Il ransomware non mette più alla prova solo la strategia di backup, ma verifica se l’azienda è in grado di ripristinare operazioni affidabili sotto pressione. L’intelligenza artificiale aggiunge un ulteriore livello di complessità, poiché un numero sempre maggiore di decisioni, flussi di lavoro ed esperienze dei clienti dipende ora da pipeline di dati, modelli, prompt, embedding e servizi cloud distribuiti. La superficie di attacco si sta espandendo, mentre le aspettative in materia di Recovery diventano sempre più precise.

Il rapporto IBM “2026 Cost of a Data Breach” ha rilevato che il 92% delle organizzazioni che hanno segnalato una violazione legata all’intelligenza artificiale non disponeva di adeguati controlli di accesso all’IA e che gli incidenti legati al ransomware o all’estorsione ammontavano in media a 5,12 milioni di dollari USA quando divulgati da un aggressore. Anche il DBIR 2026 di Verizon ha riportato che il ransomware era presente nel 48% delle violazioni, mentre l’uso dell’IA generativa da parte degli aggressori sta influenzando la scelta degli obiettivi, l’accesso iniziale e lo sviluppo del malware.

Un’organizzazione resiliente deve essere in grado di identificare i dati esposti o compromessi, ripristinare i servizi di identità, ripristinare i carichi di lavoro prioritari e verificare che i sistemi ripristinati siano sufficientemente puliti da supportare la successiva azione aziendale.

Perché la resilienza informatica è cambiata

Il cambiamento è anche di natura organizzativa. Il ripristino in caso di ransomware richiede un coordinamento tra infrastruttura, team informatici, responsabili delle applicazioni, ufficio legale, comunicazione e dirigenza aziendale. I team tecnici hanno bisogno di procedure operative di Recovery che riflettano le reali priorità aziendali, non solo schemi infrastrutturali. I dirigenti hanno bisogno di prove che dimostrino che i livelli di tolleranza all’impatto siano realistici. Gli operatori hanno bisogno di un ambiente in cui possano testare il Recovery senza mettere a rischio i sistemi di produzione.

Ecco perché la moderna resilienza informatica dipende da una validazione continua. Richiede alle organizzazioni di definire i servizi critici, proteggere i dati e le configurazioni da cui tali servizi dipendono e simulare il ripristino prima che un incidente imponga tali decisioni in tempo reale. In pratica, ciò significa utilizzare funzionalità quali lo storage immutabile, il ripristino isolato, il rilevamento di malware e anomalie e l’orchestrazione del ripristino sensibile al carico di lavoro per rendere il ripristino più prevedibile proprio quando le condizioni sono meno prevedibili.

In che modo l’IA cambia la Readiness per il ransomware

L’IA modifica la resilienza informatica aumentando la quantità di dati critici per l’azienda che devono essere gestiti, protetti e recuperabili. Le applicazioni di IA dipendono da dati di addestramento, fonti di generazione potenziate dal recupero, archivi vettoriali, output dei modelli, prompt, log e flussi di lavoro collegati tramite API. Ciascun elemento può creare nuove vulnerabilità se il controllo degli accessi, la classificazione e la pianificazione del Recovery non tengono il passo.

Anche gli autori degli attacchi utilizzano l’IA per aumentare la portata e la precisione delle loro operazioni. IBM ha segnalato che nel 25% delle violazioni gli autori degli attacchi hanno fatto ricorso all’IA, con un aumento vertiginoso del 56% rispetto all’anno scorso. La maggior parte di questi attacchi ha impiegato tecniche di phishing generate dall’IA e l’usurpazione d’identità tramite deepfake. Il DBIR 2026 di Verizon descrive come gli autori delle minacce utilizzino l’IA generativa per l’individuazione degli obiettivi, l’accesso iniziale, la ricerca delle vulnerabilità e lo sviluppo di strumenti. La conclusione pratica è che la pianificazione del Recovery deve tenere conto di percorsi di attacco più rapidi e adattivi.

Per i responsabili della sicurezza, l’IA rappresenta anche parte della soluzione se utilizzata in combinazione con una governance adeguata. Il rilevamento delle anomalie assistito dall’IA, la ricerca delle minacce e l’intelligence di Recovery possono aiutare i team a identificare comportamenti insoliti, valutare i punti di ripristino, isolare i file compromessi e impedire che vengano ripristinati, nonché stabilire le priorità delle azioni di risposta.

Tuttavia, tali funzionalità sono più utili quando si basano su una solida base di dati. Le organizzazioni devono sapere quali dati sensibili esistono, dove sono archiviati, chi o cosa può accedervi e se i sistemi di IA li stanno utilizzando in modo appropriato.

Le funzionalità di Commvault, come Risk Analysis, possono supportare tale base aiutando i team a individuare, classificare e valutare i rischi legati ai dati. Per gli ambienti che dipendono dall’IA, la questione della resilienza diventa molto specifica: l’organizzazione è in grado di recuperare i dati, i sistemi e i percorsi di accesso necessari per le operazioni basate sull’IA senza ripristinare dati compromessi o sovraesposti? La resilienza informatica deve coprire l’intera catena.

Cosa richiede un ripristino sicuro

Un ripristino pulito parte dal presupposto che non tutti i backup siano sicuri da ripristinare. Gli autori degli attacchi ransomware spesso cercano di corrompere, crittografare, eliminare o manomettere le fonti di ripristino prima che i responsabili della sicurezza comprendano la portata completa della compromissione. Ciò rende il ripristino un problema di affidabilità dei dati. I team hanno bisogno di un modo per identificare i punti di ripristino validi, isolare le attività di ripristino, eseguire la scansione alla ricerca di minacce e convalidare i carichi di lavoro ripristinati prima di riportarli in produzione.

