Backup su NAS con copia in cloud: come impostarlo nel modo corretto

Un NAS in ufficio e una copia dei dati in cloud: è lo schema che consigliamo più spesso alle piccole aziende e agli studi, perché unisce due vantaggi che da soli non bastano. Il NAS è vicino e veloce, quindi recuperare un file o un'intera cartella richiede minuti. Il cloud è lontano, quindi sopravvive a furto, incendio e allagamento. Il problema è che questo schema, sulla carta semplice, viene impostato male molto spesso: una sincronizzazione scambiata per backup, una password di cifratura salvata solo sul NAS, un account cloud senza verifica in due passaggi, una prima copia che non è mai finita perché la linea era troppo lenta. In questa guida vediamo le scelte concrete da fare, una per una. Le regole generali (quante copie, perché il RAID non basta, come provare il ripristino) sono spiegate nella guida al backup aziendale: qui ci occupiamo di come metterle in pratica con un NAS e uno spazio cloud.

Lo schema in tre livelli

Un'impostazione corretta lavora su tre livelli, ognuno con un compito diverso.

Se in ufficio il NAS è anche l'archivio principale, cioè le persone lavorano direttamente sulle sue cartelle, il secondo livello si riduce, ma il terzo diventa indispensabile: senza copia esterna, tutto il lavoro dell'azienda vive in una sola scatola. Se non hai ancora deciso fra NAS e server, leggi NAS o server.

Il primo errore: sincronizzare invece di fare backup

Sui NAS per ufficio ci sono di solito due tipi di programmi per mandare dati in cloud, e assomigliarsi è il loro difetto.

• La sincronizzazione tiene uguali il NAS e lo spazio in cloud. Se un file cambia sul NAS, cambia anche online. Utile per lavorare su più sedi, pericolosa come protezione: se un file viene cancellato o cifrato, la modifica arriva anche nel cloud.
• Il backup invia copie a ritroso, con più versioni dello stesso file conservate nel tempo, spesso in un formato proprio del programma. Se oggi un file è danneggiato, puoi recuperare quello di ieri, della settimana scorsa o del mese scorso.

Un esempio concreto: sui NAS Synology il programma Cloud Sync, secondo la documentazione del produttore, mantiene solo la versione corrente dei file, mentre Hyper Backup crea backup con più versioni, leggibili con gli strumenti Synology. Sui NAS QNAP lo strumento Hybrid Backup Sync permette di creare sia attività di sincronizzazione sia attività di backup: va scelta la seconda. Prima di fidarti, apri l'attività impostata e controlla se esistono versioni precedenti da cui ripristinare. Se non ci sono, non è un backup.

Scegliere lo spazio in cloud: le domande da fare

Lo spazio di destinazione può essere il servizio cloud del produttore del NAS o uno spazio di archiviazione a oggetti compatibile con lo standard S3, offerto da molti fornitori. Non sceglierlo solo per il prezzo al terabyte. Le domande che contano:

1. Dove sono i server? Per i dati personali conviene un fornitore con centri dati nell'Unione Europea e un contratto che regoli il trattamento dei dati, come previsto dal GDPR.
2. Esistono copie non modificabili? Alcuni servizi permettono di bloccare gli oggetti per un periodo stabilito (spesso chiamato object lock o immutabilità): durante quel periodo nessuno, nemmeno con le credenziali giuste, può cancellarli. È la difesa più efficace contro chi entra in rete e cerca di distruggere anche i backup. Verifica che il servizio lo preveda e che il programma di backup del tuo NAS sappia usarlo.
3. Quanto costa recuperare i dati? Alcuni fornitori fanno pagare il traffico in uscita o il numero di operazioni. Il giorno del disastro dovrai scaricare tutto: leggi il listino anche per quella voce.
4. Come si protegge l'accesso? L'account del servizio deve avere la verifica in due passaggi e un amministratore intestato all'azienda, non a una persona che un giorno potrebbe andarsene.

Cifratura: la chiave non deve stare solo sul NAS

I dati che lasciano l'ufficio vanno cifrati prima di partire, sul NAS, con una chiave o una password che il fornitore cloud non conosce. Così anche chi gestisce il servizio, o chi riuscisse a entrare nell'account, vedrebbe solo file illeggibili.

Il rovescio della medaglia è semplice e severo: senza quella chiave, il backup in cloud non si può aprire. E il giorno in cui serve davvero, cioè quando il NAS è stato rubato, è bruciato o è stato cifrato da un ransomware, la chiave salvata solo sul NAS non c'è più. Va quindi conservata in almeno due posti fuori dal NAS: per esempio in un gestore di password aziendale e su un foglio in busta chiusa in cassaforte o a casa del titolare. Alcuni programmi generano anche un file di chiave da scaricare: va trattato allo stesso modo.

Credenziali separate: il NAS non deve fidarsi di nessuno

I ransomware più pericolosi non si limitano a cifrare i file: cercano le copie di backup raggiungibili e provano a cancellarle. Per renderglielo difficile servono alcune separazioni.

