Quando il ransomware colpisce, la differenza tra un MSP preparato e uno impreparato si misura in minuti, non in giorni. Ecco la checklist concreta che separa la resilienza operativa dalla semplice speranza di backup.
Un attacco ransomware non concede seconde possibilità: o il servizio MSP è pronto a ripristinare i sistemi senza esitazioni, oppure il danno si trasforma in perdita di clienti e reputazione. Nel 2025, secondo l'Acronis Cyberthreats Report, sono stati identificati 143 casi di ransomware che hanno coinvolto MSP, provider IT e operatori telecom. Il dato più allarmante? Il 52% degli accessi iniziali è avvenuto tramite phishing, mentre il 27% ha sfruttato vulnerabilità non patchate. In questo scenario, la sola esistenza di backup non basta più.
La vera discriminante è la capacità di dimostrare, con prove concrete, che ogni fase - dalla prevenzione alla recovery - è stata testata e funziona davvero per ogni singolo tenant, workload e configurazione venduta. Non si tratta di promesse, ma di risultati verificabili.
Sei prove da superare: la checklist MSP senza scuse
Ogni servizio di protezione ransomware deve rispondere a sei domande precise. Primo: l'esposizione è ridotta? Serve dimostrare SLA di patching per gravità, MFA attivo su portali di gestione e accessi remoti, separazione tra amministrazione backup e sicurezza. Un account tecnico compromesso non deve poter cancellare i recovery point. Secondo: la rilevazione è tempestiva? Un test comportamentale controllato deve generare un incidente prima che l'encryption si diffonda. Terzo: la risposta è garantita 24/7? Bisogna sapere chi monitora, indaga, contiene e avvisa il cliente fuori orario, con escalation e limiti di approvazione documentati.
Quarto: i recovery point sono davvero isolati e immutabili? Occorre tentare la cancellazione con credenziali compromesse e verificare retention, alert e policy di storage. Quinto: il ripristino è pulito? Non basta che il job di backup sia riuscito: bisogna selezionare un punto noto, scansionarlo, ripristinare in isolamento, ricostruire le dipendenze e validare l'applicazione, registrando RPO e RTO effettivi. Sesto: la gestione multi-tenant è reale? Le policy standard non devono appiattire i requisiti dei clienti; occorre testare separazione dei ruoli, visibilità cross-tenant, reporting, API e integrazioni RMM/PSA senza rischi di esposizione tra tenant.
EDR, XDR, MDR e backup immutabile: sinergia o illusione?
Molti MSP confondono le sigle e le promesse. EDR monitora e isola gli endpoint, XDR collega segnali da email, identità e Microsoft 365 per offrire una visione unificata dell'incidente. MDR aggiunge il fattore umano: un team che indaga e risponde 24/7. Il backup immutabile protegge i recovery point da modifiche o cancellazioni, ma non rileva furti di dati né sostituisce la risposta agli incidenti. Solo l'uso integrato di questi strumenti - come nella piattaforma Acronis Cyber Protect Cloud con MDR - consente di coprire tutte le fasi operative, dalla detection alla recovery, senza lasciare zone d'ombra.
La differenza tra backup immutabile, offline e air-gapped non è semantica: ogni controllo va verificato separatamente, senza scorciatoie.
Recovery runbook: tagliare i tempi, non le procedure
Il tempo di recovery non è solo questione di tecnologia, ma di coordinamento. Ogni passaggio - detection, triage, isolamento, scelta del recovery point, ripristino e validazione - va ottimizzato e testato. Un MSP efficace dichiara subito l'incidente, assegna un comandante, apre un canale out-of-band, identifica tenant e workload colpiti, isola gli endpoint compromessi, preserva le prove prima di cancellare o ruotare i log, chiude il punto d'ingresso, seleziona il recovery point valido, ripristina le dipendenze e monitora per eventuali attività residue degli attaccanti.
Automazione e runbook rodati riducono i tempi morti, ma le decisioni ad alto impatto - come l'isolamento di massa o il failover - devono restare sotto controllo umano. Dopo ogni drill, si registrano RPO/RTO raggiunti e si aggiorna la procedura sulla base delle evidenze, non delle stime teoriche.
Il mito del backup immutabile contro il doppio ricatto
Chi pensa che il backup immutabile sia la panacea contro il ransomware ignora la realtà del double extortion: se i dati sono già stati esfiltrati, nessun backup può annullare la violazione o evitare le notifiche di data breach. La protezione efficace richiede visibilità su esfiltrazione e abusi di identità prima della cifratura, correlando segnali da endpoint, email, Microsoft 365, DNS, proxy ed egress. Durante la risposta, serve isolare dispositivi, revocare sessioni e token, ruotare credenziali, bloccare le destinazioni degli attaccanti e preservare le prove per le decisioni legali.
La piattaforma Acronis integra EDR per il contesto endpoint e XDR per la telemetria cross-applicativa, ma la visibilità di rete può richiedere firewall, SIEM o altri controlli lato cliente. Testare questi passaggi in anticipo è obbligatorio.
Come valutare davvero una piattaforma MSP
Prima di standardizzare una soluzione, ogni MSP dovrebbe pretendere una demo live che copra: copertura dei workload e dei tenant, detection prima della cifratura, ownership della risposta 24/7, modalità di storage immutabile e separazione privilegi, selezione e scansione dei recovery point, drill di recovery con misurazione RPO/RTO e gestione multi-tenant con audit e integrazioni API/RMM/PSA. Solo così si evita di affidarsi a promesse vuote.
La piattaforma Acronis Cyber Protect Cloud con MDR offre tutte queste capacità, ma la validazione deve avvenire sulla configurazione reale in produzione, non su slide commerciali.
Domande frequenti: risposte senza giri di parole
Qual è la miglior protezione ransomware per un MSP? Quella che dimostra, con prove, tutti e sei gli outcome richiesti sui workload effettivi. Cosa deve includere il servizio? Riduzione dell'esposizione, detection EDR/XDR, risposta 24/7, recovery point immutabili e separati, recovery testato e gestione multi-tenant con evidenze per il cliente. Come si riducono i tempi di recovery? Eliminando i tempi morti tra i passaggi, preassegnando i ruoli, automatizzando i task sicuri e rodando i restore fino a raggiungere gli RPO/RTO promessi. Il backup immutabile ferma il double extortion? No: protegge i dati da modifiche, ma non può annullare l'esfiltrazione. Servono detection, identity control, visibilità e processi di notifica.
Conseguenze operative e il vero banco di prova
La resilienza ransomware non si misura sulle slide, ma nella capacità di contenere l'attacco, preservare la recovery path e dimostrare che i servizi critici tornano online nei tempi previsti. Un MSP che non testa ogni passaggio, che non documenta le prove per ogni tenant e che si affida solo al backup, rischia di scoprire troppo tardi i propri limiti. La piattaforma Acronis Cyber Protect Cloud con MDR offre un modello integrato, ma la differenza la fa la disciplina operativa: test, drill, audit e revisione continua. Chi si limita a soluzioni di facciata finirà come chi, nel caso reported earlier, ha scoperto troppo tardi che la catena di sicurezza era già compromessa. In un mercato dove la fiducia si guadagna solo con risultati tangibili, la vera protezione ransomware è quella che si dimostra ogni giorno, non quella che si promette.
