Tempo nel recupero dati: quando fa davvero la differenza
Il tempo nel recupero dati non pesa allo stesso modo in ogni situazione. A volte il supporto continua a deteriorarsi o a essere sottoposto a letture; a volte sono le nuove scritture a sovrascrivere quello che stai cercando; altre volte il dispositivo può essere fermo e stabile, ma i dati devono tornare disponibili entro una scadenza.
Questa guida separa i tre casi e spiega quando correre, quando spegnere e quando invece la cosa che conta davvero è semplicemente smettere di fare altre operazioni sul dispositivo.
Non esiste un unico tipo di urgenza. Se hai cancellato un file, il rischio principale sono le nuove scritture. Se un disco è fisicamente instabile, contano letture, accensioni e stato del supporto. Se un DVR continua a registrare, il sistema può sovrascrivere i filmati più vecchi. Se c’è un ransomware, la priorità è contenere l’incidente. E se i dati servono per un’udienza, una verifica o la ripartenza di un’azienda, l’urgenza può esistere anche quando il supporto è tecnicamente fermo.
- Tempo tecnico: il supporto o il sistema può continuare a cambiare o degradarsi.
- Tempo di sovrascrittura: nuove scritture possono occupare lo spazio dei dati eliminati o più vecchi.
- Tempo operativo: esiste una scadenza entro la quale i dati devono tornare disponibili.
- il dispositivo è entrato in contatto con un liquido ed è ancora alimentato;
- il disco fa un rumore che prima non faceva;
- hai appena cancellato file che non esistono in nessun backup;
- un array è degradato e non sai quale disco ha ceduto per primo;
- il DVR continua a registrare sopra il periodo che ti serve;
- sospetti un ransomware ancora attivo in rete.
Il tempo nel recupero dati: tre orologi diversi
Dire semplicemente «prima arrivi, più dati recuperi» mescola situazioni che hanno meccanismi completamente diversi. La domanda utile è un’altra: che cosa può cambiare mentre aspetti?
Un recupero può essere urgente anche quando il supporto non lo è. E, al contrario, un supporto può richiedere di essere fermato subito anche se il cliente non ha bisogno dei dati domani. Separare questi due piani evita sia allarmismi sia ritardi pericolosi.
Supporto bagnato: qui il tempo può cambiare davvero il danno
Quando un computer o un dispositivo alimentato entra in contatto con un liquido, la prima urgenza non è «farlo asciugare in fretta»: è interrompere l’alimentazione. Lenovo indica esplicitamente di scollegare l’alimentatore e spegnere immediatamente il computer dopo uno sversamento, precisando che ridurre rapidamente il passaggio di corrente limita il rischio di danni da cortocircuito.
Il secondo problema è che «sembra asciutto» non significa «è elettricamente sano». Dell documenta, fra i danni da liquidi, corrosione della scheda madre e corrosione di hard disk e pin. Per questo, se il valore è nei dati, l’asciugatura esterna non dovrebbe diventare il motivo per fare una prova di accensione.
Caso reale: recupero completo da hard disk esterno caduto in acqua.
Fonti ufficiali. Lenovo: cosa fare dopo uno sversamento di liquidi. Dell: esempi di corrosione da liquidi su motherboard e hard disk.
File cancellati: non è il calendario a sovrascrivere i dati, sono le nuove scritture
Dopo una cancellazione, il punto importante è distinguere il tempo trascorso dall’attività successiva sul dispositivo. Microsoft spiega che, nel file system di Windows, lo spazio occupato da un file eliminato viene marcato come libero: i dati possono ancora esistere, ma l’uso del computer può creare nuovi file e sovrascrivere quello spazio in qualsiasi momento.
Questo significa che «l’ho cancellato ieri» dice meno di quanto sembri. Un computer rimasto praticamente inutilizzato e un computer che, nelle stesse 24 ore, ha installato aggiornamenti, sincronizzato cloud, scaricato file e generato cache non hanno avuto la stessa storia di scritture.
Fonte ufficiale. Microsoft Support raccomanda di minimizzare o evitare l’uso del computer dopo la perdita di un file, proprio per ridurre il rischio di sovrascrittura dello spazio liberato.
Se stai valutando un tentativo autonomo, leggi prima la guida recupero dati fai da te.
SSD e TRIM: il tempo conta, ma non esiste un timer universale
Sugli SSD la cancellazione è più complessa. Microsoft documenta il comando TRIM come un meccanismo che comunica allo storage quali intervalli non devono più essere conservati e consente al dispositivo sottostante di riorganizzare quelle risorse. La documentazione precisa inoltre che, dopo un TRIM, una successiva lettura può restituire i dati precedenti, zeri, uno o una combinazione di questi risultati, a seconda del comportamento del dispositivo.
