June 22, 2007
Cosa è, a cosa serve e perché è importante il piano di Disaster Recovery – parte I
Il seguente articolo ha l’obiettivo di fornire alcune linee guida che un’organizzazione deve seguire per poter redigere un piano di Disater recovery e quindi poter gestire efficacemente, dalla attuazione del piano, una situazione di incidente/attacco/disastro. Non saranno trattati argomenti tecnici ma indicate procedure e metodologie per il piano di ripristino delle condizioni operative normali.
Il disastro per una azienda può avere facce e sfumature diverse, può colpire settori disparate (edifici, risorse umane, sistemi informatici, documentazione cartacea) e può causare una quantità di danni ingente, compromettendo a volte pesantemente l’ordinaria operatività dell’azienda.
Ritenersi in uno stato di sicurezza significa operare avendo ottenuto una ragionevole riduzione delle probabilità di accadimento (vulnerabilità) di una determinata minaccia la cui presenza espone i beni da proteggere a un certo rischio, appare quindi superfluo sottolineare come non esista un sistema informativo totalmente impenetrabile, ma misure di protezione che, in relazione al valore degli asset (beni) da proteggere, possono ritenersi sufficientemente affidabili.Per tutte le aziende pubbliche o private, attivare un piano di Disaster Ricovery e Business Continuity, è ritenuto quindi di vitale importanza. La continuità operativa ovvero “l’insieme di attività volte a ripristinare lo stato del sistema informatico o parte di esso, compresi gli aspetti fisici e organizzativi e le persone necessarie per il suo funzionamento, con l’obiettivo di riportarlo alle condizioni antecedenti a un evento disastroso” deve infatti essere percepita come parte integrante della strategia aziendale.
Perché serve un piano?
1. perché altrimenti durante l’emergenza potremmo essere incapaci di reperire risorse
2. perché “durante” non siamo lucidi quanto “prima”
3. perché le persone sbagliano sotto stress
Le conseguenze del verificarsi di un evento a carattere disastroso possono essere classificate secondo il seguente schema:
§ danni diretti: danni materiali direttamente provocati dall’evento disastroso. Per esempio, un incendio può provocare la distruzione completa o parziale delle risorse elaborative utilizzate presso un centro di elaborazione dati;
§ danni indiretti: la mancata disponibilità di risorse limita la capacità operativa dell’organizzazione e genera ulteriori danni la cui entità è proporzionale al periodo di indisponibilità. Per esempio, le mancate vendite costituiscono un danno indiretto;
§danni conseguenti (o consequenziali): tutti i danni che sopravvivono al ripristino delle risorse rese indisponibili dal disastro. Per esempio, la perdita di quote di mercato generata dalla incapacità di soddisfare appieno le esigenze dei clienti.
Lo sviluppo di un piano di Disaster Recovery segue generalmente un percorso articolato nelle seguenti fasi:
1. analisi dei beni o asset da proteggere
2. analisi dei rischi
3. pianificazione e formalizzazione del PDR
4. collaudo
5. mantenimento
Individuazione dei beni da proteggere
Le risorse da proteggere possono variare a seconda del tipo di organizzazione, possiamo comunque distinguerle in due categorie: risorse tangibili e intangibili.
Sono risorse tangibili:
computer
dati riservati
backup e archivi
manuali, guide, libri
tabulati
applicazioni software
dispositivi hardware
dispositivi di comunicazione
Sono risorse intangibili:
sicurezza e salute del personale
privacy degli utenti
password personali
immagine pubblica e reputazione dell’azienda
soddisfazione dei clienti
Oltre all’individuazione delle risorse è utile stabilire, ad esempio per le applicazioni, quali sono prioritarie per l’attuazione dei processi aziendali e il loro tempo massimo di indisponibilità e inoperabilità sopportabile dall’azienda per non perdere credibilità e posizione sul mercato. Si possono ad esempio prendere come riferimento i tempi di altre aziende dello stesso settore e poi calibrarli in relazione alle esigenze della propria azienda. Questo valore potrà essere utilizzato nell’analisi dei rischi per determinare i tempi massimi di ripristino delle applicazioni e degli accessi ai dati.
Il Codice in materia di protezione dei dati personali prescrive infatti al punto 23 dell’Allegato B l’obbligo di adottare misure idonee a garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi e compatibili con i diritti degli interessati e non superiori a sette giorni.
