Backup 3-2-1 per fotografi: regola, varianti e flusso dopo lo shooting

Una scheda che non si legge più, un disco esterno che smette di girare, uno zaino rubato con dentro il portatile: ogni fotografo incontra prima o poi una di queste scene, e a fare la differenza è il numero di copie che esistono altrove. Il backup 3-2-1 è la regola più semplice per decidere quante copie tenere, dove metterle e su che cosa. Qui la applichiamo a un archivio fotografico vero, dalla card appena estratta fino al deposito per i prossimi vent’anni.

La regola 3-2-1 e come è nata

La regola si legge in tre numeri. Tre copie dei dati, cioè l’originale e due backup. Due tipi di supporto diversi, per esempio un disco interno e un disco esterno, oppure un NAS e un servizio cloud. Una copia fuori sede, lontana dal luogo in cui si trovano le altre. La descrizione di Wikipedia coincide con questa e aggiunge il motivo della varietà: supporti diversi sono esposti a guasti diversi, l’acqua rovina un nastro, un urto danneggia le testine di un disco rigido.

L’origine esatta è sfuggente. Backblaze la colloca verso la fine degli anni Duemila e ricorda che nel 2012 la Carnegie Mellon University la raccomandò in un documento per lo US-CERT, «Data Backup Options». Tra i fotografi è diventata un riferimento comune, citata nelle guide alla gestione degli archivi e nei manuali di flusso di lavoro.

Ogni numero risponde a un rischio preciso. Le tre copie coprono il guasto simultaneo: se un disco può rompersi in un dato anno, che se ne rompano tre nello stesso momento è molto meno probabile. I due supporti diversi coprono i difetti di famiglia, come un lotto di dischi con lo stesso problema di fabbricazione. La copia fuori sede copre gli eventi che colpiscono un luogo intero, cioè incendio, allagamento, furto. Backblaze consiglia di tenerla a più di qualche miglio dalle altre e cita un sondaggio del 2023 secondo cui solo l’11% dei proprietari di computer fa un backup ogni giorno. Per chi vive del proprio archivio quella percentuale dovrebbe stare molto più in alto.

Le varianti: 3-2-1-1-0

Il cloud ha spostato un poco il baricentro. Backblaze osserva che con un servizio remoto pesa più avere due dispositivi separati che due tecnologie diverse, e definisce la 3-2-1 un punto di partenza, da completare con altre difese. A ridefinirla sono stati soprattutto i ransomware, programmi che cifrano i file e prendono di mira anche i backup raggiungibili dalla rete.

La variante più citata è la 3-2-1-1-0, che Veeam presenta come aggiornamento della regola classica. I primi tre numeri restano quelli di prima. Il secondo uno indica una copia immutabile o isolata dalla rete (air-gapped), che un attacco o un errore non possono modificare né cancellare. Lo zero indica zero errori nella verifica del ripristino. Veeam porta come esempi di immutabilità i servizi cloud che mettono i backup in stato WORM, write once read many, come l’Object Lock di Amazon S3 e lo storage immutabile dei blob di Azure.

Per un fotografo singolo o per un piccolo studio la copia isolata ha spesso una forma modesta: un disco esterno che sta in un cassetto e si collega solo per l’aggiornamento mensile, oppure un archivio cloud con blocco delle versioni, se il servizio scelto lo prevede. Lo zero è la parte più trascurata. Un backup che non si è mai provato a ripristinare è, finché non lo si prova, un’ipotesi.

Dischi, SSD, ottici e nastri: che cosa scegliere

Ogni supporto ha un profilo di rischio diverso, e la regola dei due tipi serve proprio a distribuirli. La tabella riassume ciò che emerge dalla voce di Wikipedia sul backup.

Per la durata dei dischi rigidi i dati più concreti vengono da Backblaze, che pubblica ogni anno le statistiche sui propri dischi. Nel 2025 ne ha analizzati 344.196, di 30 modelli diversi, con un tasso di guasto annualizzato dell’1,36%, in calo rispetto all’1,55% del 2024; il valore cumulativo è dell’1,30%. Sembra poco, e per un singolo disco lo è. Ma un fotografo che tiene tre dischi, a quel tasso, ha una probabilità di circa il 4% che almeno uno si guasti in un anno (il calcolo è nostro, partendo dal 1,36%). La media nasconde poi differenze tra modelli: nel rapporto del quarto trimestre alcuni modelli superano il 4% e uno arriva oltre il 10%, quindi la scelta del modello conta.

