Backup = copia dei dati in tempi definiti. Serve per recovery selettivo (file cancellato, database corrotto). RPO tipico: ore/giorni. RTO: manuale, dipende dalla dimensione del dato e dalla velocità di ripristino — spesso ore-giorni. Disaster Recovery = sistema alternativo pronto a prendere il carico. Serve quando l'infrastruttura primaria è persa (ransomware, disastro fisico, fallimento regionale). RPO: minuti. RTO: ore. Failover automatico o assistito. PSA offre entrambi, spesso combinati: Proxmox Backup Server per backup granulare + replication geografica per DR.
01Definizioni operative, senza giri di parole
Il backup è una copia dei dati — file, database, macchine virtuali — fatta a istanti definiti e conservata su un supporto separato. L'analogia semplice: è la fotocopia di un documento che tieni in un'altra stanza. Se il documento originale si rovina, ne ristampi una dalla fotocopia. Non è il documento, è una rappresentazione.
Il disaster recovery è un'infrastruttura alternativa pronta a prendere il posto di quella primaria quando questa non è più disponibile. Analogia: è la sede secondaria con le chiavi, le scrivanie, i PC già pronti. Se la sede principale brucia, le persone vanno lì e lavorano. Non stai ricostruendo l'ufficio, ne hai già un altro.
La distinzione è pratica, non teorica: il backup risponde alla domanda "ho perso un dato, come lo recupero?". Il DR risponde alla domanda "ho perso tutto il sistema, come ritorno in piedi?". Sono problemi diversi e vanno affrontati con strumenti diversi.
02RPO e RTO: i due numeri che contano
Qualsiasi conversazione seria su continuità ruota attorno a due metriche. Vale la pena impararle una volta e non dimenticarle più.
RPO — Recovery Point Objective: quanto dato sei disposto a perdere, misurato in tempo. Se fai backup ogni 24 ore e l'incidente scatta alle 18:00, hai perso tutto quello che è successo dalle 00:00 di quel giorno: 18 ore di dati. RPO = 24h significa "nel caso peggiore accetto di perdere un giorno di lavoro".
RTO — Recovery Time Objective: quanto tempo ti serve per ripartire. Se il recovery richiede 8 ore tra diagnosi, ripristino da backup e verifica, RTO = 8h. È il tempo in cui l'azienda è ferma.
Esempio concreto: uno studio commercialista con RPO 24h e RTO 48h dice "accetto di riperdere al massimo un giorno di registrazioni e di stare fermo fino a due giorni". Un e-commerce con 500k€/mese di fatturato che dice le stesse cose sta firmando la propria fine — 48 ore fuori significano 30-50k€ persi nella settimana, più il danno reputazionale.
Il numero che dichiari deve avere senso per il tuo business. Poi l'architettura si disegna di conseguenza — non il contrario.
03Tipologie di backup
Tre modalità principali, combinabili:
- Full: copia completa di tutto. Lenta, occupa molto spazio, ripristino il più rapido. Usata come baseline periodica (settimanale o mensile).
- Incrementale: salva solo le modifiche dall'ultimo backup qualunque esso sia. Veloce, poco spazio, ma il ripristino richiede full + tutti gli incrementali in catena.
- Differenziale: salva le modifiche dall'ultimo full. Via di mezzo: più spazio dell'incrementale, ripristino più semplice.
Noi su Proxmox usiamo Proxmox Backup Server, che fa deduplicazione a blocchi: ogni backup è funzionalmente "full" dal punto di vista del ripristino, ma occupa solo lo spazio delle modifiche reali. È il miglior compromesso tecnico che abbiamo incontrato in vent'anni di virtualizzazione.
La retention — quanti backup conservi e per quanto — va decisa insieme al cliente. Schema tipico: 7 giornalieri, 4 settimanali, 12 mensili, 2-5 annuali. Serve a coprire scenari diversi: file cancellato ieri (daily), regressione dopo due settimane (weekly), obbligo fiscale (yearly).
04Tipologie di DR
Il DR si misura in quanto è "caldo" il sito secondario:
- Cold site: infrastruttura fisica disponibile ma spenta, da configurare al momento. RTO elevato (giorni). Economico.
- Pilot light: servizi critici minimi già accesi (es. database replicato, tutto il resto spento). Si "scalda" il sito in caso di failover. RTO ore.
- Warm site: infrastruttura replicata e accesa, ma non in carico. Pronta a essere promossa a primaria. RTO 1-4 ore.
- Hot site: due siti attivi contemporaneamente con carico bilanciato, failover trasparente. RTO minuti. Costoso, complesso.
