BCP o DRP? La risposta essenziale in caso di interruzione dell'attività!
Cosa succederebbe alla vostra azienda se tutti i dati sparissero? O se i suoi strumenti di lavoro diventassero inaccessibili? Tutti noi dipendiamo dalle nostre informazioni e dai nostri sistemi informatici. Ecco perché è necessario adottare le migliori pratiche di backup per prevenire la minima interruzione dell'attività aziendale, sia essa dovuta a un guasto dei supporti o dell'hardware o a un disastro.
Come si valuta il rischio? Come ci si protegge? È qui che entrano in gioco il Business Continuity Plan e il Disaster Recovery Plan. Il BCP e il DRP sono documenti che riuniscono tutte le misure necessarie per limitare le conseguenze degli incidenti, fornendo una risposta specifica, a seconda della gravità dell'interruzione. Scoprite subito come proteggere la vostra infrastruttura IT e quali sono gli strumenti migliori per aiutarvi nel vostro approccio.
[BCP e DRP: le differenze
I significati dei termini BCP e DRP sono talvolta confusi e talvolta distinti. Fondamentalmente, l'idea è la stessa: come continuare l'attività senza interruzioni o come ripristinarla il più rapidamente possibile dopo un'interruzione imprevista? Uno fornisce una risposta a breve termine, l'altro a lungo termine.
Che cos'è un piano di continuità aziendale?
Un BCP (Business Continuity Plan) è un sistema progettato per evitare qualsiasi interruzione nel funzionamento dell'azienda; qualsiasi problema si verifichi, le informazioni devono essere accessibili (implementazione di una modalità declassata, rete di back-up, ecc.)
Il BCP assume la forma di un piano d'azione, attuato dal vostro reparto IT o con l'aiuto di un fornitore di servizi esterno. Le misure previste garantiscono la continuità delle attività e dei processi aziendali critici, senza perdita di dati o interruzione delle operazioni. Copre una serie di risposte relative a
- il backup: incrementale o differenziale, locale o in cloud (cloud privato, cloud pubblico o cloud ibrido);
- lo scudo formato da antivirus, antispam e firewall per proteggere il software e i dati aziendali;
- i vostri fornitori: fornitori di servizi, società di hosting, ecc. Quali garanzie avete in caso di fallimento? In termini di assicurazione? In termini di accessibilità? Si impegnano a garantire un' elevata disponibilità dei vostri dati? Offrono gestione delle strutture o IaaS (Infrastructure as a Service)?
- ISO 22301, che fornisce un quadro di riferimento per le migliori pratiche in questo settore.
L'implementazione di un piano di continuità operativa si articola in tre fasi:
- identificare i requisiti di continuità aziendale;
- Stabilire la base documentale che definisce tutte le procedure di continuità;
- testare regolarmente il BCP per correggere eventuali carenze o incongruenze.
Un BCP consente di anticipare e ridurre al minimo l'impatto legale, finanziario e di immagine di un disastro che colpisce l'azienda.
Che cos'è un piano di disaster recovery?
Il Disaster Recovery Plan (DRP) può essere implementato come parte di un BCP o indipendentemente. In ogni caso, stabilisce le misure da adottare in caso di incidente, in modo che le attività IT possano essere riprese il più rapidamente possibile, sia in modalità degradata che a piena capacità.
Quando si può prevedere un'interruzione breve, il DRP viene adattato. Si tratta di definire il tempo di inattività massimo accettabile e la perdita massima di dati tollerabile. In particolare, consente di passare l'IS dell'azienda a un sistema di back-up.
L'obiettivo del DRP è rispondere a un rischio con ripercussioni a lungo termine. Specifica come l'azienda sarà in grado di riprendere le normali operazioni, assicurando che il riavvio sia il più ordinato e rapido possibile.
Un semplice backup non è un buon DRP! Può includere :
- la presenza di siti di backup
- la ridondanza dei dati tra i centri dati
- parametri per il riavvio di applicazioni o macchine.
[Perché implementare un BCP o un DRP?
La vostra azienda è interessata da BCP e DRP?
Problemi di cybersecurity
Nell'era della virtualizzazione del cloud computing, tutti conosciamo le dimensioni che può assumere un attacco informatico.
