Lo stato del backup è la condizione attuale delle copie di ripristino di un’organizzazione: se esistono, se sono aggiornate, se sono complete e se possono effettivamente essere ripristinate. In pratica, un backup è utile solo se è integro, accessibile e privo di manomissioni o crittografia. I team di sicurezza monitorano lo stato del backup per valutare quanto danno potrebbe causare un incidente e con quanta rapidità i sistemi potrebbero essere ricostruiti.
È importante perché il ransomware spesso colpisce prima i backup. Gli aggressori possono eliminare gli snapshot, crittografare i server di backup o cercare copie offline per ridurre le opzioni di ripristino della vittima e aumentare la pressione estorsiva. I difensori controllano lo stato del backup durante la risposta all’incidente per confermare l’ultimo punto di ripristino pulito, testare le procedure di recupero e verificare che i sistemi di backup siano separati dagli account di produzione. Un buon stato del backup può trasformare una grave intrusione in un’interruzione contenuta invece che in una perdita operativa totale.