Pre­pa­rar­si al peggio: il Disaster Recovery Plan (DRP)

Per riferirsi alla gestione generale delle emergenze, si parla tec­ni­ca­men­te di "gestione della con­ti­nui­tà operativa o con­ti­nui­tà aziendale", la cui pia­ni­fi­ca­zio­ne è contenuta nel Business Con­ti­nui­ty Plan (BCP). Qui viene indicato come tutti i processi possano rimanere fun­zio­nan­ti, anche in casi ec­ce­zio­na­li. Questa gestione si articola in tre fasi:

• Pre­ven­zio­ne: in questo punto sono raccolte tutte le misure pre­ven­ti­ve, volte ad evitare le si­tua­zio­ni critiche. In ambito in­for­ma­ti­co, l'o­biet­ti­vo può essere ad esempio quello di aumentare la sicurezza o di ap­pog­giar­si ad un sistema più potente.

• Gestione delle emergenze: per risolvere la si­tua­zio­ne di emergenza, si deve reagire ve­lo­ce­men­te. Il ri­pri­sti­no dei processi e dei sistemi sono una parte im­por­tan­te per ritornare a svolgere il lavoro quo­ti­dia­no. Rientrano in questa fase anche il piano di emergenza e la gestione della crisi.

• Test ed eser­ci­ta­zio­ni: parte in­te­gran­te della gestione della con­ti­nui­tà operativa è anche la pia­ni­fi­ca­zio­ne e il regolare svol­gi­men­to di test ed eser­ci­ta­zio­ni. In questo modo il processo viene co­stan­te­men­te mi­glio­ra­to e si iden­ti­fi­ca­no i possibili punti deboli.

Nessuno nasce imparato e anche in ambito di sicurezza in­for­ma­ti­ca c'è molto da conoscere. Per pro­teg­ge­re il proprio sistema da accessi in­de­si­de­ra­ti, attacchi dalla rete o sem­pli­ce­men­te da fattori esterni naturali, è utile seguire uno degli standard di sicurezza in­for­ma­ti­ca. In documenti appositi sono così fornite delle linee guida generali per le misure da mettere in atto, ma vi sono anche descritte delle tecniche spe­ci­fi­che. Inoltre è possibile ottenere una cer­ti­fi­ca­zio­ne per l'a­do­zio­ne e la messa in pratica di questi standard al­l'in­ter­no del proprio sistema aziendale.

Esistono mol­te­pli­ci standard, ma quelli più usati sono l'ISO/IEC 27001 e l'ISO/IEC 27002. In par­ti­co­la­re que­st'ul­ti­mo può essere con­si­de­ra­to come un manuale pratico sulle misure di sicurezza, anche se non ha alcun valore normativo, al contrario dell'ISO 27001 che è invece la base per ottenere la cer­ti­fi­ca­zio­ne per la sicurezza in­for­ma­ti­ca. Nell'ISO 27002 è stabilito che tre principi regolano la sicurezza in ambito in­for­ma­ti­co:

• integrità: ri­guar­dan­te la pro­te­zio­ne dei dati in caso di perdite o accessi in­de­si­de­ra­ti;

• ri­ser­va­tez­za: ri­guar­dan­te la tutela dei dati dei clienti, che non do­vreb­be­ro, ad esempio, essere forniti a terze parti senza consenso esplicito dei diretti in­te­res­sa­ti;

• di­spo­ni­bi­li­tà: ri­guar­dan­te la pos­si­bi­li­tà di svolgere le proprie attività in qualsiasi momento e come richiesto.

Inoltre, il documento comprende 10 aree di controllo con diverse sezioni per ogni parte specifica. Tra queste rientrano ad esempio:

• le politiche di sicurezza;

• la sicurezza or­ga­niz­za­ti­va;

• la sicurezza del personale;

• la gestione di co­mu­ni­ca­zio­ni e ope­ra­zio­ni, ecc.

Anche il manuale di base per la pro­te­zio­ne IT (in inglese "IT Baseline Pro­tec­tion Manual"), promosso in Germania dal­l'Uf­fi­cio Federale per la sicurezza in­for­ma­ti­ca, rientra tra gli standard di sicurezza in­for­ma­ti­ca. In questo documento non solo vengono presi in con­si­de­ra­zio­ne i rischi generali di qualsiasi struttura in­for­ma­ti­ca, ma viene anche ana­liz­za­ta la si­tua­zio­ne par­ti­co­la­re del­l'a­zien­da e suggeriti quali misure bi­so­gne­reb­be ancora prendere, con­for­me­men­te agli standard di ri­fe­ri­men­to.

Da tempo è stata avviata la di­gi­ta­liz­za­zio­ne nel mondo del lavoro. Nei settori economici ed in­du­stria­li si è ormai soliti salvare le in­for­ma­zio­ni sul proprio business e svolgere i processi in rete, come reclutare nuovi di­pen­den­ti (E-Re­cruit­ment) o anche avere un centro logistico digitale. Per questo motivo molte aziende si basano quasi in­te­ra­men­te su un'in­fra­strut­tu­ra IT af­fi­da­bi­le e il guasto di un singolo com­po­nen­te può pa­ra­liz­za­re il proprio business. Fin quando il sistema non funziona nuo­va­men­te, ne con­se­guo­no elevati costi, e non solo per la ri­pa­ra­zio­ne. Chi investe su un progetto di pre­ven­zio­ne pro­fes­sio­na­le e ha pensato con­cre­ta­men­te al­l'im­pie­go di un Disaster Recovery Plan, ri­spar­mie­rà tempo e denaro in caso di emergenze serie.

