerce italiano. RTO 4 ore (sopra questa soglia perdi ordini, fiducia, ranking SEO). RPO 15 minuti (non puoi permetterti di perdere ordini delle ultime ore). Questi due numeri determinano tutto il design del tuo DR plan e il suo costo.

Per una PMI italiana standard, range tipici realistici:

– RTO 4-24 ore

– RPO 1-4 ore

Per infrastrutture critiche (sanità, finanza, e-commerce ad alto traffico) i target sono molto più stringenti: RTO 15 minuti-1 ora, RPO 5 minuti-1 ora.

Backup ≠ Disaster Recovery

La confusione più comune nelle PMI: pensare che avere backup = avere disaster recovery. Sbagliato. Il backup è solo un componente del DR. Il DR include:

1) Backup multipli su layer diversi (la regola 3-2-1 di cui ho già scritto in questo articolo): 3 copie, 2 supporti diversi, 1 offsite.

2) Procedure di ripristino testate – I backup esistono, ma nel 60% dei casi reali NON funzionano al primo tentativo di ripristino: corruption, incompletezza, software cambiato, hardware non disponibile. Senza test periodici, il backup è teorico.

3) Infrastruttura di failover – Dove ripristini? Su quale hardware? In quale datacenter? Se il primario è giù, hai un secondario pronto?

4) Documentazione e responsabilità – Chi fa cosa, in che ordine, con quali credenziali. Senza questo, le prime 4 ore dopo il disastro si bruciano in "chiamiamo Mario", "no, Mario è in ferie", "le password sono sul server criptato"...

5) Communication plan – Come comunichi a dipendenti, clienti, fornitori, ente regolatore. Anche legalmente: dal GDPR breach notification entro 72 ore.

Perché i backup spesso falliscono contro il ransomware

Ricerca 2026: RTO e RPO target sono raramente raggiunti durante incident ransomware reali. I motivi principali:

1) Backup compromessi. Il ransomware moderno (Conti, LockBit, BlackCat) cerca attivamente i backup connessi e li critta o cancella prima di rivelarsi. Backup su NAS aziendale connesso = perso. Backup su cloud con stesse credenziali admin = perso.

2) Dwell time alto. Tempo medio dal compromise iniziale all'attivazione ransomware: 21 giorni nel 2026. Significa che i tuoi backup degli ultimi 21 giorni potrebbero contenere già il malware. Quando ripristini, ripristini la backdoor.

3) Recovery validation richiede tempo. Non puoi semplicemente ripristinare e ripartire: devi verificare che il restore non contenga malware, rotare tutte le credenziali, controllare i sistemi compromessi. Questo aggiunge 24-72 ore al ripristino "tecnico".

4) Mancanza di playbook. Sotto stress, senza una procedura scritta, il team improvvisa. Sbaglia. Brucia tempo.

Le 5 caratteristiche di un DR plan che funziona davvero

1) Immutable backup. Backup che non possono essere modificati o cancellati nemmeno con credenziali admin compromesse. Tecnologie: S3 Object Lock (AWS), Azure Immutable Blob Storage, Veeam Hardened Repository. Costa il 15-25% in più del backup normale, ma è la sola difesa garantita contro ransomware che attacca backup.

2) Isolated/air-gapped backup. Almeno una copia di backup deve essere fisicamente o logicamente disconnessa dalla rete di produzione. Tape offline, cloud con credenziali separate, dispositivo USB ruotato manualmente. Ransomware non può attaccare ciò che non vede.

3) Test di restore mensili. Almeno una volta al mese, restore reale di un sottoinsieme su ambiente di test. Misurazione tempo. Identificazione problemi. Non test "verifichiamo che il backup esista", ma test "verifichiamo che il restore funzioni e in quanto tempo".

4) Playbook scritto e accessibile offline. Sembra ovvio ma quasi nessuno lo fa: il piano disaster recovery DEVE essere stampato e custodito in cassaforte fisica, oltre che digitale. Se il ransomware critta TUTTO, incluso il documento "come ripristinare", sei fritto. Stampa la versione corrente ogni 3 mesi.

5) RACI matrix. Chi è Responsible (esegue), chi è Accountable (decide), chi è Consulted (consultato), chi è Informed (informato). Per ogni step del piano. Senza ruoli definiti, il caos delle prime ore peggiora tutto.

