Strumento pratico
Checklist Disaster Recovery Plan per PMI
62 controlli da eseguire per verificare che il tuo piano di disaster recovery funzioni davvero — non solo sulla carta. Scaricabile e stampabile.
📅 Febbraio 2026
📋 Come usarla: spunta ogni elemento mentre lo verifichi. Il progresso viene salvato nel browser per la sessione corrente. Stampa la checklist completata per documentare la verifica nel registro aziendale.
0 / 62 controlli completati
Completa almeno il 90% prima di considerare il DRP operativo
🏗️
A — Documentazione e governance
10 controlliIl DRP è un documento formale approvato dalla direzione, con data di approvazione e versione Non basta un file in una cartella condivisa: deve essere firmato e protocollato
CriticoÈ definito il responsabile del DRP con nome, recapito e sostituto designato Chi chiami alle 3 di notte se il server non risponde?
CriticoSono elencati tutti i sistemi critici con il relativo RTO (Recovery Time Objective) e RPO (Recovery Point Objective)
CriticoIl documento è accessibile offline (stampa o file locale) — non solo nel cloud che potrebbe essere irraggiungibile durante un disastro
CriticoEsiste un Business Impact Analysis (BIA) che stima il costo orario del downtime per reparto
AltoSono documentate le dipendenze tra sistemi (es. il CRM dipende dal DB server che dipende dall’AD)
AltoIl DRP viene revisionato almeno una volta all’anno e dopo ogni cambiamento infrastrutturale significativo
AltoIl personale chiave conosce la propria funzione nel DRP e ha ricevuto formazione specifica
AltoSono documentate le procedure di escalation e i contatti di emergenza (fornitore IT, hosting, provider telefonico)
MedioEsiste una procedura di comunicazione verso clienti e fornitori in caso di interruzione prolungata
Medio💾
B — Strategia di backup
12 controlliApplichi la regola 3-2-1: 3 copie, 2 supporti diversi, 1 offsite Minimo assoluto. La variante 3-2-1-1-0 (1 copia immutabile, 0 errori verificati) è preferibile
CriticoAlmeno una copia è immutabile (non modificabile né cancellabile per un periodo definito)
CriticoIl backup offsite si trova in una posizione geografica diversa dalla sede principale
CriticoI backup sono cifrati con AES-256 sia in transito che a riposo
CriticoLe chiavi di cifratura sono conservate separatamente dai backup (non sullo stesso sistema)
CriticoLa frequenza di backup è coerente con l’RPO definito (se l’RPO è 4 ore, il backup deve girare ogni 4 ore)
CriticoSono in backup tutti i dati critici: database, email, file share, configurazioni di rete, AD/LDAP
AltoI backup includono anche i dati su Microsoft 365, Google Workspace o altri SaaS aziendali Microsoft non garantisce il recupero dei dati cancellati dopo 30-90 giorni
AltoI laptop e PC dei dipendenti in smart working sono inclusi nel piano di backup
AltoEsiste un piano di retention (quanto tempo conservi ogni tipo di backup)
MedioIl sistema invia notifiche automatiche in caso di backup fallito
AltoQualcuno controlla effettivamente queste notifiche — esiste una procedura di risposta ai backup falliti
Alto🔄
C — Test e verifica dei backup
10 controlliI backup vengono testati con ripristino reale almeno ogni 6 mesi Un backup non testato è un backup di cui non conosci il funzionamento
CriticoHai eseguito almeno un bare metal restore (ripristino completo su hardware vuoto) nell’ultimo anno
CriticoIl ripristino di test ha rispettato l’RTO dichiarato nel DRP
CriticoI risultati dei test di ripristino sono documentati e archiviati
AltoHai verificato che il backup di Active Directory permette il ripristino completo del dominio
AltoHai testato il ripristino da backup dopo aver simulato un attacco ransomware (cifratura dei file)
AltoHai verificato che il backup offsite sia effettivamente raggiungibile e leggibile
AltoEsiste una procedura di test automatizzato della recuperabilità dei backup (backup verification)
