Backup dello studio medico: la regola 3-2-1 applicata all'ambulatorio

Cosa può andare storto davvero

Quando si parla di backup la mente va al guasto del disco, che è in effetti lo scenario classico. Ma nella pratica di uno studio medico gli incidenti più frequenti sono altri tre, e nessuno di questi è risolto da un semplice disco di scorta.

Il primo è il ransomware. Un allegato aperto per distrazione cifra tutti i file raggiungibili dal computer — e se il disco di backup è collegato in permanenza tramite USB, cifra anche quello. È il motivo per cui una copia costantemente connessa non è una copia sicura.

Il secondo è l'errore umano: una cartella eliminata per sbaglio, una modifica sbagliata salvata sopra il dato corretto. Qui il problema non è la perdita del disco ma il tempo: se il backup viene sovrascritto ogni notte e l'errore viene scoperto dopo cinque giorni, l'unica copia disponibile contiene già il dato sbagliato. Servono versioni multiple nel tempo, non una sola copia sempre aggiornata.

Il terzo è il furto o l'incendio dello studio. È lo scenario più raro e quello che azzera tutto insieme: computer e disco di backup si trovano nella stessa stanza e spariscono nello stesso momento. È esattamente il motivo per cui esiste la regola che segue.

La regola 3-2-1, tradotta per un ambulatorio

La regola 3-2-1 è lo standard di riferimento in materia di backup e si riassume così: tre copie dei dati, su due supporti diversi, di cui una conservata fuori sede. Applicata a uno studio medico non richiede infrastrutture complesse.

Le tre copie sono il dato originale sul computer dello studio, più due copie di backup. Non conta come copia il file duplicato in un'altra cartella dello stesso disco: se il disco muore o viene cifrato, se ne vanno entrambi.

I due supporti diversi servono a non dipendere da un singolo punto di rottura. In pratica: il disco interno del computer più un disco esterno, oppure un NAS dello studio. L'importante è che il secondo supporto non resti collegato in permanenza — si connette per il backup e si scollega — proprio per proteggerlo dal ransomware.

La copia fuori sede è quella che quasi tutti saltano, ed è quella che salva nei casi peggiori. Per uno studio medico può essere un secondo disco cifrato custodito altrove e ruotato con cadenza regolare, oppure un servizio di backup remoto. Qui va posta una condizione non negoziabile: se la copia fuori sede finisce su un servizio online, quei dati sono dati sanitari e vanno cifrati prima di uscire dallo studio, con una chiave che resta in tuo possesso. Diversamente hai reintrodotto dalla finestra il trasferimento a terzi che avevi escluso dalla porta, e il fornitore di quel servizio diventa un responsabile del trattamento da regolare con un contratto.

Cifratura: il livello che rende il backup difendibile

Un disco esterno con dieci anni di cartelle cliniche, non cifrato, dimenticato in una borsa su un treno, è una violazione di dati personali con tutto quello che ne consegue. Lo stesso disco, cifrato con una password robusta, è un oggetto inutilizzabile per chi lo trova.

Su Windows lo strumento nativo è BitLocker, disponibile nelle edizioni Pro ed Enterprise, che consente di cifrare sia il disco di sistema sia le unità rimovibili tramite BitLocker To Go. È la configurazione minima ragionevole per qualsiasi supporto che esce dallo studio, e vale la pena estenderla anche al disco del computer principale: un portatile sottratto dall'ambulatorio senza cifratura del disco espone l'intero archivio, indipendentemente dalla password di accesso a Windows.

La chiave di ripristino va conservata da qualche parte che non sia il computer cifrato — è un errore ricorrente e le sue conseguenze sono definitive. Un supporto separato, o un gestore di password affidabile, sono entrambe soluzioni accettabili; un file di testo sul desktop non lo è.

Il backup che non hai mai ripristinato non è un backup

È la parte che si salta sempre, ed è quella che distingue un backup reale da un backup presunto. Un processo automatico che gira ogni notte e produce file può fallire silenziosamente per mesi: un percorso cambiato, un disco pieno, un servizio che non riparte dopo un aggiornamento. Nessuno se ne accorge finché non serve.

L'unico modo per saperlo è provare. Una volta ogni sei mesi, prendi il backup e ripristina i dati su una macchina diversa o in una cartella separata: verifica che i file ci siano davvero, che si aprano, che l'archivio sia completo e non tronco. Mezz'ora di lavoro due volte l'anno, con un beneficio sproporzionato rispetto al costo.

Vale la pena scrivere anche due righe di procedura: dove si trovano le copie, ogni quanto vengono fatte, chi le esegue, dove sta la chiave di ripristino e quali sono i passaggi per rimettere in piedi lo studio. Se l'unica persona che conosce la risposta è in ferie il giorno in cui il computer non si accende, la procedura non esiste. E se ti stai chiedendo se ne valga la pena: il criterio pratico è quanti giorni di attività clinica saresti disposto a perdere. Se la risposta è nessuno, il piano va scritto adesso, non dopo il primo incidente.

Domande frequenti

Che cos'è la regola 3-2-1 del backup?

È lo standard di riferimento per la protezione dei dati: tre copie delle informazioni, conservate su due supporti diversi, di cui una custodita fuori sede. In uno studio medico si traduce nel dato sul computer, una copia su disco esterno o NAS che non resta collegato in permanenza, e una terza copia cifrata conservata altrove.

Con un gestionale locale il backup è responsabilità mia?

Sì, ed è il rovescio della medaglia dell'archiviazione locale. Quando i dati clinici restano sul computer dello studio, nessun fornitore esegue backup al posto tuo: dischi cifrati, copie periodiche protette e test di ripristino ricadono sul medico. In cambio ottieni che i dati non transitino da server di terzi e che il perimetro di chi può accedervi sia netto.

Posso usare un servizio cloud per la copia fuori sede?

Puoi, a una condizione: i dati sanitari vanno cifrati prima di lasciare lo studio, con una chiave che resta in tuo possesso. Se carichi cartelle cliniche in chiaro su un servizio online hai reintrodotto un trasferimento a terzi, e quel fornitore diventa un responsabile del trattamento da regolare contrattualmente. Con la cifratura lato client il servizio custodisce un archivio che non è in grado di leggere.

Ogni quanto va testato il ripristino?

Una verifica ogni sei mesi è un compromesso ragionevole per uno studio privato. Un backup automatico può fallire silenziosamente per mesi — percorso cambiato, disco pieno, servizio non riavviato — e l'unico modo per accorgersene prima dell'emergenza è ripristinare davvero i dati su una macchina o una cartella diversa e controllare che l'archivio sia completo e apribile.