Quando un’azienda archivia un contratto, un fascicolo o un backup, spesso sa per quanto tempo dovrà conservarlo dopo un determinato evento, ma non sa ancora quando quell’evento avverrà. Un contratto può essere rinnovato, terminare prima del previsto o restare attivo per anni; una finestra di recupero può iniziare soltanto quando una versione viene sostituita.
Dal 8 settembre 2026, Amazon S3 Object Lock supporta la retention variabile con event hold. La nuova modalità mantiene gli oggetti protetti secondo il modello WORM mentre l’evento è ancora aperto e, quando l’hold viene rilasciato, fa partire automaticamente il periodo di conservazione definito. Per PMI, software house e studi professionali significa poter collegare la protezione tecnica dei dati a eventi reali senza inventare subito una data di scadenza molto lontana.
Che cos’è S3 Object Lock
Amazon S3 Object Lock impedisce che specifiche versioni degli oggetti vengano sovrascritte o eliminate per un periodo definito o a tempo indeterminato. Usa il modello WORM, Write Once Read Many: il contenuto può essere letto molte volte, ma la versione protetta non può essere modificata o cancellata durante la retention.
Object Lock funziona su bucket con S3 Versioning abilitato. La protezione riguarda la singola versione: è possibile caricare una nuova versione dello stesso oggetto o aggiungere un delete marker, mentre la versione bloccata resta conservata secondo le regole applicate.
Governance mode e Compliance mode
Le modalità tradizionali restano due:
- Governance mode: gli utenti ordinari non possono cancellare o ridurre la retention, ma un’identità dotata del permesso
s3:BypassGovernanceRetentionpuò aggirare il blocco. - Compliance mode: la retention non può essere ridotta neppure dall’utente root dell’account AWS. È quindi la scelta più rigida, da configurare con particolare attenzione.
La scelta non è soltanto tecnica. Prima di usare Compliance mode è necessario validare tempi, responsabilità, requisiti normativi e impatto economico, perché un errore può rendere i dati non eliminabili per molto tempo.
Cosa cambia con la retention variabile
Fino ad ora, una retention periodica richiedeva in genere una data “retain until” conosciuta in anticipo. Questo è semplice per documenti da conservare per un numero fisso di anni dalla creazione, ma meno adatto a casi come “cinque anni dalla fine del contratto”, perché al momento del caricamento non è sempre nota la data di cessazione.
Con la nuova retention variabile vengono impostati:
- la modalità di protezione, Governance o Compliance;
- un event hold attivo;
- una durata espressa in giorni o anni.
Finché l’event hold rimane attivo, la versione è protetta. Quando il processo aziendale segnala che l’evento si è concluso e l’hold viene rilasciato, S3 fissa la data finale calcolandola come momento del rilascio più durata configurata. AWS indica una durata minima di un giorno e massima di 100 anni.
Esempio: contratto da conservare cinque anni dopo la scadenza
Un contratto firmato viene caricato con event hold attivo e durata di cinque anni. Può restare in vigore per sei mesi oppure essere rinnovato per anni: durante tutto questo periodo la versione rimane WORM. Alla chiusura del contratto, il gestionale o un operatore autorizzato rilascia l’hold; da quel momento partono i cinque anni di conservazione.
Questo evita due errori opposti: scegliere una data troppo breve, rendendo il documento eliminabile prima del necessario, oppure impostare una scadenza eccessivamente lontana, continuando a pagare lo storage oltre l’obbligo reale.
Esempio: finestra di recupero dopo la sostituzione di un backup
AWS descrive anche un modello in cui le nuove versioni vengono protette con event hold e una durata di 30 giorni. Quando una versione non è più necessaria per l’operatività corrente, l’hold viene rilasciato: la versione resta comunque non eliminabile per altri 30 giorni. Questa finestra può offrire tempo per rilevare una cancellazione malevola, indagare e ripristinare una copia precedente.
Non è però una strategia di backup completa. Object Lock protegge le versioni presenti in S3, ma non sostituisce separazione degli account, MFA, copie su tecnologie differenti, test di ripristino e monitoraggio. Il tema è approfondito anche nella guida EP Consulting sulle domande che verificano se un backup aziendale funzionerà davvero.
Event hold e legal hold non sono la stessa cosa
Un legal hold tradizionale non ha una scadenza: protegge la versione finché non viene rimosso. Dopo la rimozione, se non esiste un altro periodo di retention valido, l’oggetto può diventare immediatamente eliminabile.
L’event hold aggiunge invece una durata collegata al rilascio. Quando viene tolto, non libera subito il dato: fa partire il conto alla rovescia. È questa la differenza più importante per flussi come contratti, contenziosi, audit, chiusura di pratiche o finestre di recupero.
Dove può essere utile per una PMI
Contratti e documentazione di progetto
La conservazione può dipendere dalla cessazione del contratto, dal collaudo finale o dalla chiusura del progetto. Il sistema documentale può applicare l’hold all’ingresso e rilasciarlo soltanto quando riceve l’evento corretto dal gestionale.
Audit, verifiche e contenziosi
Un set documentale può dover restare protetto per tutta la durata dell’audit e per un ulteriore periodo dopo la chiusura. La retention variabile rappresenta tecnicamente questa sequenza senza prevedere in anticipo quando finirà l’attività.
