Disaster Recovery e continuità aziendale

Introduzione

Abbiamo tutti sentito almeno una volta nella vita qualcuno urlare "lo spettacolo deve continuare". In Cybersecurity, questo motto viene spesso utilizzato per spiegare la necessità di un piano di Business Continuity e Disaster Recovery (BC&DR). Gli incidenti possono accadere, ma non dovrebbero essere un motivo per fermare la tua attività o perdere più soldi del necessario. Per difendersi da questi pericoli, devi avere un piano (BC&DR). In questo articolo ti fornirò una spiegazione dettagliata su come questi due lavorano insieme e alcune linee guida per implementarli.

Cosa sono la Business Continuity e il Disaster Recovery?

Questi due piani possono essere intrecciati o addirittura delineati nello stesso documento, tuttavia, affrontano due aspetti diversi della Sicurezza Informatica e della Gestione Organizzativa:

Il disaster recovery è il processo di ripristino delle normali operazioni dopo che si è verificato un incidente (catastrofico). Ciò include il ripristino di dati, hardware, software e altre risorse IT in uno stato il più vicino possibile al suo stato ottimale. I piani di disaster recovery trattano tipicamente argomenti come il backup dei dati, la creazione e la verifica delle procedure di emergenza e la formazione dei dipendenti su come rispondere agli eventi catastrofici.

D'altra parte, la continuità aziendale è il processo di mantenere o ripristinare rapidamente le operazioni aziendali vitali durante e dopo un evento avverso. Ciò richiede generalmente lo sviluppo di piani per minimizzare le interruzioni delle attività aziendali, dopo aver identificato le attività più critiche e le relative infrastrutture/risorse che gli incidenti non dovrebbero influenzare. I piani di continuità aziendale includono solitamente strategie per mantenere o ripristinare rapidamente le funzioni aziendali vitali, come il servizio clienti, la produzione e le operazioni finanziarie.

La principale differenza tra queste due pratiche risiede nel fatto che i piani di Business Continuity sono soluzioni temporanee di emergenza facili da adottare per dare una risposta efficiente a un problema emergente. I piani di Disaster Recovery, d'altra parte, possono essere lenti e complessi, ma mirano a riportare informazioni e infrastrutture il più vicino possibile alla condizione precedente all'incidente.

Importanza di avere un piano Bc&dr

L'importanza di avere un piano di Business Continuity e Disaster Recovery (BC&DR) è stata sottolineata dalla risposta del gruppo Fujitsu al grande terremoto del Giappone orientale del 2011. Nonostante una perdita di circa 100 milioni di dollari, hanno rapidamente ripristinato tutti i sistemi critici entro 24 ore e sono stati completamente operativi entro una settimana, grazie al loro piano BC&DR ben preparato. Non solo hanno recuperato i propri sistemi, ma sono stati in grado di offrire aiuto e supporto ad altre aziende e persone colpite dal disastro. Avere un piano BC&DR può ridurre significativamente il costo potenziale di una catastrofe naturale per un'azienda. Diverse case study, incluso l'incidente Fujitsu, lo hanno dimostrato. 

Per creare o valutare il tuo piano BC&DR, considera i seguenti passaggi chiave.

Starting from Business Continuity:

