La conformità alla NIS2 prevede protezione di sistemi informatici e dimostrare di essere in grado di recuperare le attività dopo un incidente. Backup affidabili, piani di Disaster Recovery e test periodici diventano elementi essenziali per ridurre i tempi di fermo dopo un incidente e rafforzare la resilienza digitale. Le soluzioni Arcserve possono supportare le aziende in questo percorso, trasformando la protezione dei dati in una strategia concreta di continuità operativa.
NIS2: perché la continuità operativa è una priorità
La Direttiva europea NIS2 (UE 2022/2555) introduce requisiti più rigorosi per la gestione dei rischi di cybersicurezza da parte dei soggetti essenziali e importanti che rientrano nel suo ambito di applicazione. In particolare, l’articolo 21 richiede l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi che minacciano la sicurezza dei sistemi informativi e di rete e tra gli ambiti esplicitamente contemplati dal paragrafo 2, lettera c), figurano la continuità operativa, la gestione dei backup, il ripristino in caso di disastro e la gestione delle crisi. In Italia, la direttiva è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138.
L’onere per Aziende, Enti e PA è la prevenzione degli attacchi, che resta fondamentale, ma occorre anche strutturare un piano di intervento da attivare quando un incidente compromette la disponibilità dei sistemi e dei dati, senza procedure di recupero definite e verificate, anche un’infrastruttura dotata di buone difese preventive può rimanere indisponibile per ore o giorni, la continuità operativa deve quindi essere progettata, documentata e verificata nel tempo.
Backup e Disaster Recovery: due elementi diversi, un unico obiettivo
Nel linguaggio IT, backup e Disaster Recovery vengono spesso associati, ma svolgono funzioni differenti.
Il backup permette di conservare copie dei dati e di recuperarli in caso di perdita, corruzione o cancellazione.
Il Disaster Recovery (DR) comprende invece le strategie, le tecnologie e le procedure necessarie a ripristinare sistemi, applicazioni e servizi dopo un evento critico.
Avere una copia dei dati non garantisce automaticamente che un’applicazione possa tornare operativa nei tempi richiesti, è importante considerare anche la disponibilità dell’infrastruttura di destinazione, le dipendenze tra i sistemi, le configurazioni, le credenziali, la connettività e la sequenza delle operazioni di ripristino.
Per questo una strategia efficace deve essere in grado di rispondere a domande precise:
- Quali sistemi devono essere ripristinati per primi?
- Quanto tempo può rimanere indisponibile ciascun servizio?
- Quanti dati l’azienda può permettersi di perdere?
- Come si verifica che i backup siano integri e utilizzabili?
- Chi autorizza e coordina il ripristino durante un incidente?
- Quali evidenze dimostrano che le procedure funzionano?
Rispondere a queste domande consente di passare da una gestione reattiva delle emergenze ad un modello strutturato di resilienza operativa.
RPO e RTO: definire obiettivi misurabili
Per progettare un piano di Disaster Recovery occorre stabilire,, come prima cosa obiettivi di recupero coerenti con le esigenze aziendali.
Due indicatori sono particolarmente importanti:
RPO – Recovery Point Objective
Indica la perdita massima di dati che l’organizzazione può tollerare, espressa in termini di tempo.
Un RPO di un’ora, per esempio, significa che l’obiettivo è limitare a un’ora la quantità di dati persi rispetto al momento dell’interruzione, compatibilmente con l’architettura e le tecnologie adottate.
RTO – Recovery Time Objective
Indica il tempo massimo previsto per ripristinare un sistema o un servizio dopo un’interruzione.
Se un’applicazione ha un RTO di quattro ore, il piano deve essere progettato e verificato per consentire il recupero entro tale intervallo.
RPO e RTO non devono essere definiti esclusivamente dal reparto IT ma vanno coinvolti anche i responsabili dei processi aziendali per individuare le priorità, valutare gli impatti economici e operativi e stabilire obiettivi realistici.
Questi indicatori diventano anche parametri utili per verificare l’efficacia delle misure adottate e orientare gli investimenti tecnologici.
Come Arcserve può supportare la strategia di Disaster Recovery
Le tecnologie Arcserve offrono funzionalità di protezione dei dati, replica e ripristino che possono essere integrate in una strategia di continuità operativa.
La scelta dei prodotti e delle funzionalità dipende ovviamente dall’infrastruttura aziendale, dai carichi di lavoro da proteggere e dagli obiettivi di recupero definiti.
Arcserve UDP: protezione e ripristino centralizzati
Arcserve Unified Data Protection (UDP) è una soluzione progettata per integrare backup, ripristino e funzionalità di Disaster Recovery in ambienti fisici, virtuali e cloud supportati.
In base alla configurazione adottata, può contribuire a:
- Proteggere server, sistemi e applicazioni aziendali.
- Gestire copie di backup e operazioni di ripristino.
- Integrare destinazioni di archiviazione locali e cloud.
- Supportare strategie di recupero dopo guasti e attacchi ransomware.
- Verificare la recuperabilità dei dati attraverso procedure e funzionalità di validazione disponibili nella soluzione scelta.
Centralizzare la gestione della protezione aiuta a rendere più controllabili le attività di backup e ripristino e a raccogliere informazioni utili per verificare lo stato delle procedure.
Arcserve Replication and High Availability: ridurre l’interruzione dei servizi
Per gli ambienti in cui è necessario limitare l’indisponibilità dei sistemi, Arcserve Replication and High Availability (RHA) mette a disposizione funzionalità di replica e alta disponibilità per gli ambienti supportati.