• Un utente dedicato al backup, con i soli permessi necessari, diverso dagli utenti di tutti i giorni e dall'amministratore del dominio. Chi ruba la password di un collega non deve trovare aperta anche la cartella dei backup.
• Account amministratore predefinito disattivato e sostituito da un amministratore con un nome diverso e la verifica in due passaggi, dove il NAS la offre.
• Credenziali del cloud con permessi limitati: dove il servizio lo consente, la chiave usata dal NAS può scrivere nuove copie ma non cancellare quelle vecchie.
• Nessun pannello esposto su internet: niente porte aperte sul router verso la pagina di gestione del NAS. Per amministrarlo da fuori si passa da una VPN.
• Aggiornamenti regolari del sistema del NAS e dei programmi di backup, perché sono proprio le falle note a essere sfruttate.

Quanto ci mette: la linea e la prima copia

Il collo di bottiglia di quasi tutti i backup in cloud non è il NAS, ma la velocità di caricamento della linea, quella in upload, che nelle connessioni di molti uffici è molto più bassa di quella in download. Un calcolo di massima aiuta a non avere sorprese.

Il conto si fa così: un terabyte sono circa 8 milioni di megabit, che divisi per 20 megabit al secondo danno 400.000 secondi, cioè circa 111 ore. Con 100 Mbit/s in upload si scende a circa 22 ore. Ne derivano tre consigli pratici:

• La prima copia è la più lunga. Programmala in un periodo tranquillo e lascia che lavori anche di notte e nel fine settimana. Le successive inviano solo le differenze e sono molto più rapide.
• Limita la banda in orario di lavoro, altrimenti posta, videochiamate e gestionale in cloud rallentano per tutti.
• Ricorda il viaggio di ritorno. Scaricare tutto dal cloud richiede tempo anche in download. Per questo il cloud è la copia per i giorni peggiori, mentre i recuperi di tutti i giorni si fanno dal NAS.

Orari, versioni e conservazione

Ogni ufficio ha i suoi ritmi, ma uno schema di partenza aiuta a ragionare.

Controlla che gli orari non si sovrappongano: se la copia verso il cloud parte mentre il server sta ancora salvando sul NAS, rischi di inviare fuori un backup a metà. E tieni d'occhio lo spazio: un NAS pieno smette di fare istantanee e backup, spesso senza che nessuno se ne accorga.

Come sapere ogni settimana che funziona

Un backup impostato bene a gennaio può smettere di funzionare a marzo per una password cambiata, un disco pieno o un abbonamento scaduto. Bastano pochi controlli regolari:

1. Ogni settimana, leggi i rapporti: tutte le attività riuscite? Quanto spazio resta sul NAS e nel cloud?
2. Ogni mese, recupera un file a caso dal cloud, non dal NAS, e aprilo.
3. Ogni tre mesi, controlla lo stato di salute dei dischi del NAS e gli aggiornamenti in attesa.
4. Una volta all'anno, fai la prova completa descritta sopra, da un PC estraneo, con la chiave conservata fuori dal NAS.

Se i rapporti arrivano a una sola persona, quando quella persona è in ferie nessuno li legge. Meglio due destinatari, uno dei quali può essere il tecnico esterno.

Un esempio per un ufficio di sei persone

Un'agenzia con sei postazioni, un NAS a quattro dischi che contiene l'archivio di lavoro e una linea con 50 Mbit/s in upload. Le istantanee delle cartelle condivise scattano ogni ora dalle 8 alle 19. Ogni notte i PC salvano sul NAS desktop e documenti locali. Alle due il NAS invia la copia cifrata a uno spazio cloud in Europa con blocco delle copie per trenta giorni, usando una chiave che può scrivere ma non cancellare. La chiave di cifratura è nel gestore di password dell'agenzia e in busta chiusa a casa del titolare. I rapporti arrivano al titolare e al tecnico. Una volta al mese si recupera un file dal cloud; una volta all'anno si apre l'intero backup da un portatile di prova. Se un ransomware arrivasse al NAS, l'archivio si ricostruirebbe dalle copie in cloud, che nessuno può cancellare prima della scadenza del blocco. Per la sequenza da seguire in quel caso c'è la guida su cosa fare in caso di ransomware.

Come ti aiutiamo

Forniamo e configuriamo NAS per uffici e studi, impostiamo istantanee, backup di PC e server e copia cifrata in cloud, con utenti separati e rapporti automatici. Soprattutto, controlliamo nel tempo che le copie si facciano e proviamo con te il recupero dal cloud. Molti controlli si fanno da remoto; in sede arriviamo entro circa 100 km da Lodi Vecchio, e da remoto seguiamo uffici nel Nord e nel Centro Italia. Il nostro lavoro costa 43 € + IVA all'ora, uguale a distanza e in ufficio, con l'uscita aggiunta in base ai chilometri; NAS, dischi e spazio cloud si preventivano a parte. Chiama o scrivi su WhatsApp al 0371 464 186 o usa il modulo contatti: rispondiamo entro 24 ore lavorative. Per backup, server, reti e sicurezza vedi la pagina Informatica e assistenza.

Domande frequenti