1. Identificare le funzioni aziendali critiche: Una funzione aziendale si riferisce a qualsiasi combinazione di attività e risorse necessarie per trasformare gli input in output. Le funzioni critiche, d'altra parte, sono quelle attività e persone che sono essenziali per il funzionamento continuo della tua azienda – senza di esse, la tua azienda non sarebbe in grado di produrre output. Il primo passo nell'identificazione delle funzioni critiche è determinare le persone chiave e le risorse indispensabili per la sopravvivenza della tua azienda.
2. Identificare potenziali disturbi: Una volta identificati gli asset e le risorse fondamentali per le tue operazioni, è essenziale identificare le potenziali minacce che potrebbero influire sulla loro funzionalità. Queste minacce potrebbero includere disastri naturali come terremoti, disordini politici o sfruttamento delle vulnerabilità informatiche. È importante non sottovalutare l'importanza di definire chiaramente quali di questi disturbi si applicano ad alcune, a tutte o a nessuna delle funzioni critiche. Questo ti aiuterà a eseguire il passo successivo nel processo di gestione del rischio in modo efficiente.
3. Sviluppare procedure per mantenere o ripristinare rapidamente le funzioni aziendali critiche: Una volta identificate le funzioni critiche, è importante sviluppare un piano che garantisca che queste funzioni possano continuare a operare in caso di disastro. Ciò può includere la creazione di una posizione secondaria, la disponibilità di attrezzature di comunicazione di backup o l'implementazione di un insieme di istruzioni che altre funzioni possano seguire in caso di interruzione. L'efficacia di questo passaggio avrà un grande impatto sulla tua capacità di identificare una soluzione completa per le cause più probabili di interruzione.
4. Sviluppa un piano di comunicazione: Un piano di Business Continuity ben strutturato è inefficace se non viene implementato correttamente. È essenziale avere un piano per informare efficacemente dipendenti e clienti su eventuali interruzioni man mano che si verificano. Per garantire l'esecuzione con successo del piano di Business Continuity, è fondamentale avere un piano di comunicazione forte e dettagliato. Questo piano dovrebbe tenere conto delle potenziali interruzioni identificate durante il processo di pianificazione, per garantire che tu possa avviare rapidamente ed efficientemente il piano di Business Continuity quando necessario.
5. Elabora un piano di comunicazione: Un piano di Business Continuity ben congegnato è inefficace se non viene implementato correttamente. È essenziale avere un piano in atto per informare efficacemente dipendenti e clienti su eventuali interruzioni man mano che si verificano. Per garantire il successo nell'esecuzione del piano di Business Continuity, è fondamentale avere un piano di comunicazione solido e dettagliato. Questo piano dovrebbe tenere conto delle potenziali interruzioni identificate durante il processo di pianificazione, per garantire che tu possa avviare rapidamente ed efficacemente il piano di Business Continuity quando necessario.
6. Stabilire un piano per la manutenzione e l'aggiornamento del piano di continuità aziendale: Identificare e documentare tutte le risorse che devono essere regolarmente aggiornate affinché il piano di continuità aziendale sia efficace. Stabilire scadenze specifiche e assegnare a individui responsabili di mantenere questi documenti aggiornati.

Dall'altra parte, un piano di recupero disastri dovrebbe incorporare quanto segue:

1. Identify Critical Systems and Data for Recovery: È fondamentale identificare l'infrastruttura e le risorse che sono di alta priorità e devono essere recuperate in caso di perdita.
2. Identificare i potenziali scenari di disastro: Diversi scenari di disastro possono avere costi di recupero variabili. Ad esempio, una sala server allagata per 24 ore avrà un costo di recupero diverso rispetto a una allagata per meno di 1 ora.
3. Sviluppare procedure per il backup e il ripristino dei dati e dei sistemi: Crea un piano dettagliato per recuperare le risorse identificate nel primo passaggio, in base agli scenari sviluppati nel secondo passaggio.
4. Test and Regularly Update the Disaster Recovery Plan: Ensure that employees are informed of the disaster recovery procedures and trained to follow them. If the procedures involve the involvement of third parties, make sure to have appropriate agreements in place.
5. Stabilire un piano per il mantenimento e l'aggiornamento del piano di recupero da disastro: Identificare e documentare le risorse e i fornitori necessari per il processo di recupero, e mantenere tali elenchi aggiornati. Inoltre, ricordarsi di aggiornare gli scenari e la pianificazione del budget quando necessario.

Quando si tratta di sviluppare un piano di recupero da disastri e di continuità aziendale, l'approccio che scegli dipende interamente dalle tue preferenze e da quelle della tua azienda. Alcune aziende preferiscono avere un singolo documento completo per semplicità, mentre altre preferiscono affrontare ogni aspetto separatamente. Indipendentemente dall'approccio che scegli, è importante tenere a mente che nessuno dei due offre intrinsecamente vantaggi o svantaggi particolari rispetto all'altro.

Il bilancio

È fondamentale mantenere una mente aperta e rimanere vigili quando si sviluppa un piano di Recupero da Disastri o di Continuità Aziendale. I motivi per farlo potrebbero non essere la conformità alle normative, ma piuttosto considerazioni strategiche e competitive. Eventi imprevisti come tumulti politici, attacchi informatici e disastri naturali possono influire significativamente su qualsiasi settore. Le aziende che sono preparate ad affrontare tali eventi e a riprendersi rapidamente sono quelle che saranno in grado di trasformare una crisi in un'opportunità. Non lasciare che la mancanza di pianificazione sia il fattore che ti trattiene.