Sempre più aziende, per la salvaguardia delle loro informazioni, implementano sistemi di backup dei dati e si dotano di soluzioni di Disaster Recovery; ma troppo spesso lo fanno senza adottare misure appropriate che garantiscano l’applicazione di policy nel day by day, legate a procedure di ripristino efficaci, testando tutte le casistiche possibili.
Il motivo è spesso dipendente dalla superficiale convinzione che un evento cigno nero (evento avverso particolarmente rovinoso n.d.r.) “forse non succederà proprio alla mia azienda” o dall’ancora più famoso “ma figurati se con tutte le aziende che ci sono, capita proprio alla mia”.
Di contro, le notizie sugli eventi di incidente informatico a livello mondiale sono ormai una costante. L’incidenza statistica aumenta continuamente come anche gli aggiornamenti delle nuove tipologie di attacchi. Meno frequenti, ma possibili, gli eventi avversi che possono colpire fisicamente un sito aziendale o minare l’operatività (come, ad esempio, una pandemia globale).
Eppure, essere sicuri che i processi di backup e Disaster Recovery siano sufficienti ed efficaci per il ripristino in caso di violazione dei dati, dovrebbe essere una priorità.
Decidere per una soluzione senza valutarne la riprova di efficacia ed efficienza è chiaramente un atteggiamento poco lungimirante, forse ottimistico ma tendenzialmente miope. Nella realtà, gli incidenti informatici causati da cyber crime, da minacce interne (insider threat n.d.r.), da problemi hardware o software con file corrotti, da errore umano, sono tutti esempi di cause che richiedono il ricorso alle procedure di ripristino dei dati dal backup aziendale.
Nei casi peggiori in cui il sito aziendale sia distrutto o reso inagibile e non operativo, come un attacco ransomware che paralizzi l’azienda, è addirittura necessario avvalersi delle procedure di ripristino in emergenza (Disaster Recovery).
Analizziamo, quindi, come preparare la propria azienda agli imprevisti, adottando un processo di backup e Disaster Recovery affinché un problema che coinvolga le informazioni digitalizzate aziendali non si trasformi in un disastro per il business aziendale.
Indice degli argomenti
Impostazione e metodologia per il backup e il Disaster Recovery
Il Capitolo di Roma dell’associazione internazionale ISACA (Information Systems Audit and Control Association n.d.r.) in tema di continuità dei servizi IT, definisce il Disaster Recovery (DR) come “l’insieme di processi e tecnologie atti a ripristinare sistemi, dati e infrastrutture necessarie all’erogazione di servizi “core business” a fronte di gravi emergenze (disastri)”.
Ma il DR è parte del più ampio concetto di continuità aziendale (Business Continuity, BC) che è invece definito come “un processo strategico e tattico che permette ad un’organizzazione di avere una risposta a qualunque avvenimento e interruzione del Business che può̀ avere impatto sui processi aziendali che contribuiscono al “core business” dell’azienda, garantendo un livello di servizio minimo accettabile predefinito”.
In sostanza la BC, che ha uno “scope” molto ampio di casistiche, ricomprende il DR che ha uno “scope” solo tecnologico. Spesso i due termini vengono confusi, o considerati intercambiabili ma invece rappresentano due strategie diverse sebbene correlate, ognuna delle quali svolge un ruolo significativo nella salvaguardia delle operazioni aziendali.
Un’altra confusione comune riguarda il backup e il Disaster Recovery. La differenza fondamentale fra i due è la granularità del dato salvato: il backup salva il singolo file e/o la directory, mentre la strategia di Disaster Recovery mira a proteggere un intero sistema di dati in blocco.
Entrambe possono utilizzare supporti esterni ai sistemi aziendali, ma è diverso lo scopo e la portata. Nel backup è necessario preservare l’integrità dei dati originali per poterli riutilizzare in caso si verificassero problematiche, come errori umani o logici, manomissioni e guasti in generale.
Nel DR invece, la ricostituzione del patrimonio informativo, avviene per tutto l’insieme dei dati aziendali: le configurazioni di rete e dei sistemi, i sistemi operativi, le applicazioni e le rispettive impostazioni e naturalmente anche i dati veri e propri (ovvero le informazioni di lavoro delle applicazioni).
La letteratura tecnologica di riferimento ha anche uno standard che si preoccupa di certificare la continuità operativa: la UNI EN ISO 22301 Sicurezza e resilienza, “Sistemi di gestione per la continuità̀ operativa” (“Security and resilience – Business continuity management systems – Requirements), Rev.2019, tradotto in italiano dall’UNI e pubblicati a febbraio 2020. Secondo questa norma, basata sul ciclo di DEMING “Plan-Do-Check-Act” per il miglioramento continuo, implementare un sistema di gestione del ripristino in emergenza significa:
- Valutare il danno potenziale al business derivante dalla non disponibilità di applicazioni e/o dei dati aziendali mediante la Business Impact Analysis (BIA), l’assessment di Rischio (RA) e la determinazione di grandezze come RTO, RPO (fase di Assessment iniziale).
- Pianificare contromisure organizzative e tecnologiche per abbattere il livello di rischio e progettare soluzioni, processi e risorse per la prevenzione e gestione delle condizioni di emergenza (fase Plan).
- Implementare sistemi e procedure operative di supporto eseguendo quelle ordinarie di custodia e salvataggio dei dati e della configurazione (fase Do).
- Verificare periodicamente ma sistematicamente l’efficacia e l’efficienza di tutte le procedure di gestione delle emergenze, anche mediante esercitazioni (fase Check).