L’elemento fondamentale del ripristino in caso di disastro è quello della salvaguardia e disponibilità dei dati; infatti non è possibile ripristinare alcun servizio i cui dati non siano disponibili, cioè non siano stati copiati al pianificato livello di aggiornamento (back-up) e trasportati con il mezzo più conveniente in una sede diversa e opportunamente protetta (sito alternativo).
Questo riguarda tutte le categorie di dati: quelli applicativi, ma anche le versioni correnti di tutto il software sia applicativo che di sistema. In particolare riguarda i dati vitali, quei dati cioè la cui disponibilità e il cui corretto livello di aggiornamento, sono indispensabili all’erogazione dei servizi informatici fondamentali per la continuità operativa dell’azienda.
Per quanto riguarda il back-up è bene stabilire chi è il responsabile delle copie di sicurezza, in che modo vanno prodotte, chi le custodisce e dove. Si ricorda che le copie di sicurezza devono essere testate per verificarne l’efficienza ed evitare l’impossibilità di rimediare a un eventuale danneggiamento dei dati originali.
Non ci soffermeremo in questa sede a individuare i possibili supporti di back-up dei dati utilizzabili.
Analisi dei rischi
La fase di analisi dei rischi è finalizzata all’identificazione dei rischi potenziali, alla valutazione della probabilità e all’individuazione delle strategie di gestione che si ritiene opportuno utilizzare nei confronti di ciascun rischio. La scelta della strategia è condizionata dalla probabilità e dal livello di gravità dell’evento, dal rapporto tra investimento richiesto dall’implementazione e danno economico provocato dall’evento.
È noto che la valutazione del rischio comporta gravi lacune nell’abito della valutazione dei rischi operativi catastrofici in quanto è impossibile identificare tutte le minacce (alluvioni, inondazioni, terremoto, perturbazioni elettromagnetiche, valanghe) anche se andrebbero considerate per prime le minacce derivanti dalla collocazione territoriale dell’azienda, inoltre le stime delle probabilità rappresentano solo tentativi e si basano su informazioni storiche a volte inesatte. Tuttavia focalizzandosi sulle funzioni più urgenti, la valutazione del rischio può essere ridotta a un ambiente più gestibile.
Oltre alle minacce naturali si devono individuare minacce dovute a comportamenti umani (atti terroristici, furti, atti vandalici, spionaggio, distrazione, imperizia, errori accidentali o con colpa), minacce logiche (introduzione di codici maligni come virus, worm, malware, spamming, accessi non consentiti da parte di persone esterne o interne all’organizzazione, intercettazioni, alterazione o cancellazione del contenuto delle comunicazioni, frodi informatiche) e minacce tecnologiche
(indisponibilità della rete o di altri servizi quali telefono, elettricità, acqua, corti circuiti, bug del software).
Individuate le minacce, bisogna stimare le conseguenze che il disastro provocherebbe considerando il tempo massimo necessario per far ripartire il sistema e individuando i sistemi e dati che devono essere ripristinati con precedenza sugli altri.
Relativamente ai dati si può ipotizzare la seguente scala di valori decrescente per ordine di importanza:
“dati sensibili del personale, dei fornitori, dei clienti e di terzi con i quali l’azienda ha istaurato rapporti d’affari;
dati critici dell’azienda (fatturato, bilancio, rendiconti, piani di marketing e strategie di mercato, dati “proprietari” e “scientifici” quali know-how, brevetti, licenze software);
dati giudiziari e dunque relativi al contenzioso tra azienda e terzi personale, fornitori, creditori, clienti, P.A., aziende concorrenti);
dati comuni del personale, dei collaboratori, dei fornitori o dei clienti, (partita I.V.A., data di nascita, residenza, numeri telefonici non presenti in pubblici elenchi o numeri di cellulare, indirizzi e-mail );
dati comuni del personale, dei clienti o di terzi che si possono attingere a fonti pubbliche (numeri telefonici inseriti in pubblici elenchi ).”
Relativamente alle applicazioni è sicuramente prioritario ripristinare per primi i file di istallazione del sw, le misure di protezione logica (firewall, intrusione detection, antivirus), le credenziali di autenticazione per l’accesso ai sistemi e i file di configurazioni della rete preventivamente backuppati.
Seguirà a breve un altro articolo sull’argomento. La redazione.