Da qui una conseguenza importante: non esiste una regola seria del tipo «hai X ore prima che un SSD cancelli tutto». Controller, firmware, sistema operativo, carico di lavoro e implementazione del comando incidono sul comportamento reale. Quello che si può dire con sicurezza è che continuare a usare il dispositivo dopo una cancellazione non migliora lo scenario.
Fonte ufficiale. Microsoft Learn: FSCTL_FILE_LEVEL_TRIM e comportamento degli intervalli sottoposti a TRIM.
Per il supporto in sé: recupero dati SSD. Per il sintomo specifico: SSD non riconosciuto. Caso reale: NVMe con firmware corrotto.
HDD fisicamente instabile: ogni nuova lettura ha un costo potenziale
Con un hard disk che presenta errori di lettura o un guasto fisico, l’urgenza cambia ancora. Il manuale ufficiale GNU ddrescue spiega che un disco in avaria tende a sviluppare più errori con il passare del tempo e avverte che ogni volta che un disco fisicamente danneggiato viene acceso e riesce ancora a fornire dati potrebbe essere l’ultima. Lo stesso manuale descrive un algoritmo pensato per recuperare prima le aree buone e ridurre movimenti e letture dannose nelle zone problematiche.
Per lo stesso motivo «faccio una scansione completa per vedere cosa trova» non è una diagnosi neutra su un supporto instabile: è già un carico di lettura. Quando i dati contano, prima viene la strategia di acquisizione; le riparazioni logiche si fanno poi sulle copie.
Fonte tecnica primaria. GNU ddrescue: manuale ufficiale, sezioni «Using ddrescue safely», algoritmo e tutorial.
Approfondimento: recupero dati hard disk. Caso reale: hard disk con testine rotte, head crash.
RAID e NAS degradati: il tempo conta finché esiste ancora una finestra di accesso
Un RAID degradato non ha un conto alla rovescia universale, ma ha una ridondanza ridotta e va gestito sapendo se esiste una copia indipendente dei dati. QNAP, nella propria procedura ufficiale di sostituzione di un disco guasto, indica come passaggio importante di eseguire il backup di tutti i dati sul NAS prima della sostituzione.
Se il volume è ancora accessibile e contiene l’unica copia, il tempo utile può essere quello in cui riesci ancora a fare un salvataggio dati indipendente. Se invece esiste un backup verificato, il problema è soprattutto di continuità e manutenzione. Sono due scenari diversi e non vanno trattati con la stessa urgenza.
Fonte ufficiale. QNAP: How do I replace a faulty disk in a RAID group? — backup prima della sostituzione e procedura di rebuild.
Abbiamo dedicato una guida a questo scenario: RAID degradato o NAS guasto: 5 errori da evitare.
DVR e NVR: a volte ogni ora aggiunge nuovi dati sopra quelli che stai cercando
I sistemi di videosorveglianza sono uno degli esempi più chiari di urgenza reale. Molti registratori lavorano in modo circolare: quando lo spazio termina, possono continuare a registrare sovrascrivendo le registrazioni precedenti.
Nel manuale ufficiale di un NVR Dahua, l’opzione HDD Full = Overwrite è descritta in modo esplicito: quando i dischi di lettura/scrittura sono pieni, il sistema sovrascrive i file video registrati partendo dal periodo più vecchio. Lo stesso manuale prevede anche la cancellazione automatica dei file vecchi.
Qui il tempo è legato alla retention. Se devi recuperare un filmato di una data precisa, continuare a registrare può ridurre la finestra utile. Prima di qualsiasi intervento bisogna capire configurazione, capacità, numero di canali, bitrate e politica di overwrite del registratore.
Fonte ufficiale. Dahua, Network Video Recorder User’s Manual, sezione Storage > Basic: Stop Record / Overwrite e Auto-Delete Old Files.
Servizi collegati: recupero dati DVR e recupero dati NVR.
Ransomware: qui il tempo non è recupero, è contenimento
In un incidente ransomware la priorità iniziale non è lanciare un software di recupero sul singolo disco. CISA raccomanda di identificare i sistemi coinvolti e isolarli immediatamente; se sono interessati più sistemi o subnet, la guida prevede anche l’isolamento a livello di rete per contenere l’incidente.
La ragione è diversa da quella di un hard disk guasto: il rischio è che l’incidente continui a propagarsi o a coinvolgere altre risorse. Solo dopo il contenimento si può ragionare su copie, backup, ricostruzione e recupero dei dati.
Fonte ufficiale. CISA: #StopRansomware Guide, checklist di risposta e isolamento immediato dei sistemi colpiti.