I nastri LTO, secondo Wikipedia, sono diventati la tecnologia di riferimento entro il 2014, ma sono un investimento da archivio aziendale. I dischi ottici, utili come copia di sola lettura, hanno una vita incerta: uno studio francese del 2008 stimava per i CD-R una durata da 2 a 10 anni, mentre un produttore ha dichiarato fino a 100 anni per i dischi con strato d’oro. Come copia di appoggio su scaffale restano un’opzione, non una base.

NAS, RAID e cloud: che cosa proteggono davvero

Un NAS è un server di file collegato alla rete, a cui accedono più dispositivi. Contiene di solito più dischi, spesso configurati in RAID, e quelli per uso domestico non richiedono in genere un abbonamento mensile come i servizi cloud pubblici. Come seconda copia di un archivio fotografico funziona bene: sta in casa o in studio, si raggiunge da ogni computer e si può programmare un salvataggio notturno.

Il punto delicato è il RAID. Nel RAID 1 i dati vengono scritti in modo identico su due o più dischi, e l’insieme continua a funzionare finché almeno un disco è sano. Questo protegge da un guasto meccanico, e basta. Wikipedia ricorda che i dati restano esposti a errori dell’operatore, del software, dell’hardware e ai virus, e che un incendio o un’alluvione distrugge l’intero sistema. Se si cancella una cartella per sbaglio, la cancellazione si replica subito su tutti i dischi dell’array. Per questo un NAS in RAID conta come un’unica copia con più resistenza ai guasti, non come due.

La stessa logica vale per i servizi che sincronizzano le cartelle: mantengono identici i dispositivi, e quindi propagano anche gli errori. Un backup conserva stati precedenti e permette di tornare indietro. La sezione sui servizi cloud nel confronto tra i servizi cloud per fotografi entra nei dettagli di costi e di tenuta dei RAW.

Il cloud, dal canto suo, copre il requisito fuori sede: protegge da incendi, alluvioni e terremoti. Wikipedia segnala i due prezzi da pagare, cioè affidarsi al fornitore per riservatezza e integrità, con la cifratura come difesa, e dipendere dalla propria connessione. Con un archivio di molti terabyte il primo caricamento richiede settimane, e lo stesso vale per il ripristino completo: per i grandi volumi Wikipedia cita il caricamento iniziale e il ripristino in blocco come soluzioni da concordare con il fornitore.

Verificare i backup

La verifica ha due livelli. Il primo riguarda ogni copia al momento in cui si fa: il file copiato deve essere identico all’originale. Il secondo riguarda il tempo: un file integro oggi può non esserlo tra due anni.

Lo strumento del primo livello è il checksum, un piccolo blocco di dati derivato dal file che serve a rilevare errori di trasmissione o di memorizzazione. Si calcola sull’originale e sulla copia, si confrontano i due valori e, se coincidono, la copia con ottima probabilità non è stata alterata. Le funzioni crittografiche di hash sono particolarmente adatte a scoprire la corruzione dei dati, e i file system moderni come ZFS, Btrfs e ReFS fanno questo controllo in automatico. Molti programmi di importazione e di copia affidabili offrono la verifica come opzione, e conviene attivarla.

Il secondo livello ha un nome nella letteratura tecnica: degradazione dei dati, o bit rot. Consiste nell’accumulo graduale di piccoli guasti, che può avvenire anche su file mai aperti. Alcuni errori sono silenziosi, definiti «latenti», e restano invisibili finché il file non viene letto. Secondo la voce di Wikipedia, l’unico modo proattivo per scoprirli è controllare i checksum o confrontare i dati con le altre copie. Ne discende una abitudine semplice: a scadenze fisse, per esempio ogni trimestre, si ricalcolano i checksum dell’archivio e li si confrontano con quelli salvati al momento della copia.