La replica consente di mantenere una copia aggiornata dei dati o dei sistemi su un’infrastruttura alternativa, secondo le modalità configurate, le funzionalità di alta disponibilità possono contribuire a ridurre i tempi di interruzione, consentendo di attivare procedure di passaggio a un ambiente alternativo quando si verificano determinate condizioni di guasto.
È importante distinguere la replica dal backup: una replica non costituisce necessariamente una copia storica indipendente e può propagare cancellazioni o modifiche indesiderate, per questo motivo sarebbe buona norma che sia integrata con backup adeguatamente protetti.
Storage immutabile: proteggere le copie di recupero
Una strategia di Disaster Recovery deve considerare anche il rischio che un attaccante comprometta i backup.
Lo storage immutabile consente di proteggere le copie da modifiche e cancellazioni durante il periodo di conservazione previsto, secondo le caratteristiche della soluzione e le policy configurate.
Le soluzioni Arcserve di storage cyber-resiliente, come Arcserve Cyber Resilient Storage e Arcserve Cloud Cyber Resilient Storage, possono contribuire a rafforzare questa protezione in ambienti locali, ibridi e cloud supportati e l’integrazione con le procedure di backup e ripristino permette di aggiungere un ulteriore livello di difesa contro gli attacchi che mirano a compromettere anche le risorse necessarie per recuperare i dati.
Dalla tecnologia alle evidenze: come dimostrare la continuità operativa
Uno degli aspetti più importanti della gestione del rischio non è soltanto disporre di strumenti adeguati, ma poter dimostrare che le misure adottate sono effettivamente operative.
Un piano di Disaster Recovery non è un documento che resta fine a sé stesso ma deve essere verificato attraverso prove pianificate, risultati misurabili e attività correttive documentate.
Una strategia supportata da tecnologie Arcserve può contribuire a raccogliere evidenze utili attraverso attività come:
- Monitoraggio dei backup
Registrare l’esito delle operazioni, individuare errori e verificare che i sistemi critici siano effettivamente protetti.
- Test di ripristinoEseguire prove periodiche su dati, server e applicazioni, verificando l’integrità delle copie e la possibilità di riutilizzarle.
- Validazione degli obiettivi RPO e RTO
Confrontare i risultati dei test con gli obiettivi definiti, rilevando eventuali scostamenti e individuando le misure correttive necessarie.
- Documentazione delle procedure
Mantenere aggiornati piani di recupero, responsabilità, dipendenze applicative, sequenze di ripristino e criteri per autorizzare il ritorno in produzione.
- Tracciabilità delle attività
Conservare report, registrazioni dei test, esiti delle verifiche e documentazione degli interventi correttivi, secondo le esigenze di governance e audit dell’organizzazione.
Le funzionalità effettivamente disponibili per automatizzare i test o produrre report dipendono dal prodotto, dalla versione, dalla licenza e dalla configurazione adottata, la raccolta delle evidenze deve quindi essere progettata in funzione dell’architettura reale.
Questi elementi possono supportare le attività di verifica interna e di audit, ma ancora non costituiscono, da soli, una certificazione di conformità alla NIS2.
Un esempio pratico: cosa succede dopo un attacco ransomware?
Immaginiamo un’azienda che utilizza un ERP per la gestione degli ordini, un database per i dati amministrativi e un file server condiviso tra i dipendenti.
Un attacco ransomware compromette parte dell’infrastruttura e rende indisponibili alcuni servizi.
Una strategia strutturata di Disaster Recovery dovrebbe prevedere una sequenza di interventi.
Fase 1 – Contenimento e valutazione
Il team IT e quello di sicurezza isolano i sistemi coinvolti, valutano l’estensione dell’incidente e identificano i sistemi che possono essere recuperati in sicurezza.
Fase 2 – Individuazione delle copie utilizzabili
Vengono verificati i backup disponibili, la loro integrità e la presenza di un punto di ripristino precedente alla compromissione.
Fase 3 – Ripristino dei servizi prioritari
Le procedure di recupero vengono avviate secondo le priorità stabilite nel piano, considerando le dipendenze tra database, applicazioni e infrastruttura.
Fase 4 – Verifica funzionale e ritorno in produzione
Prima di riattivare i servizi, si controllano l’integrità dei dati, il corretto funzionamento delle applicazioni e l’assenza di indicatori di compromissione rilevanti.
Fase 5 – Documentazione e miglioramento
Si registrano tempi effettivi di recupero, problemi riscontrati, scostamenti dagli obiettivi e azioni correttive da introdurre nel piano.
Una soluzione di protezione e ripristino adeguatamente progettata può supportare diverse fasi di questo processo. La riuscita del recupero dipende però anche dall’isolamento dell’incidente, dalla disponibilità dell’infrastruttura alternativa e dalla preparazione del personale coinvolto.
NIS2 e Disaster Recovery: un processo continuo, non un progetto una tantum
Le infrastrutture IT cambiano nel tempo: vengono continuamente introdotte nuove applicazioni, migrati servizi in cloud, aggiornati sistemi e modificati i processi aziendali, di conseguenza, anche il piano di continuità operativa deve essere aggiornato.
Per mantenere efficace una strategia di Disaster Recovery è opportuno:
- Riesaminare periodicamente i sistemi e i processi critici.
- Aggiornare l’analisi dei rischi e gli obiettivi RPO e RTO.
- Verificare la copertura dei backup dopo ogni cambiamento significativo.
- Eseguire test di ripristino con frequenza definita in base al rischio.
- Formare i team coinvolti e chiarire ruoli e responsabilità.
- Documentare i risultati e seguire le azioni correttive fino alla loro chiusura.
La conformità richiede inoltre di valutare l’insieme delle misure di gestione del rischio applicabili all’azienda, il Disaster Recovery è un elemento importante, ma non sostituisce gli altri obblighi previsti dal quadro normativo.