Alla base di ogni Disaster Recovery (cioè del ri­pri­sti­no del sistema) c'è un'ac­cu­ra­ta do­cu­men­ta­zio­ne di tutte le risorse IT, corretta, puntuale e sempre ag­gior­na­ta. Per la gestione della si­tua­zio­ne di emergenza, ricoprono un ruolo im­por­tan­te sia i dati tecnici sia le liste di utenti, i re­spon­sa­bi­li e i loro dati di contatto.

La do­cu­men­ta­zio­ne in un Disaster Recovery Plan contiene ad esempio in­for­ma­zio­ni su:

• hardware e pe­ri­fe­ri­che come stampanti;

• software;

• indirizzi IP;

• VPN e accessi al server;

• e-mail o altri sistemi per lo scambio di dati.

Anche i dati di contatto do­vreb­be­ro essere presenti in un piano simile, in modo da poter con­tat­ta­re subito la giusta persona di ri­fe­ri­men­to in caso di emergenza. Tra questi rientrano:

• liste di utenti;

• persone di ri­fe­ri­men­to e re­spon­sa­bi­li dei singoli settori;

• persone di ri­fe­ri­men­to per i servizi esterni;

• in­for­ma­zio­ni con­trat­tua­li circa il provider Internet e per l'hosting.

Il Disaster Recovery Plan nasce sulla base di tutti i processi aziendali in stretta col­la­bo­ra­zio­ne con i re­spon­sa­bi­li della gestione della con­ti­nui­tà operativa. Es­sen­zial­men­te il Disaster Recovery Plan fa parte delle misure di sicurezza generali e si inserisce nel quadro delle linee guida esistenti. Tra i contenuti che do­vreb­be­ro rientrare nel Disaster Recovery Plan ci sono tra gli altri:

• De­fi­ni­zio­ni del concetto (Cos'è un'e­mer­gen­za in­for­ma­ti­ca?)

• Liste del personale con i dati di contatto (v. sopra)

• Piani di allarme e metodi di av­ver­ti­men­to

• Processi di rea­liz­za­zio­ne per risolvere l'e­mer­gen­za

• Misure per la ri­so­lu­zio­ne e do­cu­men­ta­zio­ne del­l'e­mer­gen­za

• Piano di pre­ven­zio­ne

• Piani di ri­pri­sti­no per tutti gli impianti.

Oltre alla sopra citata do­cu­men­ta­zio­ne, anche i piani di ri­pri­sti­no per i singoli com­po­nen­ti rientrano tra le fasi più im­por­tan­ti di un Disaster Recovery Plan. La loro messa in atto comporta ov­via­men­te un impegno non in­dif­fe­ren­te. I tecnici della sicurezza in­for­ma­ti­ca si ritrovano davanti diversi scenari di emergenza. Per questo tipo di si­tua­zio­ni, un Disaster Recovery Plan deve prevedere i giusti pro­ce­di­men­ti e so­prat­tut­to i piani di ri­pri­sti­no ap­pro­pria­ti. Un'a­na­li­si precisa dei rischi rivela i punti critici e iden­ti­fi­ca i settori mag­gior­men­te mi­nac­cia­ti, ma che sono in­di­spen­sa­bi­li per la routine aziendale. Prima di redigere dei piani di ri­pri­sti­no bisogna:

• ana­liz­za­re tutte le procedure in­for­ma­ti­che;

• ana­liz­za­re gli hardware;

• ve­ri­fi­ca­re tutti i software;

• in­ter­ro­ga­re tutti i dati del sistema e ve­ri­fi­ca­re le tran­sa­zio­ni prin­ci­pa­li.

Infine viene creata una guida per tutti i possibili scenari di emergenza e inseriti nel Disaster Recovery Plan. La messa a punto di un Disaster Recovery Plan, in par­ti­co­la­re dei piani di ri­pri­sti­no, è costosa e possibile solo coo­pe­ran­do con tutti i settori aziendali. Anche se esistono modelli o linee guida per creare un Disaster Recovery Plan, si tratta comunque di un processo lungo e intenso. Un orien­ta­men­to per capire come agire in caso si verifichi un'e­mer­gen­za in­for­ma­ti­ca, è dato dalle linee guida per il Disaster Recovery delle pubbliche am­mi­ni­stra­zio­ni, promosso dal­l'A­gen­zia per l'Italia Digitale. Oltre alla redazione di questo piano, è ne­ces­sa­rio ag­gior­nar­lo re­go­lar­men­te e fare dei corsi appositi per preparare i di­pen­den­ti a queste even­tua­li­tà. Gli im­pren­di­to­ri do­vreb­be­ro perciò con­si­de­ra­re, se non sarebbe più van­tag­gio­so ri­vol­ger­si a servizi esterni, invece che or­ga­niz­za­re in­ter­na­men­te con il proprio team la gestione del Disaster Recovery.

La pia­ni­fi­ca­zio­ne di un Disaster Recovery Plan è un lavoro ne­ces­sa­rio e prezioso per evitare alle aziende ingenti perdite. In generale servono in media 3,8 ore per un ri­pri­sti­no dopo un guasto del sistema in­for­ma­ti­co, cosa che fa aggirare ap­pros­si­ma­ti­va­men­te i costi intorno ai 25.000 Euro. In caso di quattro guasti o in­ter­ru­zio­ni all'anno, i danni com­ples­si­vi ammontano a circa 380.000 Euro all'anno. Tramite un'a­na­li­si esatta e si­mu­la­zio­ni di ipotetici scenari è possibile in­di­vi­dua­re e risolvere i punti deboli. Così non solo ci si prepara ad eventuali emergenze, ma si aumenta allo stesso tempo la sicurezza del sistema. La sicurezza per prevenire guasti o in­ter­ru­zio­ni viene mas­si­miz­za­ta, mentre l'impatto degli scenari simulati di­mi­nui­sce.