Playbook: le prime 24 ore di un attacco ransomware

Cosa fare nell'ordine giusto se domani mattina trovi richiesta riscatto:

Ore 0-1: ISOLA

– Disconnetti immediatamente tutti i sistemi compromessi dalla rete. Stacca cavi, disabilita WiFi, isola VLAN.

– NON spegnere i sistemi: la RAM contiene preziose evidenze forensi.

– Disconnetti i sistemi di backup connessi prima che vengano cifrati anche loro.

– Allerta il team interno: chi fa cosa nelle prossime 24 ore (da RACI matrix).

Ore 1-4: VALUTA

– Identifica scope: quali sistemi compromessi? Da quando (timestamp del primo segno)?

– Recupera i log non compromessi (server di logging separato se l'hai).

– Identifica la variante ransomware (da nota di riscatto, da file estension). Verifica se ci sono decrypter pubblici (noransom.kaspersky.com, nomoreransom.org).

– Decisione preliminare: tentare restore o pagare riscatto. Le autorità (CSIRT Italia, FBI, Europol) sconsigliano sempre di pagare. Anche perché in 1/3 dei casi il decrypter non funziona neanche dopo il pagamento.

Ore 4-12: COMUNICA

– Notifica al CSIRT Italia (NIS2 obbligatorio se sei in scope) entro 24 ore.

– Notifica al Garante Privacy se ci sono dati personali compromessi (GDPR, 72 ore).

– Comunica al management e proprietà aziendale.

– Comunica a clienti chiave (se l'incident impatta servizi a loro).

– Comunica a dipendenti: cosa è successo, cosa NON fare (non riaccendere PC, non cliccare link), cosa aspettarsi.

Ore 12-24: RIPRISTINA

– Selezione punto di restore precedente al compromise iniziale (usa log per identificare timeline).

– Restore su infrastruttura PULITA: nuovi server, nuove credenziali, nuove chiavi.

– Validation security: scan malware, audit configuration, rotation di TUTTE le credenziali.

– Go-live progressivo: prima i sistemi business-critical, poi gli altri.

– Monitor 24/7 per i 7-14 giorni successivi (gli attaccanti spesso tornano).

Quanto costa un DR plan serio

Per una PMI media italiana (30-100 dipendenti, 5-20 server, dati critici 1-5 TB):

Setup iniziale:

– Assessment + scrittura piano: 3.000-8.000€ (consulente specialistico)

– Tecnologie immutable backup: 200-800€/mese (Veeam, Acronis, Rubrik)

– Infrastruttura failover cloud: 150-500€/mese (Azure Site Recovery, AWS Backup)

– Formazione team: 1.500-3.500€ (una tantum)

Mantenimento:

– Test mensili: 4-8 ore/mese di tempo IT interno

– Aggiornamenti annuali piano: 1.500-3.000€/anno

– Tabletop exercise (simulazione) annuale: 2.000-5.000€

Costo totale anno 1: 10.000-25.000€. Dal secondo anno: 5.000-12.000€/anno.

Da confrontare con: danno medio ransomware PMI italiana 2025: 180.000€-450.000€ tra costi diretti (downtime, ripristino emergenza, eventuale riscatto), costi indiretti (clienti persi, danno reputazione), costi legali (GDPR, NIS2). Il calcolo costo/beneficio è semplice.

Cosa fare nei prossimi 30 giorni

Se oggi non hai un DR plan, ordine pratico:

Settimana 1: censimento sistemi critici, identificazione RTO/RPO target per ognuno, mappatura dipendenze.

Settimana 2: audit dei backup esistenti (esistono? sono testati? sono immutable? sono offsite?). Quasi sicuramente troverai problemi.

Settimana 3: scrivi il primo draft del DR plan: scope, RTO/RPO target, procedure di restore, RACI matrix, communication plan.

Settimana 4: test di restore di almeno un sistema su ambiente di staging. Misura tempo reale. Calibra il piano sulla base dei dati.

Da quel momento, il piano è "vivo": ogni nuovo sistema introdotto in azienda va incluso nel piano, test mensili, revisione almeno annuale.

L'errore peggiore che osservo nelle PMI italiane è la procrastinazione: "lo facciamo il mese prossimo", "appena finiamo questo progetto". Il ransomware non aspetta. Statistica brutale: la PMI italiana media subisce un tentativo di intrusione ogni 11 giorni nel 2026. Non è "se" ma "quando".