Esistono tre requisiti essenziali per procedere con una Recovery pulita:

1. Archiviazione di backup resiliente. Copie immutabili e indelebili aiutano a mantenere disponibili i dati di ripristino entro i parametri di conservazione definiti, anche se i sistemi di produzione sono compromessi. Un’architettura “air-gapped” garantisce un’ulteriore separazione dall’ambiente colpito. Funzionalità come Commvault AirGap possono aiutare le organizzazioni a mantenere copie di backup protette a supporto della pianificazione del ripristino in caso di ransomware.
2. Un ambiente isolato per testare e preparare il ripristino. Il ripristino diretto in produzione può aumentare il rischio quando i team stanno ancora indagando sull’entità dell’attacco. Commvault Cleanroom supporta test di ripristino sicuri e isolati, analisi forense informatica e preparazione del ripristino, consentendo ai team di convalidare i carichi di lavoro prima di procedere a un ripristino più ampio.
3. Priorità di Recovery. Dopo un incidente di ransomware, la questione non è solo la rapidità con cui i dati possono essere ripristinati, ma quali sistemi devono essere ripristinati per primi per garantire il funzionamento minimo indispensabile. I servizi di identità, le piattaforme di comunicazione, le applicazioni rivolte ai clienti e gli archivi di dati fondamentali potrebbero dover essere ripristinati in una sequenza specifica. Ecco perché la resilienza informatica dipende dai runbook, dall’automazione e dai test. Un piano di Recovery efficace deve riflettere il modo in cui l’azienda opera effettivamente.

In che modo Commvault contribuisce alla resilienza informatica

Commvault Cloud contribuisce alla resilienza informatica integrando in un’unica piattaforma funzionalità di protezione dei dati, sicurezza dei dati, ripristino delle identità e ripristino pulito. Questo è fondamentale perché il ransomware e le interruzioni legate all’era dell’intelligenza artificiale non rispettano i confini delle infrastrutture. I dati critici possono essere distribuiti su sistemi on-premise, carichi di lavoro nel cloud, applicazioni SaaS, endpoint, database, archivi di file e ambienti di dati per l’intelligenza artificiale. La pianificazione del ripristino deve coprire tutti questi ambienti senza costringere i team a seguire flussi di lavoro disgiunti.

Per la Readiness contro il ransomware, Commvault Cloud può aiutare le organizzazioni a mantenere copie di backup immutabili e indelebili, a utilizzare archiviazione “air-gapped” e a eseguire il ripristino in ambienti isolati. Commvault Cleanroom aiuta i team a testare i piani di ripristino, a condurre la convalida del ripristino e a supportare le indagini forensi senza fare affidamento sull’infrastruttura di produzione. Le funzionalità di ripristino assistite dall’intelligenza artificiale possono aiutare a identificare opzioni di ripristino più pulite e a migliorare il processo decisionale durante il ripristino.

Per quanto riguarda la sicurezza dei dati, Commvault Risk Analysis aiuta a individuare e classificare i dati sensibili, consentendo ai team di comprendere dove sussistono rischi di esposizione prima e dopo un incidente. Ciò assume un’importanza sempre maggiore man mano che i sistemi di IA consumano e generano una quantità crescente di dati in tutte le funzioni aziendali.

Per quanto riguarda la resilienza delle identità, le funzionalità di resilienza di Commvault per Active Directory ed Entra ID aiutano i team a ripristinare i sistemi di gestione delle identità che potrebbero essere necessari prima di poter accedere e ripristinare altre applicazioni critiche.

Il valore più ampio è di natura operativa. La resilienza informatica migliora quando i team sono in grado di definire le priorità di Recovery, verificare percorsi di Recovery sicuri e dimostrare che i servizi critici possono essere ripristinati in condizioni realistiche. Commvault non sostituisce la necessità di una risposta disciplinata agli incidenti o di una pianificazione della resilienza. Offre ai team funzionalità della piattaforma che possono contribuire a rendere tali piani più misurabili, ripetibili ed eseguibili in ambienti ibridi.

Rendere misurabile la resilienza informatica prima del prossimo attacco

L’intelligenza artificiale e il ransomware stanno cambiando il dibattito sul Recovery, passando da “Abbiamo dei backup?” a “Siamo in grado di ripristinare le operazioni affidabili nell’ordine corretto, a partire da dati affidabili, con la prova che il percorso di Recovery funziona?”. Questa distinzione è importante perché le interruzioni possono influire contemporaneamente su identità, dati di produzione, applicazioni SaaS, carichi di lavoro cloud, pipeline di intelligenza artificiale e infrastruttura di Recovery.

La resilienza informatica dipende dalla visibilità dei rischi legati ai dati, da copie di backup resilienti, dal ripristino delle identità, dalla convalida di un ripristino corretto e da flussi di lavoro collaudati e allineati alle priorità aziendali. Commvault Cloud riunisce funzionalità di protezione dei dati, sicurezza dei dati, ripristino informatico e resilienza delle identità in ambienti ibridi per supportare tale modello.

È fondamentale rendere misurabile la resilienza prima che il prossimo incidente la metta alla prova. I team dovrebbero adottare misure fin da ora per definire le operazioni minime essenziali, identificare ciò che deve essere ripristinato per primo, convalidare il ripristino in ambienti isolati e mantenere i piani di Recovery allineati ai mutevoli rischi legati all’IA e al ransomware.

La resilienza informatica viene sempre più spesso valutata in base a ciò che accade dopo che gli aggressori sono riusciti a penetrare nei sistemi. Le organizzazioni hanno investito ingenti risorse nella prevenzione, nel rilevamento e nella risposta, ma il ransomware, lo sfruttamento delle vulnerabilità, l’uso improprio delle credenziali, le configurazioni errate del cloud e la compromissione di sistemi di terze parti continuano a causare interruzioni delle operazioni.

