Categorie: Business Continuity

Fare un disaster recovery plan richiede precise procedure e linee guida che i reparti IT delle aziende devono seguire scrupolosamente. Sempre più spesso, infatti, le organizzazioni si trovano a dover affrontare problemi legati alla protezione di dati e applicazioni in caso di attacchi esterni, eventi che comportano danni ai sistemi e downtime imprevisti. La comparsa inattesa di criticità necessita per l'appunto di essere affrontata con un corretto piano di disaster recovery. Questo perché, senza un’adeguata risposta da parte di tutti i sistemi, le conseguenze possono essere estremamente spiacevoli per il business. Come affrontare la situazione? Un disaster recovery plan deve portare a una soluzione adatta alle dimensioni, alle esigenze e alla tipologia di business. Una serie di operazioni ben definite, che siano in altre parole chiare, versatili e altamente riproducibili.

 

Prima di studiare le procedure: le linee guida per un disaster recovery plan efficace

Tuttavia, prima di sviluppare un disaster recovery plan dettagliato, che includa quindi anche le procedure da seguire, è necessario eseguire una serie di operazioni propedeutiche. Si parte con una valutazione del rischio (risk assessment) o un'analisi dell'impatto aziendale (business impact analysis), con cui identificare i servizi IT che supportano le attività critiche dell'organizzazione e l’impatto che una possibile interruzione può portare ai processi di business.

Successivamente, si stabiliscono il recovery point objective, che identifica l’ampiezza della finestra temporale di dati che una compagnia è disponibile a perdere a seguito di un disastro senza impattare i processi di business, e il recovery time objective, che indica la tempistica massima entro la quale i sistemi compromessi devono tornare operativi insieme ai processi bloccati. Effettuata una stima di entrambi gli indicatori, si passa a considerare i costi potenziali per il business, sia in caso di assenza di piano (perdita dei clienti, inefficienze lavorative, slittamento degli ordini) sia di implementazione dello stesso (dipendenti responsabili, struttura tecnica, backup, piattaforme on-premise o in cloud).

 

Le priorità per delineare le procedure di un disaster recovery plan

L’articolazione di un corretto piano di recupero si fonda su procedure validate e codificate in procedure internazionali come la ISO/IEC 22301. Se l’implementazione di ogni strategia vive una storia a sé, per le differenze peculiari di ogni soggetto, si possono però esaminare i punti essenziali che ogni disaster recovery plan dovrebbe contemplare. Si tratta di priorità oggettive, che non cambiano nella loro definizione contestuale e dalle quali possono scaturirne delle altre, specifiche e importanti a seconda dell’ambito di riferimento.

Si parte dall’assegnazione dei ruoli. Ciascun dipendente deve essere responsabile di una specifica azione richiesta a seguito di un possibile guasto o disservizio. Basta infatti un solo segnale, inviato in tempo, per allertare i reparti più alti, contenere le perdite e ridurre la crisi.

Bisogna poi stabilire cosa significa reagire alla crisi. Quali azioni vanno intraprese durante l’emergenza? Anche qui, a ogni lavoratore deve corrispondere un ruolo ben specifico mentre è in corso il blackout. Per questo bisogna predisporre una procedura d’azione in caso di emergenza che permetta ai tecnici di analizzare l’evento con tutti gli elementi a corredo, così da definire i passi non solo per mitigare la criticità ma anche per muoversi rapidamente verso la soluzione totale del problema.

Non è affatto detto, però, che la situazione ipotizzata nel piano di recupero si realizzi nella sua esattezza durante un’eventuale crisi. I piani attuativi generali di disaster recovery devono essere applicati secondo le direttive dei team addetti, con la giusta dose di flessibilità anche in funzione delle esperienze maturate negli incidenti pregressi.

Se è importante rispondere celermente a un downtime, dunque è forse ancora più fondamentale documentare l’evento, per evitarlo in futuro o comunque capire come affrontarlo meglio. I dettagli del guasto, così come i singoli interventi intrapresi, vanno descritti in maniera puntuale e salvati in repository dedicati. Questo è essenziale anche perché, qualora dovesse essere richiesto l’intervento di un’azienda specializzata, una descrizione precisa dell’accaduto velocizzerà il processo di recupero. E in ogni caso, l'analisi dei dati che ricostruiscono le dinamiche dell'emergenza servirà a perfezionare le procedure del disaster recovery plan.

 

Cosa completa un modello di disaster recovery plan

Cosa ha generato il guasto? Che tipo di attacco è stato subito? Quale infrastruttura è stata lesa? Rispondere a queste e ad altre domande durante il processo di analisi è possibile solo se si ha un inventario aggiornato delle attrezzature utilizzate, sia hardware che software. Ciò aiuta a comprendere meglio l’ecosistema in cui è inserita l'architettura IT e a rafforzarlo dove necessario. Per completare un modello di disaster recovery plan è fondamentale, infine, tenere traccia delle copie di backup, utili a ripristinare uno stato recente del sistema.

Oltre a ciò, bisogna considerare che un disaster recovery deve essere adattato a ogni cambiamento infrastrutturale dell’azienda. Il motivo è semplice: quanto più cresce l’organizzazione, più aumenta la complessità. Tale complessità deve essere vagliata, nella sua interezza, all’interno di un piano di recupero che, altrimenti, coprirebbe solo parte del business, mettendo a rischio tutto il resto.

New call-to-action