MedioIl test include anche il ripristino di singoli file e cartelle, non solo del server completo
MedioIl personale operativo sa come avviare un ripristino senza l’intervento del responsabile IT principale
Medio🛡️
D — Sicurezza e protezione ransomware
10 controlliIl sistema di backup è isolato dalla rete aziendale (air gap fisico o logico)
CriticoLe credenziali di accesso al sistema di backup sono diverse da quelle del dominio aziendale
CriticoL’accesso al pannello di gestione backup richiede autenticazione MFA
CriticoNessun account di servizio del backup ha privilegi di dominio administrator non necessari
AltoI backup cloud utilizzano storage con Object Lock o Immutable Backup attivato
AltoEsiste un sistema di rilevamento anomalie che avvisa se i file aziendali vengono cifrati in massa
AltoHai un piano di risposta agli incidenti (IRP) separato dal DRP che copre le prime 4 ore dopo un attacco
AltoI log del sistema di backup sono conservati separatamente e non sono modificabili dagli stessi account che gestiscono i backup
MedioConosci il tempo necessario per ripristinare completamente l’infrastruttura in uno scenario “worst case” (tutto cifrato)
MedioHai valutato e documentato se e quando è appropriato pagare un eventuale riscatto ransomware (decisione che va presa a freddo, non durante l’attacco)
Medio☁️
E — Cloud e SaaS
8 controlliHai una copia dei dati Microsoft 365 (Exchange, SharePoint, Teams, OneDrive) indipendente da Microsoft Microsoft applica una politica di retention di 30-93 giorni, non è un backup
CriticoSai dove sono fisicamente conservati i tuoi dati SaaS e in quale paese (rilevante per GDPR)
AltoHai letto e compreso le clausole di responsabilità del contratto con il tuo provider cloud
AltoConosci la procedura per richiedere al provider cloud il ripristino di dati cancellati per errore
AltoHai verificato i SLA del provider cloud e conosci le procedure di rimborso in caso di downtime
MedioHai un piano per continuare a lavorare se il provider cloud principale fosse irraggiungibile per 8+ ore
MedioLe credenziali degli account cloud critici sono in un password manager aziendale accessibile da più persone
MedioHai attivato il MFA su tutti gli account cloud aziendali critici
Alto⚖️
F — Conformità normativa
8 controlliIl DRP è citato nel Registro dei Trattamenti GDPR come misura tecnica e organizzativa (art. 32)
CriticoI dati personali nei backup sono trattati con le stesse garanzie dei dati in produzione (accesso, cifratura, retention)
CriticoIn caso di data breach che coinvolga i backup, la procedura di notifica al Garante entro 72 ore è documentata
AltoI provider cloud che conservano i backup hanno firmato un DPA (Data Processing Agreement) conforme al GDPR
AltoSe sei soggetto a NIS2: il DRP è allineato ai requisiti dell’art. 21 sulla gestione degli incidenti
AltoI tempi di retention dei backup rispettano gli obblighi di conservazione fiscale e legale (10 anni per documenti contabili)
MedioEsiste una procedura per gestire le richieste di cancellazione (diritto all’oblio) anche nelle copie di backup
MedioIl DRP è stato revisionato da un consulente legale o DPO dopo l’entrata in vigore della NIS2 (ottobre 2024)
Medio📊
G — Monitoraggio continuo
4 controlliEsiste un report settimanale o mensile sullo stato di tutti i backup aziendali, revisionato da una persona responsabile
AltoHai impostato alert per: backup non eseguito, backup fallito, spazio in esaurimento, anomalie di dimensione
AltoI KPI del DRP (RTO effettivo, RPO effettivo, % backup riusciti) vengono misurati e riportati alla direzione
MedioHai un processo di miglioramento continuo: ogni incidente o quasi-incidente genera un’azione correttiva documentata
MedioTrova il backup giusto per la tua azienda
Ora che sai cosa ti serve, confronta i programmi che rispettano questi requisiti.
Usa il comparatore →