Per molti team, la sfida della Recovery non consiste più semplicemente nel verificare se esistono dei backup, ma piuttosto se tali backup sono integri, protetti, convalidati e pronti per ripristinare i servizi critici quando non è più possibile fare affidamento sui sistemi di produzione.

Questa distinzione è importante perché gli attacchi informatici continuano a generare sia rischi per i dati che interruzioni operative. Secondo il Verizon 2026 Data Breach Investigations Report, il ransomware è stato coinvolto nel 48% delle violazioni, in aumento rispetto al 44% dell’anno precedente. Il rapporto ha inoltre rilevato che lo sfruttamento delle vulnerabilità è diventato il vettore di accesso iniziale più comune per le violazioni, salendo al 31%, mentre l’abuso delle credenziali è sceso al 13%.

Le attività di Backup and Recovery nel cloud devono supportare l’intero percorso, dal rilevamento al ripristino. Ciò inizia con l’identificazione di attività sospette prima che i dati compromessi vengano ripristinati. Prosegue con punti di Recovery protetti e immutabili che offrono ai team opzioni di Recovery utilizzabili quando i sistemi di produzione non sono più affidabili.

A questo punto, le organizzazioni hanno bisogno di un modo per verificare quali punti di ripristino siano integri e per ripristinare i carichi di lavoro critici nell’ordine corretto. Il risultato è una strategia di Recovery che aiuta i team a passare dalla risposta agli incidenti al ripristino operativo con maggiore sicurezza.

Perché il Backup and Recovery su cloud costituiscono una strategia di resilienza informatica?

Le strategie di backup tradizionali sono state progettate per aiutare le organizzazioni a riprendersi da guasti hardware, cancellazioni accidentali e interruzioni localizzate. Questi casi d’uso sono ancora importanti, ma oggi i requisiti di Recovery sono più ampi.

Gli attacchi informatici possono colpire contemporaneamente i carichi di lavoro di produzione, i sistemi di gestione delle identità, le configurazioni cloud, le applicazioni SaaS e gli ambienti di backup. Quando ciò accade, il Recovery non consiste semplicemente nel ripristinare una copia dei dati. Si tratta piuttosto di determinare quali sistemi siano affidabili, quali punti di ripristino siano rimasti integri e quali servizi debbano essere ripristinati per primi.

Ecco perché il Backup and Recovery nel cloud sono diventati una parte fondamentale della resilienza informatica. Una strategia moderna dovrebbe aiutare i team a rilevare attività sospette, proteggere i dati di ripristino, verificare l’integrità dei backup e ripristinare le operazioni critiche secondo una sequenza controllata. Dovrebbe inoltre favorire l’esecuzione di test regolari, poiché un piano di ripristino che non è stato messo in pratica potrebbe non funzionare come previsto durante un incidente reale.

Ciò segna un passaggio dal backup inteso come polizza assicurativa alla recuperabilità intesa come capacità operativa. Le copie archiviate sono ancora importanti, ma costituiscono solo una parte dell’equazione della Recovery. I team devono inoltre avere la certezza che i dati di Recovery non siano stati alterati, che i flussi di lavoro di Recovery siano stati testati e che l’azienda sappia quali servizi devono essere ripristinati per primi.

Il Backup and Recovery nel cloud diventa più facile da comprendere se considerato come un ciclo di vita. Le cinque fasi riportate di seguito mostrano come le organizzazioni possano passare dal rilevamento precoce delle minacce al Recovery convalidato e al miglioramento della resilienza a lungo termine.

Fase 1: Individuare le minacce prima che il rischio di Recovery si diffonda

Recovery inizia prima che i sistemi vengano riportati allo stato precedente. In caso di incidente informatico, la priorità assoluta è capire se l’attività sospetta abbia interessato i dati di produzione, i dati di backup o entrambi.

Se i team eseguono il ripristino da un punto di ripristino compromesso, potrebbero reintrodurre nell’ambiente file danneggiati, tracce di malware o modifiche non autorizzate. Questo rischio rende il rilevamento delle minacce una parte importante del Backup and Recovery nel cloud, non solo una questione che riguarda le operazioni di sicurezza.

Le moderne strategie di Recovery dovrebbero includere la visibilità sulle attività anomale nei carichi di lavoro, negli ambienti di backup e nei punti di Recovery. I team potrebbero dover indagare su segnali quali:

• Comportamento di crittografia insolito
• Picchi improvvisi di cancellazioni
• Modifiche impreviste dei privilegi
• Modelli di backup anomali
• Indicatori di malware

Questi segnali possono aiutare i team a capire dove un attacco potrebbe essersi diffuso e quali dati potrebbero richiedere un’ulteriore verifica prima del ripristino.

La tempistica è un altro fattore essenziale. Il Rapporto sulla difesa digitale 2025 di Microsoft ha rilevato che la maggior parte degli attacchi esaminati dal suo team di rilevamento e risposta (DART) presentava tempi di permanenza brevi, il che significa che i team di ripristino potrebbero non avere settimane a disposizione per comprendere la portata completa della compromissione prima che gli aggressori si spostino lateralmente, accedano a dati sensibili, interferiscano con i servizi o tentino di compromettere i sistemi di backup. Il contesto di rilevamento può aiutare i team a evitare di considerare ogni punto di ripristino ugualmente affidabile.

Il rilevamento delle minacce, di per sé, non elimina il rischio legato al Recovery. Contribuisce invece a rendere il processo di Recovery più consapevole. Quando un’attività sospetta viene individuata tempestivamente, le organizzazioni possono isolare i sistemi interessati, analizzare i dati compromessi ed evitare di ripristinare punti di ripristino che potrebbero reintrodurre la stessa minaccia.

