Non hai mai sentito parlare di attacchi informatici e della perdita di numerosi dati nel mondo degli affari? Ma sai cosa sono e come mettere in atto un PCA? Te lo spieghiamo subito.
In generale, pochi imprenditori di una PMI pensano a cosa accadrebbe se subissero un attacco informatico che causasse la perdita di tutti i dati aziendali. Pensano generalmente che con un buon sistema di sicurezza informatica siano al sicuro. Come dicono molte aziende di cybersecurity, nessuno è protetto al 100% e chi lo crede si sta perdendo l’essenziale. I criminali informatici di oggi sono in continua evoluzione, sviluppano ogni giorno nuovi modi per interferire con i sistemi informativi delle aziende. Se le grandi aziende sono esposte a questi criminali, a cosa non sono esposte le PMI, i liberi professionisti o le microimprese? Quali sono quindi le soluzioni possibili per proteggere ed evitare la perdita di tutti i dati della tua azienda o attività?
Cos’è un piano di continuità operativa (PCA)?
Per piano di continuità o PCA si intende un insieme di misure che un’azienda adotta per assicurarsi che le proprie attività non siano sostanzialmente compromesse da eventi indipendenti dalla propria volontà. La messa in atto di un PCA comprende tutto ciò che riguarda gli sforzi messi in campo da un’azienda per funzionare senza intoppi in ogni circostanza. Il sistema di recupero dei dati (DRS), ovvero il modo in cui i dati vengono recuperati in caso di disastro affinché l’azienda possa continuare a operare, e l’alta disponibilità dei sistemi, sono due delle categorie incluse in un PCA.
Il piano di continuità operativa o PCA è un piano logistico per la pratica di come un’organizzazione deve recuperare e ripristinare le proprie risorse critiche, parzialmente o totalmente compromesse, entro un termine predeterminato dopo un’interruzione o un disastro indesiderato.
Considerazioni relative a un PCA
Nell’attuazione di un PCA, vanno prese in considerazione due considerazioni principali: l’RPO (Recovery Point Objective) e l’RTO (Recovery Time Objective).
La prima si riferisce al volume di dati a rischio di perdita che l’organizzazione considera tollerabile. In altre parole, determina la perdita massima possibile di dati introdotti dall’ultimo backup dei dati, fino al momento in cui il sistema si guasta. Non dipende dal tempo di recupero.
Quanto al secondo, esprime il tempo durante il quale un’organizzazione può tollerare l’interruzione delle sue applicazioni critiche e il calo di livello di servizio associato, senza compromettere la continuità di alcuna attività aziendale.
Il tempo di interruzione tollerabile continua a ridursi, a causa della crescente intensità dei processi aziendali, della loro globalizzazione e della necessità di una cooperazione in tempo reale tra molteplici unità interne ed esterne. Inoltre, un numero crescente di transazioni avviene senza carta, il che rende il recupero praticamente impossibile in caso di perdita di dati.
Piani di recupero dati per garantire la continuità operativa
Il piano di disaster recovery (PRA) è un processo di recupero che riguarda i dati, l’hardware e i software essenziali. Ha l’obiettivo di permettere a un’azienda di riprendere le sue attività in caso di perdita importante di dati. Si tratta di un processo o di un flusso di lavoro che permette di recuperare i dati, siano essi soluzioni fisiche o software. L’azienda può così riprendere le sue attività anche in caso di incidente naturale, di origine umana, da ransomware o da altri attacchi informatici ai sistemi.
Un piano di disaster recovery ha l’obiettivo di fornire all’azienda mezzi alternativi per svolgere le sue funzioni normali quando i mezzi abituali non sono disponibili a causa di un imprevisto.
Il PRA si concentra sui sistemi informatici che supportano le funzioni essenziali dell’azienda. Differisce un po’ da ciò che si intende per PCA, che consiste nel mantenere in attività gli aspetti essenziali di un’azienda nonostante eventi perturbatori importanti. Si può dire che il PRA è un sottoinsieme del PCA.
L’importanza di avere e mantenere un PRA per qualsiasi tipo di azienda è essenziale per valutare l’impatto di una situazione di disastro. Permette anche di riprendersi rapidamente e rilanciare l’attività in caso di perdita. Questo permetterà di minimizzare il rischio di perdita di capitale e, soprattutto, di evitare la perdita di fiducia nell’azienda o da parte dei clienti.
Quali sono i punti da considerare nella progettazione di un PRA?
Per una buona progettazione di un PRA, la prima cosa da fare è stabilire cosa si vuole proteggere e quanto tempo ci vorrà per recuperarlo. Successivamente, la stesura del documento deve includere il resto delle considerazioni da tenere presenti. Queste considerazioni saranno:
- Valutare il tempo di interruzione tollerato;
- Esaminare l’SLA per comprendere le conseguenze di un disastro;
- Stabilire tempi di recupero obiettivo per ogni parte dell’azienda e del servizio;
- Fare un inventario dell’hardware e del software, classificati in base alla loro importanza per l’azienda;
- Avere i contatti del o dei fornitori di assistenza tecnica per ogni hardware o applicazione software;
- Ordine di recupero per ogni sistema;
- Specificare i ruoli e le responsabilità;
- Attuare un piano di comunicazione;
- Documentazione supplementare.
Infine, bisogna tenere presente che il PRA è un documento in continua evoluzione. Non ha senso progettare e mettere in atto un piano di disaster recovery solo per conservarlo. Devi familiarizzare il tuo personale con il PRA, assicurandoti che sappia qual è il suo ruolo. Sarà necessario testarlo, rivederlo costantemente e renderlo facile da aggiornare o estendere. Questo ti permetterà di proteggere l’essenziale della tua infrastruttura informatica da qualsiasi disastro imprevisto con la massima efficacia.