Disaster Recovery Plan: che cos’è, perchè e come implementarlo
Disaster Recovery Plan: che cos’è, perchè e come implementarlo
In questo articolo
Disaster Recovery Plan: la situazione in Italia
Da un’indagine sulla sicurezza informatica condotta da BVA DOXA ad ottobre 2022 in occasione dell’European Cybersecurity Month, è emerso che il 73% delle PMI italiane non è dotata di un Disaster Recovery Plan.
Cos’è il Disaster Recovery?
Il disaster recovery è una parte critica della gestione IT in azienda in quanto mira a garantire che un’organizzazione possa recuperare rapidamente da situazioni avverse e ripristinare la normale operatività nel minor tempo possibile dopo un incident o un’interruzione significativa.
DRP (Disaster Recovery Plan) e BCP (Business Continuity Plan)
Il Disaster Recovery Plan (DRP) è un documento formale che descrive l’insieme di strategie, azioni e strumenti tecnologici necessari per ripristinare il corretto funzionamento dell’infrastruttura IT, dei sistemi informatici e il recupero dei dati dopo il verificarsi di un’emergenza o di un evento imprevisto all’interno dell’azienda.
Il DRP è parte essenziale di un documento più ampio, il Business Continuity Plan (BCP) e si applica ai processi dell’azienda che sono direttamente dipendenti dal funzionamento dell’infrastruttura IT. Un DRP ha l’obiettivo di mettere in condizione l’azienda di risolvere più rapidamente possibile le criticità derivanti da una perdita di dati o da un’interruzione delle attività IT, e di ripristinare le funzionalità dei sistemi per garantire la business continuity.
All’interno del documento di DRP dovranno essere elencati gli step necessari per gestire gli effetti di un evento imprevisto, in modo che l’azienda possa continuare a svolgere le proprie attività e riprendere rapidamente le sue funzioni IT “vitali”.
Analisi dei rischi e dell’impatto aziendale
La redazione di un DRP comporta un’analisi dei processi aziendali e delle esigenze di business continuity. Prima di generare un documento DRP dettagliato, infatti, spesso le aziende eseguono una Business Impact Analysis (BIA) e una Risk Analysis (RA) e stabiliscono gli obiettivi di ripristino.
La Business Impact Analysis analizza le conseguenze per il business in caso di eventi imprevisti, è il punto di partenza per l’identificazione del rischio in ambito DR e dei valori RTO e RPO.
Valori RTO e RPO
Il Recovery Time Objective (RTO) è la quantità di tempo in cui i servizi critici possono rimanere inattivi, tipicamente espressi in ore, minuti o secondi.
Il Recovery Point Objective (RPO) definisce i valori temporali del file da ripristinare all’interno dell’archivio di backup dei dati per la ripresa della normale operatività.
La Risk Analysis identifica le minacce e le vulnerabilità che potrebbero interrompere il funzionamento dei sistemi e dei processi evidenziati nella BIA.
La Risk Analysis valuta inoltre la probabilità di un evento particolarmente dirompente e ne delinea la potenziale gravità.
Dal momento che gli attacchi cyber diventano sempre più sofisticati e i data breach sempre più frequenti, è di fondamentale importanza per un’azienda definire le proprie strategie di recupero e protezione dei dati. La capacità di gestire rapidamente un evento imprevisto può infatti ridurre al minimo i tempi di inattività e limitare danni sia finanziari che reputazionali.
Altri dati utili per il Recovery Plan
Nel determinare una strategia di RP, le aziende dovrebbero analizzare i dati relativi a:
- Budget
- Copertura assicurativa
- Risorse, inteso come persone e infrastrutture
- Reperibilità dei responsabili deputati alla gestione dei rischi
- Tecnologie in uso
- Dati e conservazione dei dati
- Fornitori coinvolti
- Requisiti di conformità
In questa fase si rivela fondamentale condividere con il management le strategie e gli obiettivi di Disaster Recovery, per essere allineati agli obiettivi di business dell’azienda.
Una volta che le strategie di Disaster Recovery sono state definite ed approvate, possono essere tradotte nel piano operativo, il Disaster Recovery Plan.
Esempi di Disaster Recovery Plan
La creazione di un DRP è un progetto per il quale è necessario affidarsi ad un partner IT e viene realizzato su misura per ogni specifica tipologia di business e settore.
