Il cloud non è un backup… o perlomeno: non sempre.
In questo articolo parleremo di:
L’affermazione sembra strana e sicuramente penserete:
“Tutti parlano di come salvare i dati in cloud garantisca maggiore sicurezza e stavo proprio pensando di farlo anche io”
In effetti molti scambiano il backup in cloud con il fatto che qualunque cloud è un backup, ma sottovalutare alcuni aspetti può portare a fare scelte sbagliate (e talvolta addirittura pericolose).
Frequentando le diverse realtà con cui entro in contatto mi è capitato di vedere soluzioni “alla buona” che vengono esposte come se fossero “l’ultimo ritrovato della tecnica” in fatto di cybersecurity.
Ma se dovessimo pensare alla perdita di tutti i dati di un gestionale, con il fermo aziendale magari di qualche giorno, siamo veramente sicuri che affidarsi a queste soluzioni non sia più dannoso che utile?
Voglio quindi aiutare, con questo articolo, a fare un po’ di chiarezza sulle differenze tra una soluzione professionale e una basata su sistemi cloud “gratuiti” o quasi.
Quali sono le caratteristiche per un “buon backup”
Un backup per essere efficiente deve essere
- aggiornato
per permettere il recupero di dati “con il minor sforzo di reinserimento/ricostruzione” - recuperabile
garantire l’accesso nel tempo e permettere una verifica di ripristinabilità - protetto
non essere conservato nello stesso luogo e non accessibile da malintenzionati in caso di attacchi - progressivo
permettere di tornare in diversi punti di ripristino - disponibile
per avere a disposizione i dati in qualunque momento - controllato
per permettere l’accesso ai soli responsabili del servizio - e per la privacy
i dati devono essere localizzati in area UE
Abbiamo quindi a disposizione diversi servizi in cloud che possono erogare alcune di queste caratteristiche, e molti possono farsi trarre in inganno dal basso costo (o addirittura dalla gratuità delle soluzioni) e pensare che il sistema sia idoneo a svolgere il compito per cui lo abbiamo scelto.
Considerando però che il backup è “l’ultima chance” che abbiamo in caso di perdita dei dati, la scelta dello strumento non può essere fatto senza considerare la soddisfazione di TUTTI i criteri di cui abbiamo parlato sopra. Soprattutto per la gestione della privacy però incadiamo sempre nell’errore di considerare che “siccome uso i miei dati in Europa, anche i miei backup sono tenuti in Europa”, ma così non è in molti casi.
Vediamo ora alcuni degli strumenti che “siamo abituati a vedere comunemente in giro”, prenderemo in considerazione quelli più conosciuti, ma ti darò anche indicazione di cosa andare a vedere se avete o utilizzate strumenti diversi.
Analisi dei servizi più diffusi
Google Drive
In effetti è il più comune, basta avere una mail su gmail e ti danno a disposizione 15GB di spazio per salvare i documenti. Inoltre è sicuramente il metodo più utilizzato dai possessori di cellulari Android per fare salvataggio del contenuto del proprio smartphone.
Gli errori più comuni sono:
- considerare il SOLO salvataggio su GDRIVE come un backup
se hai solo la copia su Google Drive questo non è un backup, è l’ORIGINALE, se perdete, cancellate o modificate quello non avete altre copie a cui attingere. Considerando che è anche soggetto a “condivisione” potreste avere modifiche e cancellazioni fatte da altri. - se utilizzi Google Drive come “backup in cloud” devi considerare che il servizio è collegato all’attività dell’utente gmail e, soprattutto in ambiente Windows Server, i recenti criteri di sicurezza del controllo utente sono diventati più restrittivi ed obbligano a lanciare il servizio ad ogni ripartenza del server (se vuoi farlo partire in automatico devono essere fatte forzature sulle “policy di sicurezza” del sistema, non banali)
- i dati non sono criptati di default
dovrai abilitare il servizio (soprattutto nel caso di backup di chat o dei dispositivi mobili) - i server non sono solo in Europa, ma anche in USA
dovrai scegliere server europei se salvi dati “personali” altrimenti dovrai coinvolgere il trasferimento dati all’estero con conseguente informativa all’utente e gestione delle clausole (con Google) per la riservatezza dato che è decaduto il Privacy Shield. La scelta dei server normalmente non è lasciata all’utente, tranne nei casi di account business, ma per i servizi sottoscritti in UE Google demanda l’operazione alla filiale irlandese, quindi sottoposta a regolamentazione UE GDPR. - Google può usare “server in tutto il mondo”
e le policies sono molto complesse, pertanto diventa difficile, in caso di reclamo, far valere i propri diritti… che comunque sono relativi ad uno spazio gratuito.
