"Facciamo il backup tutte le notti" non risponde alla domanda più importante: se domani perdi il server, sei sicuro di riuscire davvero a ripartire? Backup, disaster recovery e business continuity sono tre cose diverse — ecco come si misurano con RPO e RTO, e quali livelli di resilienza esistono.
“Facciamo il backup tutte le notti” è una delle frasi più rassicuranti — e più incomplete — che si sentono parlando di continuità operativa. Avere una copia dei dati non significa sapere quanto tempo serve per ripartire, né essere sicuri che quella copia funzioni davvero quando serve.
Backup non è restore
Il backup è la copia dei dati. Il restore è il processo — spesso più lungo e complesso di quanto si pensi — che riporta quei dati in produzione, funzionanti. Molte aziende hanno backup regolari che non hanno mai verificato con un restore reale: scoprono che qualcosa non torna proprio nel momento peggiore, quando ne hanno davvero bisogno.
L’unico backup che conta è quello testato
Un backup non testato è una promessa, non una garanzia. Il test di restore periodico — anche solo a campione, su una parte dei sistemi — è l’unico modo per sapere con certezza che, in caso di guasto, i dati torneranno disponibili nei tempi previsti.
RPO: quanti dati puoi permetterti di perdere
Il Recovery Point Objective (RPO) è la quantità massima di dati che l’azienda può permettersi di perdere, misurata in tempo. Un backup notturno significa un RPO di potenzialmente 24 ore: se il guasto avviene alle 17, si perde tutto il lavoro della giornata. Un sistema con replica continua può ridurre l’RPO a pochi minuti — ma costa di più e va giustificato dal valore di ciò che protegge.
RTO: quanto puoi restare fermo
Il Recovery Time Objective (RTO) è il tempo massimo tollerabile prima che il sistema torni operativo dopo un guasto. Non è lo stesso per ogni azienda o per ogni sistema: un gestionale interno può tollerare qualche ora di fermo, un servizio che i clienti usano direttamente molto meno.
I livelli di resilienza, dal backup giornaliero alla ridondanza geografica
Non esiste un solo livello di protezione “giusto”: esiste una scala, e il punto in cui fermarsi dipende da quanto costa il fermo per quel sistema specifico.
Backup giornaliero
Copia periodica dei dati, in genere notturna: la base minima, con un RPO misurato in ore.
Backup frequenti o replica
Copie più ravvicinate nel tempo, o replica quasi continua verso un sistema secondario, per ridurre l’RPO.
Database failover
Un database secondario pronto a subentrare automaticamente se il principale si guasta, riducendo drasticamente l’RTO.
Snapshot dell’ambiente
Un’istantanea completa del sistema, non solo dei dati, da cui ripartire rapidamente in caso di guasto grave.
Application server ridondati
Più server applicativi attivi in parallelo, così il guasto di uno non ferma il servizio.
Ridondanza geografica
Infrastruttura replicata in una sede fisica diversa, per resistere anche a un guasto che coinvolge l’intero data center.
Fallback manuale
Una procedura operativa alternativa, anche cartacea o telefonica, per continuare a lavorare mentre il sistema è offline.
Quanto costa la resilienza — e quanto costa non averla
Non tutte le aziende hanno bisogno di zero downtime: è un livello di protezione costoso, giustificato solo quando il danno economico di un fermo lo supera ampiamente. Il criterio corretto non è "il massimo possibile", ma il livello di resilienza che costa meno del danno che previene.
La nostra esperienza
Sui sistemi che gestiamo eseguiamo test periodici di restore a campione, con una policy calibrata sulle esigenze specifiche del cliente — non promettiamo un RPO o un RTO universale, perché dipende dal sistema, dai dati e dal livello di protezione concordato caso per caso.
- Hai testato un restore reale negli ultimi mesi, non solo verificato che il backup "sia partito"?
- Sai qual è il tuo RPO accettabile — quante ore o minuti di lavoro puoi permetterti di perdere?
- Sai qual è il tuo RTO accettabile — quanto puoi restare fermo prima che il danno diventi inaccettabile?
- Sai chi è responsabile del ripristino in caso di guasto, e cosa deve fare nelle prime ore?
- Hai un fallback manuale se il sistema resta offline più a lungo del previsto?
La guida completa alla scelta dell’infrastruttura, a partire dal costo reale del fermo.
Backup, ridondanza e disaster recovery sono voci di costo dirette dell’infrastruttura on-premises: ecco come si calcolano.
Domande frequenti
- Qual è la differenza tra backup e disaster recovery?
- Il backup è la copia dei dati. Il disaster recovery è l’insieme di procedure e infrastruttura che permette di ripartire dopo un guasto grave, includendo tempi e modalità di ripristino, non solo l’esistenza di una copia.
- Ogni azienda ha bisogno di ridondanza geografica?
- No. È il livello di protezione più costoso e va giustificato da un rischio reale, ad esempio un servizio critico erogato a molti clienti. Per molti sistemi interni un backup testato e un RTO ragionevole sono sufficienti.
- Come si stabiliscono l’RPO e l’RTO giusti per la mia azienda?
- Partendo dal costo reale del fermo per quel sistema specifico: quanto lavoro o quante transazioni puoi permetterti di perdere, e quante ore puoi restare fermo prima che il danno superi il costo della protezione.
- Un backup che "parte tutte le notti" è sufficiente?
- È un punto di partenza, non una garanzia. Senza un test di restore periodico non puoi sapere con certezza che, al momento del bisogno, quei dati torneranno davvero disponibili nei tempi previsti.