Backup e continuità operativa: le domande da fare al proprio IT

Chiedete a qualsiasi organizzazione se ha i backup e la risposta sarà quasi sempre sì. Poi arriva un ransomware, e si scopre che le copie erano raggiungibili dalla rete e sono state cifrate, oppure che non comprendevano il gestionale, oppure che il ripristino richiede tre settimane. Per chi guida un'organizzazione, la continuità operativa non è un tema da delegare con una sola domanda. Richiede alcune domande precise.

Due numeri da conoscere

Quanto tempo possiamo restare fermi? Gli esperti parlano di RTO, Recovery Time Objective: il tempo massimo accettabile per ripristinare un servizio. Per il sito istituzionale possono bastare due giorni, per il sistema dei pagamenti o della produzione forse poche ore.

Quanti dati possiamo permetterci di perdere? È l'RPO, Recovery Point Objective: quanto lavoro, misurato in tempo, si può ricostruire a mano. Se i backup sono settimanali, in caso di disastro si perde fino a una settimana di dati.

Questi numeri non li decide l'IT: li decide chi guida l'organizzazione, servizio per servizio, in base all'impatto. L'IT dice quanto costa raggiungerli.

Le domande da fare

Copertura - Quali sistemi e dati sono inclusi nei backup? Anche posta, documenti in cloud, gestionali dei fornitori, configurazioni dei sistemi? - Ci sono dati importanti salvati solo sui computer delle persone?

Resistenza - Almeno una copia è scollegata dalla rete o non modificabile, in modo che un ransomware non possa cifrarla o cancellarla? - Le credenziali per gestire i backup sono separate da quelle ordinarie e protette dal secondo fattore? - C'è una copia in un luogo fisico diverso?

Ripristino - Quando è stato provato l'ultimo ripristino completo di un sistema importante? Con quale esito? - Quanto tempo servirebbe per ripristinare tutto partendo da zero, e in quale ordine? - Chi sa farlo, e cosa succede se quella persona non è disponibile?

Servizi esterni - Per i servizi in cloud e dei fornitori, chi fa i backup e come li recuperiamo? - Il contratto garantisce la restituzione dei dati e tempi di ripristino?

Oltre i backup: la continuità

I backup recuperano i dati, ma la continuità operativa riguarda tutto ciò che serve per continuare a lavorare:

• procedure di emergenza: come si emettono fatture, si accettano ordini, si rilasciano certificati se i sistemi sono fermi?
• persone: chi fa cosa durante la crisi, con quali sostituti?
• comunicazioni: come ci si coordina se posta e telefonia interne non funzionano?
• fornitori critici: cosa succede se il fornitore principale è colpito a sua volta?
• ordine di ripartenza: quali servizi si ripristinano per primi?

Il quadro normativo

Per i soggetti NIS2 la continuità operativa, compresi backup e ripristino in caso di disastro, è una delle misure di base richieste e documentabili. Il GDPR prevede tra le misure di sicurezza la capacità di ripristinare tempestivamente disponibilità e accesso ai dati personali.

In sintesi

"Abbiamo i backup" è l'inizio della risposta, non la fine. Sapere quanto si può restare fermi, quanti dati si possono perdere e se il ripristino è stato davvero provato è ciò che permette a chi decide di dormire tranquillo.