Dropbox
Non fornisce più molto spazio gratuito (limitato a 2GB), ma chi aveva i “vecchi” abbonamenti arriva fino a 16GB di spazio disponibile.
Gli errori più comuni:
- anche in questo caso le cartelle sono sincornizzate
e la sincronizzazione si “blocca” al raggiungimento dello spazio massimo disponibile - i server sono principalmente negli USA
e solo se acquisterai un account business, soddisfando alcune condizioni, “potresti poter trasferire” i dati su un server dove è locata la tua azienda - ancora recentemente ci sono stati problemi di “leak”
(trafugate password e accessi) a causa di problematiche legate al personale ed a credenziali sottratte agli sviluppatori
OneDrive
Servizio incluso nella suite di Office che permette di collaborare anche sui documenti.
Gli errori più comuni:
- anche in questo caso si può incorrere nello stesso problema di GDrive
ovvero mantenere solo gli originali e non un vero backup - Microsoft informa che lei garantisce una infrastruttura che conserva i dati
ma in caso di spegnimento e riaccensione, la responsabilità di una “copia di sicurezza” è in capo all’utente - i server sono selezionabili in area UE
ma devono essere richiesti, come anche… - i tools di criptazione e autenticazione sicura
che sono quasi sempre “opzionali” e devono essere abilitati a cura dell’utente, e sono disponibili solo nelle versioni “a pagamento” dopo un doppio controllo di identità (Personal Vault)
I 4 errori comuni e i pericoli a cui si è soggetti
Ciascuno dei servizi di cui sopra è un ottimo strumento per effettuare i compiti per cui è stato disegnato, non possiamo assolutamente limitarci a definirne le caratteristiche migliori, dovendo analizzare uno specifico scenario: l’uso come strumento di backup.
Di sicuro ciascuno di questi, se dovesse essere utilizzato come “sistema di backup”, avrebbe una serie di problemi che espongono i nostri dati a vari pericoli, che non devono essere sottovalutati.
1. Sono servizi di sincronizzazione
Questo vuol dire che se i dati cambiano sull’originale vengono replicati nella copia “in tempo reale”. Non è stabilito un “momento” per effettuare il backup.
Pensa quindi se sincronizzi una cartella di posta di outlook o Thunderbird: ad ogni messaggio spedito o ricevuto questa cambia e parte la sincornizzazione. Moltiplica per il numero di messaggi ed il numero di utenti in rete ed otterrai… una rete piantata. Lo stesso si dica se sincronizzate un database in uso e non una copia di backup. O file che vengono continuamente modificati.
Prendiamo poi l’ipotesi in cui cambia la versione del file a causa di un ransomware. In questo casi i problemi si moltiplicano, non solo perché otterremo che sia gli originali che le copie saranno criptati (e quindi irrecuperabili) ma anche perché la sincronizzazione su altri dispositivi diffonderà il malware su tutte le macchine che conservano le copie.
Se poi temporaneamente saremo fuori linea, o manca lo spazio, rischieremo che i file siano “non aggiornati” e se le macchine tornano online dopo “modifiche contemporanee” verranno create due copie “in conflitto” che dovranno essere gestite.