Backup e versioni sostituite
Una finestra post-rilascio riduce il rischio che chi ottiene credenziali valide possa liberare l’hold e cancellare subito la stessa versione. In Compliance mode, dopo il rilascio resta il periodo non abbreviabile configurato.
Archivi con molte scadenze differenti
S3 Batch Operations consente di applicare o modificare i parametri su grandi quantità di oggetti. S3 Inventory può riportare lo stato degli hold, mentre CloudTrail registra le operazioni. Questo rende possibile passare da fogli di calcolo e procedure manuali a controlli verificabili.
Le cautele più importanti
Il default del bucket non basta come controllo assoluto
AWS avverte che un’impostazione predefinita del bucket può essere sovrascritta da un upload che specifichi parametri Object Lock differenti. Per imporre durate e hold minimi o massimi servono policy IAM, bucket policy oppure Resource Control Policy adeguate.
Separare chi rilascia l’hold da chi elimina
Rilasciare un hold e cancellare una versione sono azioni distinte. AWS suggerisce di assegnarle a identità differenti: una può concludere l’evento, l’altra gestisce l’eliminazione o il ciclo di vita. In questo modo nessun singolo account operativo può compiere entrambe le azioni.
Monitorare ogni variazione
CloudTrail, S3 Event Notifications e S3 Inventory riportano le operazioni e lo stato della retention. È opportuno generare allarmi quando un event hold viene rilasciato, quando cambia la durata o quando una policy viene modificata.
Calcolare costi e classi di storage
La funzionalità è disponibile in tutte le regioni AWS senza un costo aggiuntivo specifico, ma le richieste sono fatturate e lo storage continua a essere addebitato finché la versione resta conservata. Un hold dimenticato può quindi produrre costi non previsti, soprattutto su archivi molto grandi o con molte versioni.
Non confondere WORM con conservazione digitale a norma
Object Lock è un controllo tecnico di immutabilità. Non certifica automaticamente un processo italiano di conservazione digitale, non definisce da solo i tempi corretti e non sostituisce classificazione, metadati, responsabilità, manuali, firme, marche temporali o valutazioni legali eventualmente necessarie. Requisiti e retention devono essere stabiliti con il responsabile del processo, il DPO e i consulenti competenti.
Checklist operativa prima di attivare gli event hold
- Mappare i tipi di documento e l’evento che determina l’inizio della retention finale.
- Definire durate con direzione, funzione legale e privacy, evitando valori “di sicurezza” arbitrari.
- Verificare che il bucket usi Versioning e Object Lock.
- Scegliere consapevolmente tra Governance mode e Compliance mode.
- Separare identità e permessi per caricamento, rilascio dell’hold, modifica delle policy ed eliminazione.
- Imporre i parametri minimi tramite policy, senza affidarsi soltanto al default del bucket.
- Registrare e allertare le operazioni con CloudTrail ed Event Notifications.
- Usare S3 Inventory per individuare oggetti senza hold o con durate anomale.
- Testare rilascio, scadenza e ripristino su un bucket non produttivo.
- Stimare storage, versioni accumulate, richieste e regole Lifecycle.
- Documentare chi può dichiarare concluso l’evento aziendale.
- Prevedere copie indipendenti e test di recovery: l’immutabilità non sostituisce il backup.
Un possibile progetto pilota
Una PMI può iniziare con una sola classe documentale, per esempio i contratti fornitori. Il gestionale salva il PDF nel bucket con event hold attivo; la chiusura approvata del contratto genera una richiesta di rilascio; S3 applica da quel momento la durata prevista. Un report periodico confronta contratti chiusi, hold rilasciati e date di conservazione.
Per i backup, invece, il pilot dovrebbe includere almeno un ripristino completo. L’immutabilità è utile soltanto se l’azienda sa individuare la versione corretta e recuperarla nei tempi richiesti. Una tecnologia complementare può essere il supporto offline, descritto nell’articolo EP Consulting su LTO e backup su nastro.
Domande frequenti
Che cosa succede quando viene rilasciato un event hold?
S3 fissa la data finale al momento del rilascio più la durata configurata, oppure mantiene una data già esistente se successiva. L’oggetto non diventa immediatamente eliminabile.
Event hold e legal hold possono essere usati insieme?
S3 Object Lock consente di combinare diversi controlli sulla versione. La progettazione va però documentata attentamente, perché la versione resta protetta finché almeno una condizione applicabile impedisce l’eliminazione.
La retention variabile protegge dal ransomware?
Può aggiungere una finestra WORM utile anche se un attaccante dispone di credenziali valide, soprattutto in Compliance mode e con permessi separati. Non protegge da ogni scenario e deve far parte di una strategia multilivello.
È possibile applicarla agli oggetti già presenti?
Sì. AWS indica S3 Batch Operations per applicare i parametri a un archivio esistente, dopo aver verificato versioning, Object Lock, policy e impatto.
Quanto può durare un event hold?
AWS documenta una durata configurabile da un minimo di un giorno a un massimo di 100 anni.
Conclusione
La retention variabile rende S3 Object Lock più vicino ai processi reali: protegge il dato mentre la scadenza è incerta e avvia il periodo finale soltanto quando avviene l’evento corretto. Per una PMI è interessante soprattutto dove oggi si usano date molto lontane, proroghe manuali o legal hold che liberano subito il dato. Il beneficio dipende però da governance, separazione dei ruoli, monitoraggio e test: la tecnologia può applicare la regola, ma l’azienda deve prima definire la regola giusta.