Ciò offre ai team di sicurezza, IT e di Recovery un punto di partenza più chiaro per la fase successiva: proteggere i punti di ripristino integri prima che gli autori degli attacchi possano alterarli o rimuoverli.

Fase 2: Proteggere i punti di Recovery integri dagli attacchi

In caso di incidente informatico, i backup non sono semplici copie archiviate. Fanno parte del percorso di Recovery, il che significa che gli aggressori potrebbero tentare di comprometterli. Se i dati di backup vengono alterati, crittografati, eliminati o resi inaccessibili, l’organizzazione potrebbe perdere una delle sue migliori opzioni per ripristinare le operazioni senza dover fare affidamento su sistemi di produzione compromessi.

Ecco perché i punti di ripristino integri necessitano di una protezione a più livelli. Uno storage di backup immutabile e indelebile può aiutare a preservare i dati per un periodo di conservazione definito. Le copie fuori sede o isolate contribuiscono a garantire una separazione dall’ambiente di produzione. La crittografia, i controlli di accesso e le autorizzazioni basate sui ruoli aiutano a limitare chi può accedere o modificare le impostazioni di backup. Insieme, queste misure di sicurezza rendono più difficile per gli aggressori interferire con i dati di cui i team potrebbero avere maggiormente bisogno durante il ripristino.

L’obiettivo è preservare le opzioni di ripristino. Il rapporto Verizon del 2026 ha rilevato che il 69% delle vittime di ransomware nel proprio dataset non ha pagato il riscatto, in aumento rispetto al 65% dell’anno precedente. Il rapporto rileva inoltre che i pagamenti mediani del riscatto hanno continuato a diminuire, un fenomeno che attribuisce in parte al miglioramento delle misure difensive e alla maggiore resilienza delle vittime. I team hanno bisogno di backup integri che possano effettivamente utilizzare, in modo che il pagamento di un riscatto non sia l’unica via per tornare operativi.

La nota regola di backup 3-2-1 costituisce ancora una base utile: conservare tre copie dei dati, su due supporti o piattaforme diversi, con almeno una copia archiviata fuori sede o in un luogo isolato. Le moderne strategie di Backup and Recovery nel cloud spesso estendono tale modello con archiviazione immutabile, modelli air-gapped, conservazione basata su policy e copie replicate in ambienti cloud o ibridi.

Con punti di ripristino protetti a disposizione, i team possono restringere le opzioni di ripristino e passare alla fase di convalida con una visione più chiara di ciò che è pronto per essere ripristinato.

Fase 3: Verificare quali backup sono pronti per il ripristino

Disporre di backup non significa essere pronti per il ripristino. Prima di ripristinare i sistemi di produzione, i team devono sapere quali punti di ripristino sono utilizzabili, quali carichi di lavoro sono stati interessati e quali dipendenze devono essere ripristinate insieme a essi.

Un backup recente potrebbe contenere i dati aziendali più aggiornati, ma potrebbe anche includere file danneggiati, modifiche non autorizzate o tracce di malware. Un backup più vecchio potrebbe essere più pulito, ma potrebbe causare una maggiore perdita di dati. La verifica aiuta i team a trovare il giusto compromesso basandosi su prove concrete anziché su supposizioni.

Questo lavoro inizia con la definizione dell’ambito dell’incidente. I team di sicurezza e IT devono capire quando sono iniziate le attività sospette, quali sistemi sono stati coinvolti e se sono stati interessati servizi di identità, database, condivisioni di file, applicazioni SaaS o configurazioni cloud.

Devono inoltre confermare se il punto di Recovery supporti l’applicazione nel suo complesso, non solo i dati sottostanti. Il ripristino di un database, ad esempio, può dipendere dalla disponibilità e dal corretto funzionamento di server applicativi, autorizzazioni, chiavi di crittografia, percorsi di rete e servizi di identità.

Gli ambienti di Recovery isolati possono aiutare i team a verificare tali condizioni prima di eseguire il ripristino in produzione. In un ambiente controllato, i team possono in tutta sicurezza:

• Analizzare i punti di Recovery selezionati.
• Esaminare le modifiche ai file.
• Verificare l’avvio dell’applicazione.
• Verificare l’accesso degli utenti.
• Verificare se i sistemi dipendenti funzionano come previsto.

La convalida dovrebbe anche orientare la sequenza di Recovery. I team potrebbero dover ripristinare prima i servizi di identità, poi l’infrastruttura di base, quindi le applicazioni mission-critical e infine i carichi di lavoro di supporto.

Testando i punti di Recovery prima del ripristino, possono restringere le opzioni e decidere quali sistemi sono pronti per essere ripristinati, quali necessitano di un’ulteriore revisione e quali dovrebbero rimanere isolati fino a quando il rischio non sarà compreso meglio.

La fase successiva è quella in cui tale decisione si traduce in azione: il ripristino dei sistemi, delle applicazioni e dei dati di cui l’azienda ha bisogno per primi.

Fase 4: Ripristinare le operazioni critiche nell’ordine corretto

Un piano di ripristino parte dallo stato operativo minimo necessario dell’organizzazione. Ciò significa identificare le persone, i sistemi, le applicazioni, i dati e i canali di comunicazione di cui l’azienda ha bisogno per funzionare a un livello di base durante un’interruzione.

Per alcune organizzazioni, ciò potrebbe iniziare con i servizi di identità e le comunicazioni con i dipendenti. Per altre, potrebbe dare priorità alle applicazioni rivolte ai clienti, ai sistemi di pagamento, ai sistemi clinici, alle operazioni di produzione o alle piattaforme logistiche. L’ordine dovrebbe riflettere l’impatto sul business, non solo la convenienza tecnica.