2. Sono servizi gratuiti
Se dobbiamo proteggere la nostra azienda in modo professionale non possiamo affidarci a servizi gratuiti, perché non possono garantire una continuità. A prescindere dalle clausole contrattuali, in caso di perdita dei dati nessuno risponderà del danno, in quanto non è stato stipulato un contratto idoneo. Se le clausole di fornitura cambiano sarà in modo “unilaterale” e non potremo opporci. C’è anche da considerare che normalmente i servizi “gratuiti” non hanno ridondanza e quindi una perdita dello 0,00001% sembra poco, ma se è su un byte del file di posta o di database che abbiamo salvato, l’intero file sarà irrecuperabile.
Non ultimo, se dovesse capitare un incidente e i dati fossero persi, la valutazione di appoggiarsi ad un servizio “senza responsabilità” o con clausole non idonee, ci metterebbe nella scomoda posizione di doverne giustificare l’adozione quando con pochi euro si poteva accedere a risorse molto più affidabili (mancato rispetto della “compliance” in termini di sicurezza e delle Misure Minime di Sicurezza).
3. Sono legati ad account “deboli”
La trasmissione dei dati avviene su canali “tradizionali” senza alcun tipo di protezione “in transito”. Possiamo quindi accertarci che l’azienda a cui abbiamo affidato i nostri dati non li ceda a terzi, non li trasferisca all’estero o ad altro fornitore, che sia garantita una continuità del servizio, ma durante il trasferimento qualcuno può entrare in possesso delle nostre credenziali e fare una copia (o qualcuno le sottrae). In questo caso il ruolo del backup può ancora essere preservato, ma i dati sono stati trafugati. Senza considerare che con le nostre credenziali un terzo potrebbe estrometterci dall’accesso e richiedere anche un riscatto per restituirceli (magari tenendosene però una copia…).
4. Richiedono adeguate conoscenze
La configurazione di sicurezza, le procedure per implementare un “sistema di backup” non sono così agevoli, dato che stiamo utilizzando strumenti che non sono stati progettati per farlo come compito primario. Sottovalutare i rischi, interpretare le clausole legali, trovare la giusta configurazione sono attività che richiedono una certa dimestichezza con il mondo tecnologico e legale, da sconsigliare quindi per chi non vuole “improvvisarsi tecnico” e trovarsi poi con altri problemi da risolvere. Diciamo che “ci sono strumenti più semplici” che anche se costano qualcosa garantiscono un effetto migliore.
Conclusioni e suggerimenti
Cosa possiamo dire di più per aiutarti a scongiurare/evitare questi problemi?
Beh, se vorrai valutare il backup in cloud, sicuramente dovrai valutare un servizio “a pagamento” idoneo.
Non temere, non hanno un prezzo così elevato, si parte da una decina di euro al mese a seconda dello spazio impegnato.
Ad esempio è possibile attivare un’area riservata e criptata, accessibile con Agent dedicati o via SFTP, così che una volta effettuato il backup questo non sia aggredibile da eventuali ransomware. I server possono essere su server italiano e il sistema di backup può essere pianificato e mandare messaggi mail in caso di errore. E magari si può anche aggiungere un servizio di Remote Management che garantisca l’intervento di tecnici specializzati in caso di problemi.
Ricordiamoci sempre che il backup è veramente “l’ultima speranza”.
Sicuramente è d’obbligo tenere una copia di sicurezza ANCHE in locale, su supporto removibile, magari storicizzando i dati e conservandoli in un ambiente differente da quello di lavoro.
Ed è sicuramente necessario che la cultura del controllo sia attuata a tutti i livelli, non limitandosi a pensare “tanto i backup sono pianificati” e dimenticarsi di verificare che continuino ad essere eseguiti. Ogni cambiamento di sistema, ogni aggiornamento potrebbe portare a condizioni che devono essere gestite per garantire la continuità delle procedure di salvataggio.
Queste sono le indicazioni che fornisco a tutti i nostri clienti e devo dire che negli anni non mi sono mai pentito dei consigli che ho dato.
Sono come sempre disponibile per qualsiasi dubbio/domanda a riguardo.
