La regola 3-2-1
dei backup

Tre copie dei dati — l'originale più due —, su due supporti di natura diversa, di cui una fuori dall'edificio in cui si trova l'originale. Ogni numero copre un guasto diverso: la seconda copia copre il guasto della prima; il secondo supporto evita che un tipo di guasto (meccanico, di firmware, di lotto) colpisca entrambe nello stesso momento; la copia fuori sede copre incendio, furto, allagamento o qualunque cosa colpisca l'intero edificio. È una regola di progettazione, non di verifica: dice quante copie tenere e dove metterle, ma non dice nulla sul fatto che quelle copie, il giorno in cui serviranno, si potranno davvero aprire. Questa parte — quella che stabilisce davvero se la regola è servita a qualcosa — è l'argomento di questo articolo: la prova di ripristino.

Ripristinando, non controllando il log del programma di backup. Scelga un file qualsiasi — non il più comodo, uno a caso —, lo tolga dalla vista o lavori su una copia del sistema, e lo recuperi dal backup come se lo avesse perso davvero. Poi lo apra. Se si apre e il contenuto è quello atteso, quel backup funziona in quel punto nel tempo. Se il processo fallisce, si blocca, chiede una password che nessuno ricorda o il file recuperato non si apre, ha appena trovato il problema con tutto il tempo per risolverlo, invece di scoprirlo il giorno in cui ha perso qualcosa sul serio. Un rapporto «backup completato senza errori» non lo dimostra: conferma che dei byte sono stati scritti da qualche parte, non che quei byte formino un file leggibile.

Dipende da quanto si dipende da quei dati, non da un calendario uguale per tutti. Per un privato con foto e documenti, una verifica trimestrale è ragionevole: prendere un file a caso e aprirlo. Per una PMI con cartelle condivise usate ogni giorno ha più senso una verifica mensile, perché ci sono più persone che generano dati nuovi e più margine perché qualcosa si rompa senza che nessuno se ne accorga. Per i dati critici — contabilità, un server che se si ferma blocca l'attività — conviene aggiungere almeno una volta l'anno un ripristino completo, non di un solo file, per misurare anche quanto tempo serve per tornare operativi. L'importante non è indovinare la cadenza esatta, ma che ce ne sia una, scritta da qualche parte e con la data dell'ultima volta in cui è stata fatta.

Trattarlo per quello che è: un backup rotto che finora dava un falso senso di sicurezza, ed è meglio scoprirlo adesso che il giorno in cui serve davvero. Per prima cosa, verifichi se il problema è isolato — quel file specifico si è danneggiato durante la copia — o generale — anche l'ultimo ripristino completo non funziona, il che fa pensare all'attività pianificata, alla connessione con la destinazione o a una destinazione piena da tempo, dove i backup recenti non sono mai stati scritti. Controlli la data reale del file che è riuscito a ripristinare: se risale a mesi fa, il backup non si aggiorna da mesi, anche se il programma dice il contrario. Corretto il guasto, ripeta la prova con un altro file prima di considerare di nuovo affidabile il sistema.

Perché «senza errori» certifica soltanto che il processo di scrittura non ha incontrato un problema che sia in grado di rilevare da solo, e ci sono guasti che non rientrano in questa categoria: un file danneggiato durante la compressione ma scritto lo stesso, una cartella rimasta fuori dal backup per un cambio di percorso che nessuno ha aggiornato, credenziali di accesso alla destinazione scadute mentre il sistema continua a riprovare in silenzio, un disco di destinazione pieno in cui i backup più recenti semplicemente non entrano e vengono scartati senza alcun avviso visibile. Tutti questi casi producono uno storico di «completato con successo» e, allo stesso tempo, un backup inutile. L'unico modo per scoprirli prima di averne bisogno è provare a recuperare qualcosa di reale e controllare che ciò che esce sia ciò che ci si aspettava.

Una persona precisa, con l'attività in calendario e non come qualcosa che «qualcuno dovrebbe controllare ogni tanto», che è la formula con cui non lo fa mai nessuno. Non deve essere per forza il profilo tecnico più esperto: la prova in sé — scegliere un file, ripristinarlo, aprirlo, annotare la data — può farla chiunque abbia accesso al sistema di backup seguendo una checklist fissa. Conviene però che a farla sia sempre la stessa persona, così da notare cambiamenti di comportamento, e che il risultato venga annotato da qualche parte con la data, anche solo in un foglio condiviso. Se in azienda non c'è nessuno con il tempo o la competenza per farsene carico in modo continuativo, è esattamente il vuoto che colma un servizio di manutenzione gestita.