Quando il supporto può aspettare, ma il lavoro no
Esiste poi un’urgenza che non dipende dal guasto. Un archivio può servire per un’udienza imminente, una consulenza tecnica, una verifica, una chiusura contabile, la consegna di un progetto, la riapertura di un gestionale o la ripartenza di un server. In questi casi il supporto può essere fermo, ma l’organizzazione ha una finestra temporale entro cui il dato deve tornare disponibile.
Nel business continuity questo concetto è formalizzato dal Recovery Time Objective (RTO): NIST lo definisce come il tempo complessivo durante il quale i componenti di un sistema possono restare in fase di recovery prima che l’indisponibilità abbia un impatto negativo sulla missione o sui processi aziendali. NIST distingue inoltre il Recovery Point Objective (RPO), cioè il punto nel tempo al quale i dati devono essere recuperati dopo un’interruzione.
Fonti ufficiali. NIST CSRC: Recovery Time Objective e Recovery Point Objective.
Cause, perizie ed evidenza digitale: l’urgenza non deve modificare l’originale
Se i dati possono servire in un contenzioso, in un’indagine interna o in un procedimento disciplinare, la fretta introduce un secondo rischio: recuperare in modo rapido ma alterare il supporto che potrebbe dover essere documentato come evidenza.
NIST SP 800-86 distingue il backup logico dalla bit-stream imaging, che crea una copia bit per bit includendo anche spazio libero e slack space.
La sequenza che regge in giudizio
È la sequenza raccomandata da NIST quando l’evidenza può essere necessaria: l’originale viene toccato una volta, e tutto il resto avviene sull’immagine.
Fonte ufficiale. NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response, sezione 4.2.1 «Copying Files from Media».
Quando il cronometro inganna: aspettare non equivale sempre a perdere dati
Questa è la parte che spesso manca nelle pagine commerciali. Il solo passare delle ore non è una misura universale della recuperabilità. Le fonti ufficiali descrivono meccanismi diversi: Microsoft parla di nuove scritture che possono occupare lo spazio dei file cancellati; GNU ddrescue parla di dischi in avaria, errori crescenti e ulteriori accensioni; Dahua documenta la sovrascrittura circolare delle registrazioni. Sono tre orologi diversi.
Se un supporto è spento, correttamente conservato e non viene sottoposto ad altre operazioni, non ha senso inventare un countdown uguale per tutti i casi. La domanda corretta è: c’è qualcosa che, mentre aspetto, continua a scrivere, alimentare, leggere, degradare o sovrascrivere?
In altre parole: non sempre devi correre perché il supporto si sta deteriorando. A volte devi soprattutto smettere di usarlo.
- Tecnico — il supporto è alimentato, letto o instabile: si ferma subito.
- Sovrascrittura — il sistema continua a scrivere o a registrare: si riduce l’uso.
- Operativo — il supporto è fermo ma la scadenza no: si dà priorità alla pratica.
Riferimenti tecnici. Microsoft: sovrascrittura dopo cancellazione. GNU: gestione di un drive in avaria. Dahua: overwrite delle registrazioni.
Standard, Express ed Emergency: la priorità serve quando la scadenza è reale
Una priorità più alta non è una tecnica di recupero diversa e non rende magicamente più sano un supporto. Serve a ridurre il tempo prima della diagnosi quando la situazione tecnica o operativa non consente di aspettare la normale coda di lavorazione.
LabRD distingue oggi tre priorità diagnostiche. Il criterio utile non è scegliere sempre l’opzione più veloce, ma capire quale dei tre orologi di questa guida sta correndo nel tuo caso.
Urgenza tecnica
- supporto bagnato o esposto a liquidi;
- dati appena cancellati su un sistema ancora in uso;
- disco con errori e instabilità fisica;
- RAID/NAS senza backup e con finestra di accesso ancora aperta;
- DVR/NVR che continua a registrare;
- incidente ransomware ancora da contenere.
Urgenza operativa
- udienza, causa o consulenza tecnica imminente;
- controllo, verifica o scadenza documentale;
- progetto cliente o consegna con data certa;
- database o gestionale che blocca il lavoro;
- server o storage necessario alla continuità aziendale;
- file prioritari necessari prima del resto dell’archivio.
Le tempistiche aggiornate sono nella procedura di recupero dati.
TrustpilotPrima di decidere
Chi ci ha affidato un dispositivo racconta com’è andata
Su Trustpilot trovi esperienze relative all’intero percorso, dal primo contatto all’esito finale della pratica.
Dal problema alla soluzione
Prima di decidere quanto è urgente un recupero, raccogli quattro informazioni: che cosa è successo, se il dispositivo è ancora alimentato o in uso, se esiste una copia dei dati e quando quei dati devono tornare disponibili. Queste quattro risposte distinguono quasi sempre l’urgenza tecnica da quella operativa.