La prova di ripristino completa il quadro. Si sceglie una cartella a caso, si ripristina dal backup su un computer diverso e si apre un campione di file nel software di sviluppo. Lo stesso vale per i cataloghi: Adobe precisa che i backup di Lightroom Classic contengono solo il file del catalogo, quindi le foto e le esportazioni vanno salvate a parte. Il programma esegue il backup all’uscita, con frequenza impostabile, e offre di verificare l’integrità del catalogo prima di copiarlo, operazione più lenta ma più sicura. Adobe raccomanda di tenere i backup su un disco separato, meglio se fuori sede.

Archiviazione a lungo termine

Un archivio che deve durare decenni ha un problema diverso da quello di un backup mensile: i supporti e i formati invecchiano. Conservare una copia su un disco in un cassetto non basta, perché dopo qualche anno nessuno garantisce che si accenda. La pratica prudente è rinnovare i supporti prima che si guastino e farlo con le stesse regole di verifica: si copia su un disco nuovo, si confrontano i checksum, e solo dopo si ritira il vecchio.

La scelta del formato incide quanto quella del disco. I RAW restano leggibili finché i software li supportano, e per questo molti archivi affiancano agli originali una copia in un formato aperto, come il DNG, oppure master in TIFF. La serie dedicata ai formati spiega le differenze, a partire dal formato RAW. Il TIFF non compresso occupa molto spazio ma si apre quasi ovunque, un vantaggio nel lungo periodo.

Le immagini senza contesto perdono valore. I metadati, cioè didascalie, parole chiave, diritti e dati di scatto, devono accompagnare i file, nel catalogo oppure in file XMP affiancati ai RAW, e vanno inclusi nel backup. L’articolo sui dati EXIF chiarisce che cosa registra la fotocamera e che cosa si aggiunge dopo. Una convenzione di nomi coerente e una struttura di cartelle per anno e per lavoro rendono l’archivio comprensibile anche a chi lo aprirà tra vent’anni, e forse non sarà più chi lo ha creato.

Errori comuni

Il primo è scambiare lo spostamento per un backup. Trasferire i file dal computer a un disco esterno e cancellarli dal computer lascia una sola copia, solo più comoda da portare in giro. Il secondo è considerare backup una sincronizzazione: chi cancella un file da una cartella sincronizzata lo cancella ovunque.

Il terzo è formattare la scheda appena finito di importare. Una copia che non è stata controllata può essere vuota o corrotta, e la scheda è l’unico originale. Lo scenario ha un trattamento dedicato nella guida per recuperare foto cancellate da una scheda SD, che spiega perché l’importazione in un catalogo non vale come copia di sicurezza se il programma registra soltanto i riferimenti ai file.

Il quarto errore è tenere tutte le copie nello stesso posto. Due dischi nello stesso zaino contano come un unico punto di rottura, perché lo zaino può essere rubato, bagnato o dimenticato. Il quinto è salvare solo il catalogo e non le immagini, o il contrario, e scoprire al ripristino che mancano i riferimenti. Il sesto è non provare mai il ripristino, e a questo si aggiunge il rischio di perdere la password o la chiave di cifratura del servizio cloud: senza di esse il backup c’è e non si apre.

Un flusso pratico dopo lo shooting

Il flusso che segue unisce le indicazioni precedenti in una sequenza ripetibile. Funziona per un reportage di un giorno come per un matrimonio, e si adatta a chi ha un NAS oppure soltanto due dischi e un account cloud.

Per un lavoro importante conviene tenere le schede nel cassetto fino alla consegna, se il budget lo consente: costano poco rispetto a un servizio fotografico da rifare. L’importazione e il catalogo sono approfonditi nel capitolo sullo sviluppo RAW dal file grezzo all’immagine finale, che comprende anche la gestione del backup nel flusso di lavoro.

Con questa routine l’archivio rispetta la regola 3-2-1 e, aggiungendo un disco isolato e i controlli periodici, anche la variante 3-2-1-1-0. Il costo è di pochi minuti dopo ogni sessione, e una mezza giornata ogni tre mesi per le verifiche.