- Pianificare il miglioramento continuo dell’intero sistema eliminando le condizioni non conformi al sistema stesso (fase Act).
Solitamente è durante l’assessment iniziale che si stabiliscono le esigenze e si definiscono le policy per i backup e le esigenze di replica (sincrona, asincrona, livelli di delay per attività in “real-time” o “near real-time” ecc.)
Alcuni ulteriori accorgimenti devono essere previsti se l’azienda cliente è una PA. Si ricorda infatti che nonostante l’abrogazione dell’art. 50 del CAD riguardante la continuità operativa e disaster recovery, le linee guida per il disaster recovery delle pubbliche amministrazioni sono ancora considerate delle buone prassi e in ogni caso è necessario adeguarsi alle indicazioni del GDPR che in tema di tutela dei dati personali prescrive e richiede “la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati in caso di incidente fisico o tecnico”.
La declinazione di backup e Disaster Recovery del servizio INTACTO
Sono molte le tecnologie a disposizione per il backup e il Disaster Recovery, come mostra il relativo quadrante Gartner di riferimento per il 2019.
Tuttavia, non tutte le aziende, hanno le competenze al loro interno per implementare queste soluzioni coprendo tuti i punti necessari a soddisfare efficacia ed efficienza.
Questa mancanza riguarda più spesso le aziende PMI che specializzate sui rispettivi settori di mercato, possono non avere un reparto IT con figure specializzate e dedicate a singoli processi.
Per tutte queste realtà è forse appropriato il ricorso ad una soluzione di backup e Disaster Recovery basata su un servizio gestito, ovvero un Managed Service. Anche per questa parte di mercato Gartner definisce i maggiori player nel “Magic Quadrant for Disaster Recovery as a Service-DRaaS.
Tuttavia, per le aziende che devono selezionare un fornitore a cui affidarsi la scelta può non essere semplice. Nel caso della scelta di un Provider del Servizio la difficoltà aumenta, ma si possono valutare i criteri distintivi e le garanzie contrattuali offerte come prova di trasparenza, per scremare i professionisti preparati, possibilmente certificati a cui affidarsi.
Un esempio di declinazione del Backup e del Disaster Recovery in modalità managed service è offerto dalla soluzione INTACTO dell’azienda italiana NETMIND.
Il servizio è articolato in tre versioni: GO, PRO ed ENTERPRISE:
- INTACTO GO rappresenta il servizio managed per il backup aziendale. Nella versione INTACTO GO sono presenti tutti i servizi di gestione e supporto del team di NETMIND, che si occuperà quotidianamente di verificare i backup e sarà a disposizione per attività di change management e restore. Mediante un’appliance dedicata sono gestite le policy di back up secondo le esigenze stabilite durante un assessment iniziale.
- INTACTO PRO rappresenta il servizio Managed di Disaster Recovery implementato mediante una replica completa in Cloud Microsoft Azure su territorio europeo un servizio erogato in “near real time”. Le policy per il back up sono prefissate ma è possibile concordare policy con periodicità diverse in funzione delle esigenze.
- INTACTO Enterprise: questa versione del servizio gestito per il DR, comprende il backup locale e la replica e richiede lo svolgimento di un assessment iniziale che valuta le esigenze per le procedure di Failover, con la predisposizione di macchine virtuali a disposizione. Il servizio Enterprise prevede anche una esercitazione ogni sei mesi (due l’anno) per la verifica delle procedure pianificate. In caso di evento avverso, il processo di Failover prevede lo switch in Cloud per la continuità del business. Tutte le procedure di backup applicate precedentemente nella appliance locale, sono temporaneamente riattivate sull’appliance su AZURE in precedenza utilizzata per la replica. Il servizio prevede anche il Failback verso il nuovo sito che l’azienda cliente ricostituirà come DC riacquistando le infrastrutture. Il Provider in questa fase potrebbe essere interpellato per un supporto progettuale di tipo consulenziale.
In generale con un servizio gestito che comprenda il back up e il DR, sono sollevati gli operativi del gruppo IT da tutte le attività di questo ambito in modo che possano dedicarsi ad altre priorità.
In particolare, il canone di spesa comprende le componenti operative di: team dedicato per gestione di incident e ripristino dati, manutenzione costante dell’infrastruttura tecnologica, monitoraggio quotidiano del processo di backup per avere la certezza della consistenza del dato, verifica mensile della consistenza del backup, test di restore bimestrale, test di DR semestrale.
Infine, la spesa per un canone mensile è predeterminata e può essere programmata preventivamente.
Garanzie contrattuali correlate al servizio
Nella scelta di un servizio è necessario richiedere al Provider alcune evidenze e l’unico modo per accordarsi in tal senso è integrarle a livello contrattuale, verificando le modalità attuative. Le più importanti riguardano i livelli di servizio attesi o Service Level Agreement (SLA).
Non meno importanti le clausole relative al diritto di auditing e al logging in relazione ai trattamenti dei dati. In ottica GDPR sono anche necessarie le clausole relative al rispetto delle misure di sicurezza sui dati, la clausola di riservatezza, le modalità di restituzione o cancellazione dei dati alla cessazione del rapporto e l’obbligo del fornitore di sostenere il cliente nell’agevolare l’esercizio, da parte degli interessati, dei loro diritti di accesso ai dati, rettificazione o cancellazione.
Contributo editoriale sviluppato in collaborazione con Quanture