- Multi-region: variante cloud di hot site, distribuito geograficamente. Utile solo se serve davvero — la latenza e il costo sono reali.
Per la maggior parte dei clienti PMI italiani il punto dolce è warm site: replica asincrona verso un secondo data center italiano, failover assistito in 1-4 ore, costo ragionevole.
05Quando basta il backup
Il backup da solo è sufficiente quando si verificano tutte queste condizioni:
- Il business tollera 24-48 ore di fermo senza danni economici gravi o contrattuali.
- Non ci sono SLA formali verso clienti che impongano disponibilità.
- I dati hanno valore, ma la continuità operativa non è il cuore del modello di business (es. studio professionale piccolo, laboratorio artigianale, ufficio amministrativo).
- Il budget IT è limitato e la priorità è "non perdere i dati", non "non fermarsi mai".
In questi casi un buon backup — fatto bene, testato, replicato off-site, con retention ragionata — è la soluzione giusta. Aggiungere DR sarebbe sovra-ingegnerizzazione.
06Quando serve DR vero
Il DR diventa necessario quando c'è anche solo una di queste situazioni:
- Business continuity: il fermo dell'IT equivale direttamente al fermo della produzione o della vendita. E-commerce, servizi SaaS con utenti esterni, logistica con spedizioni real-time.
- SLA contrattuali: contratti con clienti o fornitori che impongono tempi di ripristino misurabili. Penali scritte, non vaghe.
- Settori regolati: sanità, finanza, pubblica amministrazione. Normative che richiedono piani di continuità documentati e testati.
- Esposizione reputazionale: aziende visibili sui media, con clienti che reagiscono sui social al primo disservizio.
Qui il backup è la base — necessaria, mai sufficiente. Serve sopra un'architettura replicata, procedure di failover testate periodicamente e un runbook che qualcuno sa eseguire davvero sotto pressione.
07Esempio concreto — lo scenario ransomware
Venerdì sera, 22:00. Un ransomware cifra i server di un'azienda manifatturiera con 60 dipendenti. Lunedì mattina si scopre l'entità: tutto inaccessibile, richiesta di riscatto in bitcoin.
Con il solo backup: il lunedì si identifica l'ultimo backup pulito (spesso venerdì pomeriggio, prima dell'attacco — se il criminale non ha cifrato anche i backup, scenario tipico se il backup era accessibile dalla rete di produzione). Si ripristina. Tra verifica sistemi, reinstallazione dei client infetti, recovery database — si parte mercoledì. 3 giorni di fermo, ordini persi, linea produttiva ferma, clienti inferociti.
Con backup + DR geografico: lunedì mattina il team tecnico promuove il sito secondario (non raggiungibile dal ransomware perché su rete separata e replica applicativa, non a livello file). Alle 14:00 l'azienda è operativa sul sito DR con i dati di venerdì sera. Intanto si bonifica il sito primario in parallelo, senza urgenza. Un giorno di disagio, non tre.
La differenza tra le due situazioni si conta in euro veri. Per questo scenario il DR non è un lusso, è matematica di rischio.
08Costi comparati
Ordine di grandezza, cluster virtualizzato medio (10-15 VM, 5-10 TB dati):
- Solo backup (Proxmox Backup Server + storage dedicato + replica off-site): 300-600 €/mese all-inclusive. È circa il 10% del costo di un DR vero.
- Backup + DR parziale (pilot light su secondo DC, failover assistito): 1.200-2.500 €/mese. Compromesso più frequente tra i nostri clienti.
- Backup + DR warm site completo (replica sincrona/asincrona, failover testato trimestralmente): 3.000-6.000 €/mese.
- Hot site multi-site attivo-attivo: da 8.000 €/mese in su, più setup iniziale. Raramente giustificato per aziende sotto i 50M€ di fatturato.
La domanda giusta non è "quanto costa il DR", è "quanto mi costa un'ora di fermo?". Se quel numero supera di gran lunga il canone DR, il DR paga se stesso. Se non lo supera, resta con il backup e investi altrove.
Backup vs DR — il confronto diretto
| Dimensione | Backup | Disaster Recovery |
|---|---|---|
| Scopo | Recupero selettivo di dati | Ripartenza dell'intera infrastruttura |
| RPO tipico | 4-24 ore | 5-15 minuti |
| RTO tipico | Ore-giorni (dipende dai dati) | 1-4 ore (assistito) / minuti (automatico) |
| Costo relativo | Baseline (10%) | 5-20× il backup |
| Complessità | Bassa-media | Alta, richiede test periodici |
| Quando usarlo | Fermo tollerabile, budget limitato | SLA vincolanti, business continuity critica |