Cyber-Disastro: ogni minuto è un danno. Le prime 72 ore sono quelle decisive – Cronaca

Il disaster recovery coincide con la capacità di un’azienda di rispondere e riprendersi da un evento informatico catastrofico che danneggia le sue operazioni o infrastrutture. Il disaster recovery plan (DRP) è la base su cui si fondano l’identificazione, la valutazione e la mitigazione dei disastri e delle relative strategie di recupero.

Quando avviene un attacco informatico, infatti, il team dell’azienda deve saper affrontare i problemi in modo tempestivo ed efficace, per farlo è necessario disporre di un piano di disaster recovery che guida – minuto dopo minuto – gli interventi da eseguire perché il tempo sprecato può causare danni maggiori e compromettere anche la possibilità di ripristinare appieno la funzionalità dell’azienda.

Ma come si struttura un DRP? Un piano di disaster recovery include la documentazione strategica e il procedimento organizzativo necessario per ripristinare l’accesso ai sistemi e alle infrastrutture compromesse dopo un attacco informatico, un errore umano, un disastro naturale o altri eventi catastrofici. Può essere utilizzato per affrontare questioni varie come problemi specifici ai programmi, software difettoso, o situazioni molto più gravi come una violazione dei dati a livello di sistema o una pandemia.

Ciò che rende efficace un piano di disaster recovery è la capacità di anticipare le minacce prima che si manifestino e di testare diversi scenari per garantirne l’efficacia. Un piano di disaster recovery opera per mantenere e ristabilire i sistemi IT critici e le infrastrutture a seguito di un incidente. La manutenzione consiste nella corretta replicazione e backup dei dati e degli asset verso punti di ripristino stabiliti.

Il recupero è uno sforzo reattivo volto a ripristinare la funzionalità e il controllo sui sistemi e sui dati che sono stati infettati o compromessi. Ogni organizzazione dovrebbe avere in dotazione un piano personalizzato in merito alle dimensioni e alla tipologia di attività svolta adatto a rispondere alle proprie esigenze. Per creare un piano personalizzato per la propria azienda è necessario seguire alcune linee guida:

• Creare un team in cui ciascun componente svolga un ruolo e abbia delle responsabilità specifiche, ognuno deve conoscere il proprio ruolo e quello degli altri componenti dell’organizzazione.
• Gestione degli incidenti: è necessario dotarsi di un piano con le procedure precise da seguire per individuare e segnalare gli attacchi, completo dei passaggi da praticare per rispondere, investigare e recuperare i dati infettati o bloccati.
• Analisi dell’impatto sull’azienda (BIA) è necessario per definire le priorità e gli obiettivi, identifica i sistemi critici, gli asset e i processi essenziali per l’organizzazione e le sue operazioni.
• Punto di recupero (RPO): misura la quantità di danni accettabile in proporzione al tempo. RPO è un momento o una condizione entro i quali i dati devono essere ripristinati per non compromettere il ritorno a uno stato operativo normale.
• Tempo massimo di recupero (RTO): misura il tempo massimo accettabile di interruzione causato dal disastro entro il quale è possibile ripristinare sistemi e infrastrutture.

Ogni minuto che passa può trasformare un evento gestibile in un disastro. Il fattore tempo: come intervenire tempestivamente

Quando avviene un attacco informatico, il tempo è tiranno. Per questo, le prime 72 ore sono decisive, è l’arco di tempo in cui si mettono in gioco la continuità operativa, la reputazione e persino la conformità normativa. Durante un incidente di sicurezza, ogni minuto che scorre segna un graduale avanzamento del danno, sia esso economico o reputazionale. È necessario quindi reagire il più rapidamente possibile per limitare perdite e difficoltà conseguenti. L’Incident Case Response (IR), la risposta agli incidenti di sicurezza informatica, è il processo attraverso cui un’azienda risolve e analizza un attacco informatico. Quando si verifica un attacco, infatti, la rapidità e l’efficacia della risposta possono fare la differenza tra un semplice disservizio e un danno irreparabile. L’IR è il processo da seguire dall’identificazione iniziale della minaccia, fino alla completa risoluzione e alla successiva revisione dell’evento.

Quest’ultimo passaggio è fondamentale per ottenere informazioni essenziali sull’accaduto e migliorare per eventuali incidenti futuri la sicurezza generale. Il processo completo deve avere come riferimento operativo un documento cosiddetto IRP Incident Respose Plan, che stabilisce in modo chiaro come reagire a un incidente di sicurezza informatica.

Nell’IRP devono essere definiti chiaramente: i ruoli e le responsabilità quindi chi e quando deve intervenire; procedure e priorità ossia cosa deve essere fatto, come comunicare agli altri reparti aziendali, alle autorità, a clienti e fornitori ecc.; gli strumenti da utilizzare per limitare e risolvere l’incidente.