Nelle PMI manifatturiere la produzione dipende da un flusso continuo di informazioni tra ERP, documentazione tecnica, sistemi di magazzino e comunicazioni con i fornitori. Quando un attacco ransomware interrompe questo flusso, il problema principale non è il malware in sé. Le prime domande che si pongono il management e i responsabili di stabilimento sono molto più concrete: quanto tempo servirà per riprendere la produzione? Le consegne ai clienti subiranno ritardi? I dati più recenti potranno essere recuperati? Questa crescente attenzione alla capacità di ripristino riflette un cambiamento più ampio nel modo di affrontare la cybersecurity. Non a caso, l'ultimo Verizon Data Breach Investigations Report continua a indicare il ransomware come uno dei fattori più ricorrenti negli incidenti di sicurezza analizzati.

Il contesto del settore

Una linea produttiva può essere ancora perfettamente funzionante dal punto di vista meccanico, mentre tutto ciò che la circonda smette di funzionare.

Durante la gestione delle fatture fornitori, un addetto dell'ufficio acquisti apre quello che sembra un documento inviato da un partner abituale. Nel giro di poco tempo i file condivisi diventano inaccessibili. I responsabili della produzione non riescono più a consultare gli ordini nell'ERP, il magazzino perde visibilità sulle giacenze e il servizio clienti non è più in grado di verificare lo stato delle consegne.

Situazioni di questo tipo mettono in evidenza una dipendenza operativa spesso sottovalutata. In un'azienda manifatturiera decine di sistemi lavorano insieme e difficilmente un problema rimane confinato a un solo server. Anche un attacco che colpisce pochi sistemi critici può bloccare pianificazione della produzione, acquisti, logistica e controllo qualità.

È anche per questo motivo che la resilienza operativa sta assumendo un ruolo centrale nelle aziende che si stanno preparando agli obblighi introdotti dalla direttiva NIS2. Dimostrare di essere in grado di ripristinare rapidamente i servizi essenziali sta diventando importante quanto prevenire gli attacchi.

Un approccio orientato alla capacità di ripristino

La pianificazione del ripristino parte quasi sempre dalla stessa domanda: quali sistemi sono indispensabili per continuare a produrre?

Per alcune aziende la priorità è l'ERP e il database della pianificazione della produzione. Per altre contano soprattutto i disegni tecnici, la documentazione di qualità o i dati del sistema MES che supporta le attività in reparto. Le priorità di ripristino dovrebbero riflettere il funzionamento reale dell'azienda, non la struttura dell'infrastruttura informatica.

A questo punto emerge una decisione che riguarda il business prima ancora della tecnologia.

Quante ore di fermo può realmente sostenere l'azienda?

La risposta condiziona tutte le scelte successive: la frequenza dei backup, l'architettura di conservazione dei dati e gli investimenti necessari per migliorare la resilienza. Indicatori come Recovery Time Objective (RTO) e Recovery Point Objective (RPO) acquistano significato solo quando produzione, direzione e IT condividono quale livello di interruzione sia realmente accettabile.

Anche le copie di backup immutabili stanno assumendo un ruolo sempre più rilevante

Durante gli interventi di risposta agli incidenti capita spesso di osservare che gli attaccanti tentano di cifrare o eliminare i repository dei backup prima ancora di compromettere i sistemi di produzione. Disporre di copie che non possono essere modificate per un determinato periodo offre un'opportunità di recupero aggiuntiva quando lo storage principale è già stato compromesso.

Come implementarlo nella pratica

La capacità di ripristino non si costruisce con un progetto occasionale, ma attraverso attività regolari che diventano parte della gestione operativa.

Molte aziende iniziano censendo tutte le applicazioni che supportano produzione, acquisti, logistica, amministrazione e assistenza clienti. Per ogni sistema vengono definiti un responsabile, gli obiettivi di ripristino e le relative procedure operative.

Il passaggio successivo consiste nel verificare che tutto funzioni davvero.

Durante le attività di assessment capita frequentemente di trovare piattaforme di backup che eseguono correttamente i salvataggi da mesi, senza che nessuno abbia mai misurato il tempo necessario per ripristinare un sistema di produzione.

Un semplice calendario mensile di test permette di aumentare progressivamente il livello di fiducia senza interferire con le attività produttive.

La prima settimana può essere dedicata al recupero di alcuni file aziendali. La seconda al ripristino di una macchina virtuale in un ambiente isolato. La terza alla verifica del recupero dei database. L'ultima settimana serve per aggiornare la documentazione, registrare i tempi di ripristino e correggere eventuali criticità emerse durante le prove.

Queste attività producono un valore che va oltre la verifica tecnica.

Ogni test genera evidenze utili durante le verifiche dei clienti, gli audit, le richieste delle compagnie assicurative e le valutazioni di conformità.

In molte organizzazioni vengono conservati i report dei sistemi ripristinati, le date dei test, i tempi effettivamente raggiunti, le verifiche effettuate dai responsabili delle applicazioni e le azioni correttive pianificate.

Metriche e visibilità

La capacità di ripristino diventa realmente gestibile quando si iniziano a misurare i risultati invece delle attività svolte.

Il completamento di un backup conferma soltanto che il processo è terminato. Non dice nulla sulla possibilità di riprendere la produzione entro i tempi concordati.

Nella maggior parte dei casi bastano pochi indicatori per offrire al management una visione realmente utile.

Il tasso di successo dei ripristini mostra quanto siano affidabili le procedure. L'RTO effettivamente raggiunto indica in quanto tempo i servizi critici possono tornare operativi. L'RPO misurato permette di capire quanto recenti saranno i dati disponibili dopo il ripristino.

Chi lavora quotidianamente nella risposta agli incidenti osserva spesso un cambiamento interessante.

Le discussioni smettono di concentrarsi sulla capacità dei sistemi di backup o sullo spazio disponibile e iniziano a riguardare la continuità operativa, il rispetto degli impegni verso i clienti e la reale preparazione dell'organizzazione.

Anche la reportistica può rimanere semplice.

Un report mensile che riassuma i sistemi testati, i tempi di ripristino ottenuti, le criticità ancora aperte e le azioni correttive completate fornisce al management informazioni sufficienti per prendere decisioni consapevoli.

Considerazioni finali

Nel 2026 prepararsi al ransomware significa poter dimostrare che i processi di ripristino funzionano davvero quando servono.

Le soluzioni di backup restano indispensabili, ma la fiducia del management nasce soprattutto da prove di ripristino documentate, obiettivi condivisi e risultati misurabili, non dal semplice fatto che i backup vengano eseguiti regolarmente.

Le esercitazioni di ripristino mettono spesso in luce presupposti che rimangono invisibili durante la normale operatività. Scoprirli durante un test programmato permette di correggere procedure e responsabilità prima che un incidente reale metta sotto pressione la produzione, le consegne ai clienti e la continuità del business.

Ogni piano di ripristino funziona sulla carta. La vera fiducia nasce quando viene verificato in condizioni operative reali.

If you're reviewing your recovery strategy or preparing for NIS2, 

Blue Networks can help you assess whether your recovery capability matches your business requirements. 

Contact us to discuss your current approach and learn how to strengthen your recovery readiness.