Quando si parla di
disaster recovery ci si riferisce alla capacità di un'organizzazione di
rispondere e riprendersi da un evento critico, che influisce negativamente sulle operazioni aziendali.
Il concetto è di per sé nulla di nuovo ma solo negli ultimi anni l’offerta di piattaforme, atte a minimizzare le conseguenze dovute ad un disastro, hanno preso piede tra aziende di qualsiasi settore e dimensione, con un’
importanza crescente per lo
scenario enterprise.
Gli eventi alla base del Disaster Recovery
Gli eventi, problematici, a cui la pratica del disaster recovery può rispondere sono diversi. Sottovalutare la concreta possibilità che si verifichino, come ci hanno insegnato anche i recenti trascorsi, può impattare sulla
business continuity delle imprese, causando
rallentamenti, se non addirittura
blocchi, a tutta la macchina aziendale, con
ripercussioni anche
sul lungo periodo.
Ad
attacchi informatici, come malware, DDoS e ransomware, si affiancano
interruzioni, guasti, errori umani o
intenzionali a cui, per vari motivi, i responsabili non possono dar seguito nell’immediato.
Gli
eventi naturali sono sicuramente quelli più catastrofici perché, insieme al potenziale blocco del software, rischiano di danneggiare fisicamente le infrastrutture, con la conseguente necessità di interventi ancora maggiori.
La valutazione del rischio
Dopo che si è verificata un'emergenza, l’obiettivo di un
piano di disaster recovery è dunque quello di consentire all'organizzazione di riprendere l'utilizzo dei sistemi critici e dell'infrastruttura IT il prima possibile.
Per prepararsi a questo, le aziende spesso eseguono un'
analisi approfondita dei loro sistemi e creano un
documento formale da seguire in caso di crisi, il cosiddetto
piano di ripristino di emergenza.
L'esecuzione di una
valutazione del rischio è il primo passo per la creazione del piano di ripristino di emergenza aziendale. L’obiettivo è identificare i
potenziali pericoli che potrebbero incidere sulla
business continuity e identificare le risorse specifiche oggetto del rischio. Il punto di partenza è elencare tutti i pericoli che, si pensa, potrebbero mettere in pericolo l’azienda, determinati sia da
fattori interni che esterni.
A ciascun rischio bisognerà assegnare un punteggio sia relativo alla
probabilità di accadimento sia relativo all'
entità e al
potenziale di interruzione dell'attività.
L’obiettivo di una classificazione di questo tipo è poter allocare le risorse tenendo conto delle fonti più significative.
La Business Impact Analysis (BIA)
Il passo successivo riguarda la Business Impact Analysis o anche BIA. Lo scopo è capire le
reali ripercussioni che le interruzioni di specifici asset o servizi potrebbero avere per l'azienda.
Per questo, l’organizzazione deve esaminare ogni risorsa documentata e lavorare per determinare quali sarebbero le
conseguenze finanziarie e operative in caso di interruzione di tale risorsa o funzione aziendale.
Per comprendere l'impatto sul business, dell'interruzione di una risorsa, le organizzazioni possono condurre un sondaggio o un colloquio con il manager responsabile della stessa.
Non solo, le organizzazioni dovrebbero considerare anche il
fattore tempo, ovvero come la durata dell’interruzione dell'attività potrebbe amplificare le conseguenze finanziarie o operative in modo da optare per quelle
strategie di ripristino più appropriate per servizi specifici e allocando così, in modo efficiente, le risorse tra le iniziative di prevenzione, mitigazione e disaster recovery.
Disaster Recovery as a Service (DRaaS)
Riferendosi alle aziende enterprise, alla luce della propria dimensione e complessità anche a livello infrastrutturale, è più opportuno parlare di
Enterprise Disaster Recovery.
Infatti a questo livello entrano in gioco fattori determinanti nello scenario delle grandi imprese, come, ad esempio, la possibilità che il
piano di ripristino coinvolga le
infrastrutture cloud oltre che le
on-premise.
In questo caso, se l’organizzazione collabora con un provider di servizi gestiti che utilizza i propri server e l'infrastruttura IT per gestire tutte le esigenze di ripristino di emergenza (
Disaster Recovery as a Service), può recuperare rapidamente le proprie risorse business-critical, senza sostenere i costi tecnici di una soluzione di
DR proprietaria.
Il fattore tempo
A questo punto, il piano è pronto per essere stilato, tenendo conto anche dei due aspetti fondamentali dell’
RTO, Recovery Time Objective e
RPO, Recovery Point Objective.
Il primo racchiude la durata del
tempo di inattività tra il momento in cui viene dichiarata un'emergenza e quando le normali operazioni vengono ripristinate e rese disponibili agli utenti.
Il Recovery Point Objective invece è la
quantità di tempo tra l'interruzione del servizio e l'ultimo backup che verrà ripristinato dopo la dichiarazione di un'emergenza.
Questo definisce la
quantità massima consentita di dati persi misurata in ore. Si tratta di due informazioni la cui stima può essere il più esatta possibile solo se, in fase di analisi preventiva, si coinvolgono i reparti addetti al recupero delle risorse interessate dal disaster recovery.
Prepararsi al Disaster Recovery: gli ultimi step
Affinché il piano, compilato e validato acquisti un serio valore operativo, vi è bisogno che le imprese diano seguito a due aspetti critici: la
formazione e i
test.
Condurre esercizi di orientamento e formazione per i membri del team delegati alla business continuity garantisce
consapevolezza e preparazione circa i protocolli di ripristino di emergenza.
A sua volta, l'esecuzione del piano dà modo alle risorse aziendali critiche di essere recuperate in modo affidabile, se vengono soddisfatti gli obiettivi RTO e RPO.
Ovviamente, nessun piano di disaster recovery è perfetto o impresso nella pietra. Con il tempo, vi sarà modo di
migliorarlo e ottimizzarlo, anche in base ai cambiamenti stessi dell’operatività o alla crescita aziendale.
Potrebbe, ad esempio, essere necessario tarare i fermi di inattività e le tempistiche di recupero in seguito a modifiche nel business o all’ingresso di nuove opportunità produttive. Non sempre le prestazioni effettive sono in linea con quelle attese ed ecco che un ripensamento dei processi, una volta stilato un piano completo e dettagliato, sarà più semplice oltre che utile per far si che il DR rispecchi in modo puntuale le capacità di ripristino per tutti gli asset e le tecnologie coinvolte.
Approfondisci le soluzioni di Aruba Enterprise per fornire sistemi informatici ultra-resilienti per la gestione della continuità operativa delle aziende in ogni condizione,
clicca qui.