Le dipendenze sono il punto in cui molti piani di ripristino diventano più complicati. Un’applicazione può essere classificata come “critica”, ma dipende comunque dall’identità, dal DNS, dalla connettività di rete, dai database, dallo storage, dalle chiavi di crittografia, dalle API e dal monitoraggio. Se questi elementi non vengono ripristinati nello stato corretto, l’applicazione potrebbe tornare online ma rimanere inutilizzabile. Ecco perché i team di Recovery hanno bisogno di una mappatura delle dipendenze prima di un incidente, non durante.

I runbook e i flussi di lavoro orchestrati aiutano a trasformare tali decisioni in passaggi ripetibili. Consentono di definire chi approva il ripristino, quale ambiente debba essere utilizzato, quali controlli debbano essere effettuati prima che venga ripristinato l’accesso all’ambiente di produzione e quando il livello successivo di sistemi possa tornare online. Ciò è importante quando i team di sicurezza, infrastruttura, applicazioni, cloud e aziendali lavorano tutti contemporaneamente.

Anche il Recovery richiede punti di controllo. Dopo il Recovery di ogni carico di lavoro principale, i team dovrebbero verificare che gli utenti possano autenticarsi, che i dati siano disponibili, che le integrazioni funzionino e che il monitoraggio sia attivo. Questi controlli aiutano a individuare i problemi prima che il Recovery si estenda al livello successivo di sistemi.

La velocità è ancora importante, ma il controllo lo è altrettanto. Un ripristino veloce può generare più lavoro se vengono ripristinati dati errati, se mancano i controlli di accesso o se un’applicazione viene ripristinata senza i sistemi necessari per il suo funzionamento. L’approccio più efficace consiste nel ripristinare per fasi, verificare che ogni servizio critico funzioni e poi continuare ad espandere Recovery man mano che l’ambiente si stabilizza.

Fase 5: Trasformare gli insegnamenti tratti dal Recovery in una continuità più solida

Una volta ripristinati i servizi critici, i team devono comunque capire cosa ha funzionato, cosa li ha rallentati e in quali punti il piano di Recovery non ha tenuto conto della realtà. È proprio questo follow-up che trasforma il Backup and Recovery nel cloud da un’attività di risposta a una pratica di resilienza continua.

Il primo passo consiste nell’analizzare il processo di Recovery stesso. I team dovrebbero porsi domande quali:

• Con quale rapidità i team hanno individuato attività sospette?
• È stato facile identificare i punti di Recovery validi?
• Quali fasi di convalida hanno richiesto più tempo del previsto?
• In quali punti i flussi di lavoro di ripristino hanno subito rallentamenti?
• Sono state coinvolte le persone giuste al momento giusto?

Queste risposte possono rivelare lacune che non sono sempre di natura tecnica. La Recovery può avere esito positivo e tuttavia evidenziare problemi relativi al processo decisionale, alla comunicazione, alle approvazioni o ai passaggi di consegne tra i team.

Tali risultati dovrebbero confluire direttamente nella prossima versione del piano di Recovery. Se un’applicazione critica dipendeva da un sistema non documentato, aggiornare la mappa delle dipendenze. Se i controlli di accesso hanno rallentato il ripristino, chiarire il processo di approvazione. Se i test di Recovery hanno tralasciato un carico di lavoro chiave, aggiungerlo alla prossima esercitazione. Se i dirigenti aziendali non avevano visibilità su ciò che era stato ripristinato e su ciò che era ancora offline, migliorare i percorsi di segnalazione e di escalation.

I test regolari sono ciò che garantisce la solidità di questo lavoro. Esercitazioni teoriche, ripristini isolati, test di Recovery in ambiente pulito e la convalida della Recovery cross-cloud aiutano i team a individuare i problemi prima che un incidente reale li costringa ad apprendere sotto pressione. Contribuiscono inoltre a fornire ai dirigenti prove più concrete di dove l’organizzazione è pronta e dove deve ancora lavorare.

Nel tempo, l’obiettivo è un programma di Recovery che diventi più efficace dopo ogni test e ogni incidente. I team sono meglio preparati, le fasi di Recovery sono comprese più a fondo e l’organizzazione dispone di un percorso più chiaro per mantenere operative le attività essenziali anche in caso di interruzioni.

Trasformare il Recovery dal cloud in resilienza aziendale

 Il Backup and Recovery nel cloud svolge oggi un ruolo più ampio rispetto alla semplice protezione dei dati tradizionale. Si tratta di un processo integrato che comprende l’individuazione dei rischi di Recovery, la protezione dei dati di backup, la verifica delle opzioni di Recovery corrette e il ripristino dei servizi critici quando gli ambienti di produzione non sono più affidabili.

In caso di incidente informatico, tali attività non possono essere gestite come passaggi di consegne separati. Il contesto della minaccia dovrebbe determinare quali backup devono essere esaminati. La protezione dei backup dovrebbe preservare le opzioni di Recovery di cui i team potrebbero aver bisogno. La verifica dovrebbe stabilire cosa è pronto per il ripristino. Il ripristino dovrebbe ripristinare i servizi da cui dipende l’azienda in un ordine controllato.

Un backup di cui non ci si può fidare, che non è stato testato o che non può essere ripristinato al momento giusto potrebbe non fornire all’azienda il risultato di cui ha bisogno. Un processo di ripristino che ignori l’identità, le dipendenze delle applicazioni o le priorità aziendali può lasciare i sistemi tecnicamente ripristinati ma operativamente incompleti.

L’opportunità più ampia consiste nel considerare il Recovery come una pratica di resilienza continua. Ciò significa testare i piani prima che si verifichi un incidente, aggiornare le mappe delle dipendenze man mano che gli ambienti cambiano e utilizzare ogni esercitazione o evento di Recovery per migliorare la risposta successiva.

