Il sistema di backup dovrebbe avere account amministrativi separati?
Sì. Se lo stesso account amministratore di dominio che gestisce tutto il resto può anche cancellare i backup, un attaccante che ruba quell'unico account controlla sia i suoi sistemi sia la sua via di ritorno. Dia al sistema di backup account amministrativi propri, che non appartengano al dominio o alla directory principale, li protegga con l'autenticazione a più fattori, preferibilmente resistente al phishing, e li usi solo da una postazione di gestione dedicata. Gli account di servizio con cui il software di backup legge i dati dai server dovrebbero avere solo i diritti necessari, con password lunghe, uniche e conservate in modo sicuro. Se il prodotto lo consente, richieda l'approvazione di una seconda persona per cancellare backup o ridurre la conservazione, il cosiddetto principio dei quattro occhi. Verifichi chi ha diritti di amministrazione dei backup almeno due volte l'anno e a ogni uscita di personale. Sono passi poco costosi che chiudono una delle falle più sfruttate dagli attaccanti ransomware.