Gestione di sistemi di backup e recovery — scheda di studio — TiConsiglio

Introduzione

La gestione di sistemi di backup e recovery è una delle competenze fondamentali per garantire la continuità operativa dell’INPS. Il candidato deve conoscere le tipologie di backup, i parametri di performance (RTO, RPO), le soluzioni di disaster recovery (DR) e business continuity (BC), nonché le normative di riferimento in materia di sicurezza e protezione dei dati.

Perimetro della materia

Nel contesto di un ente pubblico come l’INPS, “gestione di sistemi di backup e recovery” comprende:

Continuità operativa: capacità di mantenere i servizi erogati ai cittadini anche in caso di guasti o eventi catastrofici.
Disaster Recovery (DR): piano di ripristino delle infrastrutture IT dopo un’interruzione grave.
Business Continuity (BC): insieme di misure volte a garantire la prosecuzione delle attività critiche, includendo backup, ridondanza e piani di emergenza.
Tutela del dato pubblico: rispetto dei principi di integrità, disponibilità e riservatezza sanciti dal CAD e dal GDPR.

Concetti e istituti chiave

Tipologie di backup e politiche di retention

Le soluzioni più diffuse sono:

Full backup: copia completa di tutti i dati selezionati; base di ogni strategia.
Backup incrementale: registra solo le modifiche avvenute dal backup precedente (full o incrementale).
Backup differenziale: registra le modifiche dal ultimo full backup.

Le politiche di retention definiscono per quanto tempo i backup vengono conservati e dove sono archiviati, seguendo la regola 3‑2‑1 (tre copie, due supporti diversi, una copia off‑site).

RTO e RPO

Parametro	Definizione	Obiettivo tipico nella PA
RTO (Recovery Time Objective)	Tempo massimo accettabile per il ripristino di un servizio dopo un’interruzione.	Minimizzare l’interruzione dei servizi erogati ai cittadini (es. ≤ 4 ore per i servizi di pagamento).
RPO (Recovery Point Objective)	Quantità massima di dati che si può perdere, espressa in tempo.	Limitare la perdita di dati a ≤ 30 minuti per le operazioni di gestione delle pratiche.

Disaster Recovery vs Business Continuity

Il Disaster Recovery si concentra sul ripristino dell’infrastruttura IT (server, storage, rete) dopo un evento avverso. Il Business Continuity include, oltre al DR, piani di continuità dei processi, soluzioni di ridondanza (cluster, HA) e procedure operative per garantire la prosecuzione dei servizi.

Backup su sistemi operativi

Le principali piattaforme in ambito PA sono Linux e Windows. Per ciascuna è opportuno conoscere:

Linux: rsync, tar, dump, LVM snapshot, borg, backup a caldo tramite filesystem freeze o CRON con systemd timers.
Windows: Windows Server Backup, Volume Shadow Copy Service (VSS) per snapshot a caldo, Robocopy per copie incrementali, System Center Data Protection Manager (SCDPM).

Backup di database relazionali

I database più diffusi nella PA (Oracle, Microsoft SQL Server, PostgreSQL) richiedono strategie specifiche:

Dump logico: esportazione di schemi e dati (es. expdp/impdp, pg_dump).
Backup fisico: copia dei file di datafile, redo log e control file; spesso eseguito a caldo tramite VSS o RMAN.
Log delle transazioni: archiviazione continua dei log per consentire il point‑in‑time recovery entro il RPO stabilito.

Continuità operativa nella Pubblica Amministrazione

Il Codice dell’Amministrazione Digitale (d.lgs. 82/2005) prevede, all’art. 50‑bis e successive modifiche, l’obbligo per le amministrazioni di adottare misure di continuità operativa e disaster recovery. Le Linee Guida AgID sulla continuità operativa e disaster recovery dettagliano i requisiti tecnici (piani di test periodici, segregazione geografica dei dati, SLA di RTO/RPO).

Sicurezza informatica applicata al backup

Il GDPR (Reg. UE 2016/679), in particolare l’art. 32, impone misure di sicurezza adeguate per garantire l’integrità e la disponibilità dei dati personali. Per i backup ciò si traduce in:

Cifratura dei dati a riposo (AES‑256) e in transito (TLS).
Controllo degli accessi basato su ruoli (RBAC) e gestione delle chiavi.
Verifica dell’integrità mediante checksum (SHA‑256) o firme digitali.
Procedura di test di ripristino periodico per accertare la correttezza dei backup.

Application server e infrastrutture ad alta disponibilità

Il backup è complementare a soluzioni di ridondanza come:

Clustering: gruppi di server che operano in modalità attiva‑passiva o attiva‑attiva.
Load balancing con bilanciatori hardware o software.
Replica sincrona/ascrona dei dati tra data center geografici.
Virtualizzazione con snapshot dei VM e migrazione live.

Riferimenti normativi e collegamenti con le altre materie

Le disposizioni di cui sopra si intersecano con le seguenti materie del concorso:

Reti e sistemi: la configurazione di storage, SAN/NAS e la gestione delle repliche dipendono da conoscenze di rete.
Sicurezza informatica: la cifratura, il controllo degli accessi e la verifica di integrità sono richiesti dal GDPR e dal CAD.
CAD e normativa sulla continuità operativa: l’art. 50‑bis CAD e le Linee Guida AgID definiscono gli obblighi di DR/BC per le PA.
GDPR e privacy: le misure di sicurezza dei backup sono parte integrante delle valutazioni di impatto (DPIA) e delle misure tecniche richieste dall’art. 32.
Database relazionali: la gestione dei log, dei dump e dei piani di recovery è strettamente legata alle conoscenze di SQL e di amministrazione dei DB.

Errori tipici e trappole d'esame

Confondere RTO con RPO: l’uno riguarda il tempo di ripristino, l’altro la quantità di dati persi.
Scambiare backup differenziale con incrementale: il differenziale parte dall’ultimo full, l’incrementale dal backup precedente.
Ritenere che il backup sostituisca la cifratura: la cifratura è una misura di sicurezza indipendente dal tipo di backup.
Trascurare il test di ripristino: senza verifica periodica il backup può risultare inutilizzabile.
Ignorare le specifiche del CAD e del GDPR: le soluzioni proposte devono rispettare gli obblighi di continuità operativa e di protezione dei dati personali.
Presumere che la sola ridondanza hardware elimini la necessità di backup: la ridondanza previene i guasti, ma non protegge da cancellazioni accidentali o ransomware.

Checklist di ripasso

Distinguere chiaramente full, incrementale e differenziale e sapere quando usarli.
Memorizzare le definizioni di RTO e RPO e i loro valori tipici nella PA.
Conoscere la differenza concettuale tra Disaster Recovery e Business Continuity.
Elencare gli strumenti di backup più comuni per Linux e Windows, includendo snapshot e backup a caldo.
Descrivere le modalità di backup dei database relazionali (dump logico, backup fisico, log delle transazioni).
Richiamare i riferimenti normativi: art. 50‑bis CAD, Linee Guida AgID, art. 32 GDPR.
Indicare le misure di sicurezza da applicare ai backup (cifratura, controllo accessi, checksum).
Elencare le soluzioni di alta disponibilità (clustering, replica, load balancing) che integrano il backup.
Ricordare l’importanza del test di ripristino periodico e della documentazione dei risultati.
Verificare la coerenza delle politiche di retention con la regola 3‑2‑1 e con gli SLA definiti.