Le organizzazioni che si riprendono più rapidamente non sono necessariamente quelle con il maggior numero di copie dei dati. È fondamentale sapere quali dati sono utilizzabili, quali servizi sono più importanti e come ripristinarli in situazioni di emergenza.

La sfida consiste nel rendere la Readiness per il ripristino operativa quanto il rilevamento e la risposta. Il Backup and Recovery nel cloud forniscono una base pratica per questo lavoro quando vengono considerati come un percorso continuo che va dal rilevamento del rischio al ripristino delle attività aziendali.

Le organizzazioni dovrebbero sviluppare questa capacità per essere meglio posizionate a ripristinare dati integri, recuperare i servizi critici e mantenere l’attività in funzione quando si verificano interruzioni.

Perché la divulgazione dei dati sensibili rappresenta la principale falla nella sicurezza?

I dati sono il carburante inestimabile che alimenta le aziende moderne. Per questo motivo, le organizzazioni hanno deciso di investire massicciamente in strumenti di sicurezza sofisticati.

Tuttavia, secondo il rapporto “2025 State of Data Security” di Varonis, il 90% delle organizzazioni presenta ancora dati sensibili esposti nel cloud. Analogamente, l’88% delle organizzazioni ha utenti fantasma inattivi ma ancora abilitati.

Ma non è tutto. Secondo il rapporto di IBM del 2025 sul costo delle violazioni dei dati, il 53% delle organizzazioni vittime di violazioni ha segnalato la compromissione delle informazioni personali identificative (PII) dei clienti. Queste statistiche dipingono un quadro chiaro: sebbene i dati siano fondamentali per le aziende, la visibilità e la sicurezza complessiva rimangono questioni critiche. 

I dati non sono più limitati ai database strutturati. Sono presenti in file, e-mail, piattaforme cloud, applicazioni SaaS ed endpoint. Gran parte di essi è non strutturata, duplicata o non gestita, il che ne rende difficile il monitoraggio e la protezione.

L’intelligenza artificiale sta amplificando questo problema. Circa il 40% dei file caricati sugli strumenti di IA generativa contiene informazioni sensibili, spesso prive di governance o supervisione. Con la crescente diffusione dell’IA, aumenta anche il numero di sistemi e identità che interagiscono con i dati.

Senza una visione chiara di quali dati esistono e dove si trovano, le organizzazioni non possono proteggerli in modo efficace. Questa mancanza di visibilità è alla base del problema della sicurezza dei dati al giorno d’oggi.

Quali sono i pilastri della sicurezza dei dati e dell’IA?

Per affrontare la sfida rappresentata dall’esposizione dei dati, le organizzazioni necessitano di un approccio strutturato che garantisca coerenza e controllo nella gestione dei dati. La sicurezza dei dati e dell’IA si fonda su tre pilastri fondamentali: individuazione dei dati, classificazione dei dati e governance dell’accesso ai dati e all’IA.

Ciascun pilastro colma una lacuna significativa:

• L’individuazione offre visibilità sulla posizione dei dati in tutti gli ambienti. Ciò include sistemi strutturati come i database, nonché fonti semi-strutturate e non strutturate che spesso vengono trascurate.
• La classificazione aggiunge contesto identificando il tipo e la sensibilità dei dati. Consente alle organizzazioni di distinguere tra dati operativi, informazioni personali sensibili, documenti finanziari, proprietà intellettuale e altre categorie ad alto rischio.
• La governance degli accessi consente alle organizzazioni di verificare che i dati vengano utilizzati in modo appropriato. Definisce chi o cosa può accedere ai dati, a quali condizioni e con quale livello di controllo.

Questi tre pilastri non esistono in modo indipendente. Essi creano un sistema interconnesso che copre interamente la sicurezza dei dati e dell’IA. L’individuazione identifica il panorama completo dei dati, la classificazione definisce il livello di sensibilità appropriato e la governance degli accessi applica il controllo in base a tale contesto.

Questo modello si estende anche oltre gli utenti umani per includere identità machine quali i modelli di IA. Negli ambienti moderni, queste identità non umane rappresentano spesso una parte significativa dell’attività di accesso ai dati. L’integrazione di questi pilastri può aiutare le organizzazioni a passare da controlli di sicurezza frammentati a un approccio unificato e basato su politiche.

In che modo le organizzazioni possono individuare e classificare i dati sensibili?

L’individuazione e la classificazione sono fondamentali per un modello di sicurezza dei dati efficace. Tuttavia, spesso sono le più difficili da implementare in modo efficace.

Ciò è dovuto al fatto che i moderni ambienti di dati sono altamente frammentati. Le informazioni sensibili sono distribuite su più piattaforme cloud, sistemi on-premise, applicazioni SaaS ed endpoint. Una parte significativa di questi dati è di natura non strutturata, il che ne complica l’identificazione e la categorizzazione.

Tra le sfide più rilevanti figurano:

• Dati “ombra” che esistono all’insaputa degli amministratori, senza approvazione né controllo di sicurezza.
• Formati non uniformi tra dati strutturati e non strutturati.
• Rapida crescita dei dati dovuta all’adozione dell’intelligenza artificiale, che supera la capacità di classificazione manuale.

Per far fronte a questa situazione, le organizzazioni necessitano di capacità di individuazione scalabili e di framework di classificazione. Una corretta classificazione può attribuire un significato alle vaste quantità di dati esistenti. Ciò include in genere categorie quali le informazioni di identificazione personale (PII), le informazioni sanitarie protette (PHI), i dati PCI, la proprietà intellettuale, nonché chiavi e segreti.

Il valore della classificazione deriva dal modo in cui viene utilizzata. Una volta classificati i dati, le organizzazioni possono applicare efficacemente le politiche di conservazione e cancellazione, limitare o monitorare l’accesso e abilitare il mascheramento o la redazione dei campi sensibili.