Se il supporto è ancora leggibile, il primo obiettivo può essere un salvataggio selettivo dei dati prioritari. Se invece è instabile, bagnato, in errore o continua a sovrascrivere, la priorità diventa preservare lo stato e ridurre le operazioni non necessarie. La guida al recupero dati aiuta a riconoscere il tipo di guasto; la procedura LabRD descrive invece presa in carico, diagnosi, anteprima e consegna.
Se hai già una scadenza concreta, nel preventivo recupero dati indica anche entro quando ti servono i dati e quali cartelle o file hanno priorità. L’urgenza non è solo «fare tutto più in fretta»: spesso significa sapere che cosa deve tornare disponibile per primo.
Competenza e metodo
Valutare il tempo significa prima identificare il meccanismo che può cambiare il caso: alimentazione dopo un contatto con liquidi, nuove scritture dopo una cancellazione, TRIM su SSD, letture su un HDD instabile, rebuild e workload su un RAID degradato, retention su DVR/NVR o propagazione di un incidente cyber.
Solo dopo si decide la sequenza. A volte la risposta è spegnere. A volte è copiare subito. A volte è isolare dalla rete. A volte è acquisire un’immagine forense. E a volte il supporto può aspettare, ma il cliente no: in quel caso la priorità è organizzativa, non una proprietà fisica del dispositivo.
La domanda da fare prima di tutto
Che cosa cambia se aspetto? Se la risposta è «il supporto», «le scritture», «la retention», «la rete» o «la scadenza», hai individuato il vero motivo dell’urgenza.
Il lavoro in ambiente controllato è descritto nella pagina recupero dati in camera bianca, e le pratiche reali, con i tempi e gli esiti effettivi, nei casi studio.
Tempo nel recupero dati: domande frequenti
Le domande utili per capire se devi fermare subito il dispositivo, ridurre le scritture oppure semplicemente dare priorità alla pratica.
Il tempo nel recupero dati conta sempre?
No. Dipende dal meccanismo che può modificare i dati o il supporto. Per un file cancellato contano soprattutto le nuove scritture; per un disco fisicamente instabile contano le ulteriori letture e accensioni; per DVR e NVR può contare la registrazione continua che sovrascrive i filmati più vecchi. In altri casi l’urgenza è operativa: i dati servono entro una scadenza anche se il supporto è fermo.
Dopo una cancellazione devo spegnere subito il computer?
Se i file non esistono in un backup e il recupero è importante, la scelta prudente è ridurre al minimo l’uso del dispositivo. Microsoft spiega che lo spazio di un file cancellato viene marcato come libero e che nuove attività del computer possono sovrascriverlo. Sugli SSD entra inoltre in gioco TRIM, quindi non esiste una finestra temporale universale valida per ogni modello e configurazione.
Un hard disk o un computer bagnato può essere riacceso quando sembra asciutto?
Se il dispositivo è stato esposto a liquidi, la priorità è interrompere l’alimentazione. Lenovo raccomanda di scollegare l’alimentatore e spegnere immediatamente il computer dopo uno sversamento; Dell documenta anche corrosione su hard disk e connettori dovuta a liquidi. Se l’obiettivo sono i dati, l’asciugatura esterna non va considerata una diagnosi del supporto.
Posso lasciare acceso un DVR o NVR se devo recuperare un filmato vecchio?
Dipende dalla configurazione, ma continuare a registrare può essere rischioso. I manuali Dahua documentano una modalità Overwrite che, quando lo spazio è pieno, sovrascrive i video registrati partendo dai più vecchi. Se un filmato mancante è importante, bisogna prima capire la politica di retention e di sovrascrittura del sistema.
La priorità Emergency aumenta automaticamente le probabilità di recupero?
No, non automaticamente. La priorità Emergency riduce il tempo di presa in carico e di diagnosi: non cambia il tipo di guasto e non garantisce un esito migliore. Detto questo, quando è in corso un meccanismo che continua a modificare i dati — un supporto ancora alimentato, un sistema che scrive, un registratore che sovrascrive — arrivare prima riduce quello che nel frattempo va perso. È lì che la priorità incide, non sulla tecnica di recupero.
Se i dati servono per una causa o un’indagine, bisogna comunque fare in fretta?
La scadenza può rendere il caso urgente, ma la rapidità non deve compromettere la preservazione dell’originale. NIST raccomanda, quando i dati possono servire come evidenza, di acquisire un’immagine bit-stream del supporto originale, conservare l’originale e svolgere l’analisi sulla copia, documentando i passaggi.