Di seguito riportiamo alcuni esempi:
Virtualized Disaster Recovery Plan
La virtualizzazione consente di implementare un DR in modo veloce ed efficiente. Un ambiente virtualizzato può avviare nuove istanze di macchine virtuali entro pochi minuti e fornire il ripristino delle applicazioni in breve tempo.
I test da eseguire per la corretta esecuzione del ripristino sono piuttosto semplici ma il DRP deve validare l’esecuzione delle applicazioni in modalità DR, tenendo in considerazione i valori di RPO e RTO.
Network Disaster Recovery Plan
Lo sviluppo di un Network Disaster Recovery Plan è direttamente proporzionale alla complessità della rete. È molto importante fornire una procedura di ripristino dettagliata e step-by-step, testarla in modo corretto e mantenerla sempre aggiornata.
Il Network Disaster Recovery Plan deve contenere inoltre le informazioni tecniche relative alla rete, come le specifiche sulle performance e le informazioni sullo staff che si occupa del progetto.
Cloud Disaster Recovery Plan
Il Cloud Disaster Recovery Plan è per sua natura molto variabile in termini di dimensioni, dal momento che può comprendere semplici operazioni, come le procedure di backup dei file in cloud fino ad una replica completa dell’intera infrastruttura IT.
Il Cloud Disaster Recovery Plan presenta numerosi vantaggi, come un notevole risparmio grazie alla sua flessibilità e scalabilità ma il suo mantenimento richiede una gestione ad hoc e risorse con skill specifiche.
Chi si occupa della sua implementazione e del suo mantenimento, deve conoscere perfettamente l’ubicazione dei server sia fisici che virtuali e deve prestare un’attenzione maggiore al tema della sicurezza, una criticità diffusa in ambiente cloud ma che può essere affrontata in modo corretto eseguendo alcuni test.
Data Center Disaster Recovery Plan
Questo tipo di DR si concentra esclusivamente sull’infrastruttura del data center e sulla sede fisica nella quale viene ospitato. La valutazione del rischio operativo è il punto nodale di un Data Center DRP.
L’obiettivo è analizzare i componenti chiave come l’ubicazione dell’edificio, i sistemi di alimentazione elettrica e di protezione, la sicurezza all’interno del building e gli spazi operativi. Questa tipologia di DRP si rivela piuttosto articolato in quanto deve affrontare un’ampia gamma di possibili scenari.
I 10 step per creare un Disaster Recovery Plan
Come procedere quindi per implementare correttamente un DRP?
- Stabilire gli obiettivi del DRP
- Analizzare tutta la documentazione relativa all’infrastruttura di rete
- Identificare le minacce e le vulnerabilità più gravi, oltre agli asset più critici
- Analizzare le emergenze e gli eventi precedenti che hanno avuto un impatto sull’operatività dell’azienda e il modo in cui sono stati gestiti
- Definire le procedure e le strategie di Disaster Recovery
- Identificare il team deputato al Disaster Recovery
- Sottoporre al management il DRP per approvazione
- Effettuare il test del DRP
- Aggiornare il DRP dopo il test, se necessario
- Implementare un audit DRP o BCP periodico
Il Disaster Recovery Plan è un documento in continua evoluzione e coinvolgere nella sua creazione le risorse in aziendali, a tutti i livelli, ne aumenta il valore e l’efficacia.
AFFIDATI AD INFOR
BeeCyber, la Business Unit Infor specializzata in cyber security
BeeCyber è la nostra Business Unit specializzata in servizi di cyber security, che pone al centro il business del cliente, ne comprende e identifica il valore, e lo mette in sicurezza con le migliori soluzione di servizi Cyber.
Ci affianchiamo alle aziende per supportarle nell’identificare e classificare il livello di rischio, ed aiutarle nel processo di mitigazione continuativa.
Contattaci per maggiori informazioni su come realizzare correttamente un Disaster Recovery Plan.
BeeTech Managed Backup, il servizio di backup completo per infrastrutture IT
BeeTech Managed Backup è il servizio gestito di backup con funzionalità di monitoraggio, verifica periodica dell’integrità e ripristino rapido che previene la perdita di dati e garantisce un elevato livello di conformità normativa.
Dedicato ai clienti con infrastrutture IT dotate di almeno un server o una macchina virtuale, permette di effettuare in sicurezza copie di backup al di fuori della rete locale con opzioni di archiviazione on-site o in cloud, proteggendo l’azienda da attacchi ransomware.