Su larga scala, un approccio maturo all’individuazione e alla classificazione non si limita a garantire la copertura, ma contribuisce anche a produrre risultati significativi. Tra questi figurano una minore esposizione al rischio, una migliore applicazione delle politiche e una riduzione misurabile del rischio.

Quali sono i principali rischi legati a un accesso troppo permissivo?

Secondo una ricerca condotta da ReliaQuest, il 99% delle identità cloud dispone di privilegi eccessivi. Analogamente, uno studio del 2025 del Ponemon Institute evidenzia che il 61% delle aziende statunitensi ha subito violazioni dei dati da parte di personale interno negli ultimi due anni, con un costo medio di tali incidenti pari a ben 2,7 milioni di dollari.

Ciò dimostra che, anche quando le organizzazioni hanno una chiara comprensione dei propri dati, l’accesso rimane uno dei punti più deboli della sicurezza.

Si parla di accesso eccessivamente permissivo quando utenti, applicazioni o account di servizio dispongono di un accesso ai dati superiore a quello necessario. Si tratta di un problema molto diffuso, poiché i controlli di accesso vengono spesso concessi in modo generico per motivi di praticità e raramente rivisti.

L’impatto è significativo. Un accesso eccessivo aumenta la probabilità di esposizione accidentale, di rischi interni e di sfruttamento in caso di violazione.

Per affrontare questo problema, le organizzazioni devono innanzitutto esaminare attentamente i modelli di accesso. Ciò include individuare chi accede ai dati sensibili, quali sistemi o identità sono coinvolti e se tale accesso è in linea con le esigenze aziendali.

Particolare attenzione deve essere riservata agli account privilegiati e alle identità di servizio. Questi dispongono spesso di autorizzazioni estese e possono accedere a grandi volumi di dati sensibili su diversi sistemi.

In questo contesto, una governance efficace degli accessi è fondamentale. Ciò richiede:

• Allineare le politiche di accesso alla classificazione dei dati.
• Monitorare continuamente i modelli di utilizzo.
• Identificare e correggere le deviazioni di accesso nel tempo.

Riducendo gli accessi non necessari, le organizzazioni contribuiscono a limitare la propria superficie di attacco e a migliorare la protezione complessiva dei dati.

In che modo le organizzazioni dovrebbero gestire i dati utilizzati dai sistemi di intelligenza artificiale?

L’adozione dell’IA si sta rapidamente diffondendo in ogni aspetto delle aziende moderne. Ciò introduce un nuovo livello di complessità nelle modalità di accesso, elaborazione e divulgazione dei dati.

I set di dati di addestramento spesso includono grandi volumi di dati provenienti da tutta l’organizzazione. Senza un’adeguata classificazione e governance, questi set di dati potrebbero contenere informazioni sensibili o soggette a normative.

Ciò comporta rischi in diverse fasi:

• Durante la preparazione dei dati e l’addestramento.
• Quando i modelli interagiscono con i dati in tempo reale.
• Attraverso i risultati che potrebbero divulgare involontariamente informazioni sensibili.

Pertanto, la classificazione deve precedere l’addestramento del modello. Ciò significa convalidare e classificare tutti i dati utilizzati nei set di dati e rimuovere le informazioni sensibili quando necessario.

Allo stesso modo, dopo l’implementazione degli strumenti di IA, i team che si occupano dei dati devono valutare continuamente come i modelli utilizzano ed espongono i dati. Dovrebbero inoltre applicare meccanismi di controllo appropriati, come il mascheramento o la redazione, ove necessario.

I sistemi di IA non dovrebbero essere considerati separatamente dalla sicurezza dei dati. Essi rappresentano un’estensione delle modalità di utilizzo dei dati e devono essere gestiti di conseguenza. Integrando tali funzionalità di sicurezza dei dati e dell’IA nel più ampio ciclo di vita dello sviluppo dell’IA, le organizzazioni possono contribuire a ridurre i rischi pur continuando a favorire l’innovazione.

In che modo la classificazione dei dati favorisce la conformità normativa?

La conformità normativa dipende dalla capacità di identificare e controllare i dati sensibili. Normative quali il GDPR, l’HIPAA e il PCI DSS definiscono requisiti specifici su come i dati devono essere gestiti. Tuttavia, tali requisiti non possono essere applicati senza prima comprendere dove si trovano i dati soggetti a regolamentazione.

Ecco perché i programmi di conformità falliscono in assenza di una solida base di dati.

In questi casi, la classificazione dei dati funge da spina dorsale della conformità, mappando i dati alle categorie normative. Consente alle organizzazioni di applicare controlli mirati in base alla sensibilità dei dati e di far rispettare le politiche relative al ciclo di vita dei dati critici.

Ciò apre la strada a una miriade di funzionalità essenziali:

• Applicazione delle politiche di conservazione e cancellazione
• Limitazione dell’accesso ai dati soggetti a regolamentazione
• Implementazione di controlli fondamentali sulla privacy

Inoltre, semplifica i processi di audit. Le organizzazioni possono dimostrare dove risiedono i dati sensibili, come sono protetti e chi vi ha accesso. La governance degli accessi rafforza ulteriormente la conformità garantendo che solo le identità autorizzate possano interagire con i dati regolamentati.

Insieme, la classificazione dei dati e i controlli di accesso ridefiniscono la conformità nell’era moderna, basata sull’intelligenza artificiale.

In che modo Commvault Cloud ti aiuta a individuare e gestire la protezione dei carichi di lavoro?

Una protezione efficace dei dati dipende dalla conoscenza di ciò che si possiede prima che si verifichi un incidente, non dall’individuazione delle lacune durante la fase di Recovery. Commvault Cloud è progettato per aiutare le organizzazioni a individuare, classificare e applicare continuamente le politiche di backup su risorse ibride e multi-cloud, in modo che la copertura rimanga aggiornata al mutare degli ambienti.

Commvault Cloud parte da un processo di individuazione basato sull’intelligenza artificiale: effettua automaticamente l’inventario delle risorse cloud-native e ibride, identifica le risorse non coperte da policy e sottopone i carichi di lavoro a una governance centralizzata nel Command Center. Le politiche possono essere applicate in modo coerente su account, regioni e cloud, con visibilità in tempo reale sullo stato di protezione e sui costi. Poiché gli ambienti cambiano continuamente – vengono distribuiti nuovi carichi di lavoro, aggiornate le configurazioni, avviate risorse cloud – l’individuazione è progettata per funzionare come un processo continuo piuttosto che come una valutazione una tantum, aiutando i team a mantenere una copertura accurata senza necessità di verifiche manuali.

• Rilevamento basato sull’intelligenza artificiale: effettua continuamente l’inventario delle risorse cloud-native e ibride, identifica le lacune di copertura e assoggetta i nuovi carichi di lavoro a politiche centralizzate.
• Motore di policy centralizzato: Command Center applica programmi di conservazione, frequenza di backup e policy di copia coerenti su carichi di lavoro multi-cloud, ibridi e on-premise da un’unica interfaccia.
• Commvault Threat Scan: monitora continuamente i dati di backup alla ricerca di anomalie, attività di crittografia e indicatori di malware, in modo che i team di sicurezza possano intervenire prima che inizi la Recovery.
• Copie interregionali e tra diversi cloud: è possibile creare copie di backup tra diverse regioni e provider cloud per garantire la conformità, soddisfare i requisiti di residenza dei dati e rafforzare la resilienza.

Perché gli strumenti frammentati falliscono in fase di Recovery?

L’89% delle organizzazioni opera in ambienti con più di un cloud, incluse configurazioni cloud ibride e multi-cloud, eppure la maggior parte dei fallimenti nella Recovery non deriva da una mancanza di processi di backup, ma da una protezione non progettata per l’ambiente da Recovery. I carichi di lavoro distribuiti tra database cloud, piattaforme SaaS, cluster Kubernetes e sistemi on-premise presentano ciascuno requisiti di backup diversi, e gli strumenti puntuali progettati per un determinato ambiente raramente si adattano perfettamente a un altro. I carichi di lavoro distribuiti tra database cloud, piattaforme SaaS, cluster Kubernetes e sistemi on-premise presentano ciascuno requisiti di backup diversi, e gli strumenti puntuali progettati per un determinato ambiente raramente si adattano perfettamente a un altro.

I fallimenti nel Recovery mettono in luce il divario tra un backup eseguito e un servizio che si riavvia effettivamente. Le istantanee “crash-consistent” possono ripristinare i dati grezzi lasciando però i log delle transazioni, le dipendenze dei servizi e le configurazioni dei cluster in uno stato incoerente – il che significa che l’applicazione non può avviarsi anche quando i dati sono presenti. La protezione unificata dei dati può aiutare ad affrontare questo problema assicurando che i carichi di lavoro siano protetti in modo da riflettere il loro funzionamento e verificando la Readiness al ripristino prima che un incidente costringa a porsi la domanda.

Commvault Cloud supporta i responsabili della sicurezza che richiedono una recuperabilità pronta per gli audit, i team IT che gestiscono ambienti ibridi e multi-cloud, nonché i soggetti interessati al cloud e alla conformità responsabili della protezione e della convalida dei carichi di lavoro critici. Commvault è stata riconosciuta nell’IDC MarketScape: Worldwide Cyber-Recovery 2025 Vendor Assessment per i suoi punti di forza nell’architettura di cyber-recupero, nell’integrazione dell’ecosistema di sicurezza e nell’ampiezza dei carichi di lavoro.

• Monitoraggio continuo dei backup: Threat Scan monitora i dati di backup alla ricerca di indicatori di malware, attività di crittografia e comportamenti anomali, con avvisi integrati negli strumenti SIEM e SOC per una risposta coordinata agli incidenti.
• Commvault Cleanroom Recovery: progettato per eseguire il ripristino in un ambiente isolato, in modo che i team possano verificare l’integrità dei dati e confermare che i sistemi siano privi di minacce prima di tornare in produzione, riducendo così il rischio di reinfezione.
• Identificazione del punto di Recovery (Cleanpoint Identification): progettata per aiutare a individuare con precisione quando i dati potrebbero essere stati compromessi, fornendo una selezione più accurata di un punto di Recovery verificato e contribuendo a ridurre al minimo la perdita di dati.
• Ripristino orchestrato dei servizi: i flussi di lavoro di Command Center possono ripristinare i servizi dipendenti in sequenza, contribuendo a ridurre il carico di coordinamento manuale durante gli eventi di ripristino ad alta pressione.
• Protezione on-premise scalabile: HyperScale supporta la protezione on-premise per ambienti ibridi, con un’integrazione e una gestione semplificate tramite Command Center.

Prima dell’introduzione della protezione unificata dei dati, il momento più pericoloso nella gestione degli incidenti era spesso proprio il ripristino stesso, quando i team scoprivano lacune nella copertura di cui ignoravano l’esistenza. Con Commvault Cloud, i team possono passare dall’individuazione reattiva delle lacune a una governance proattiva: comprendendo quali carichi di lavoro sono protetti, a quale livello di policy e se i punti di ripristino sono stati convalidati. Questo cambiamento – dal sperare che un backup abbia funzionato al dimostrare che funziona – può fare la differenza tra un ripristino controllato e un’interruzione prolungata del servizio.