Il 93% delle aziende è stato vittima di tentativi di frode nel 2016.
Questo dato mostra l'intensità della minaccia. L 'hacking è proteiforme: virus, spyware, cavalli di Troia... Qualunque sia il sistema operativo utilizzato, nessuno è immune.
La punta dell'iceberg
L 'hacking può essere utilizzato per il furto di identità, il ransomware, il furto con trasferimento di fondi o lo spionaggio industriale. Queste pratiche hanno un impatto diretto sull'immagine, la competitività e le finanze di un'azienda.
Impatti più profondi
Un danno collaterale meno quantificabile, ma altrettanto dannoso, è l'interruzione del servizio dovuta alla vostra attività. Quando l' infrastruttura IT si blocca, i dipendenti non hanno più accesso ai loro strumenti di lavoro. E il tempo passa: una perdita di peso morto per l'azienda.
Che tipo di rischi corre la vostra azienda?
Più in generale, diversi tipi di crisi gravi possono colpire il sistema informatico di un'azienda e mettere a rischio la continuità del suo business:
- minacce informatiche esterne come un attacco informatico, un virus, un furto di server, ecc;
- un errore di funzionamento
- un guasto hardware o informatico
- problemi di rete o di infrastruttura
- un' interruzione prolungata dell'energia elettrica;
- disastri naturali come inondazioni, incendi, tempeste, ecc.
Qualunque sia la dimensione della vostra azienda, essa è senza dubbio esposta ad alcuni di questi rischi.
L'infografica che segue rivela i rischi di frode e di intrusione nei sistemi informatici delle aziende in Francia. I dati si basano sui risultati di un'indagine condotta su 150 dipartimenti finanziari da Euler Hermes (assicurazione crediti) e dalla DFCG (associazione nazionale dei direttori finanziari e del controllo di gestione).
Effetti a cascata
Lo scenario del disastro
Immaginate che il vostro ERP (Enterprise Resource Planning), il vostro CRM (Customer Relationship Management), il vostro EDM (Electronic Document Management) o addirittura il vostro DB (Database) diventino inaccessibili. Cosa succederebbe? Il reparto IT sarebbe sulle spine, alla ricerca di una soluzione e di riparazioni rapide.
Conseguenze a lungo termine
Alla fine il guasto verrebbe risolto. Tuttavia, alcune informazioni potrebbero andare perse in modo permanente: e-mail, dati dei clienti o moduli d'ordine, ad esempio.
Le conseguenze si farebbero sentire nel tempo. Questi tipi di danni collaterali sono così diversi e di vasta portata che è difficile valutarli nella loro interezza. Possono includere :
- ricadute finanziarie (se le attività commerciali chiave sono costrette a chiudere),
- conseguenze sull'immagine del marchio e sulla soddisfazione dei clienti
- impatti sulle operazioni interne dell'azienda,
- conseguenze legali, ecc.
L'organizzazione si trova ad affrontare difficoltà operative oltre alle sfide quotidiane: infatti, l'80% delle aziende che subiscono un grave disastro informatico chiude entro due anni.
L'obiettivo essenziale dell'implementazione di un BCP o di un DRP è limitare i danni che possono essere causati da un'interruzione dell'attività e garantire la continuità o la ripresa dell'attività aziendale.
Di seguito, vedremo come proteggere l'azienda e come armarsi per salvaguardare la propria attività grazie al DRP e al BCP.
[Come si imposta un BCP o un DRP?
I prerequisiti
Il piano deve descrivere le risorse da impiegare e le procedure da seguire in caso di incidente, alla stregua di un'unità di crisi.
L'azienda deve assicurarsi che i processi di implementazione di un BCP o di un DRP siano affidati a persone o enti con competenze tecniche ed esperienza reale nel settore. A tal fine, il processo può essere intrapreso internamente, se le competenze necessarie sono presenti all'interno dei team, o da un fornitore di servizi specializzato.
Le fasi
La prima fase dell'implementazione di un BCP o DRP consiste nel fare il punto della situazione. Le domande poste a monte aiuteranno a identificare la vulnerabilità dell'azienda, il tipo di situazione che potrebbe trovarsi ad affrontare e la risposta da dare (continuazione delle operazioni, ricorso a un supporto esterno, ecc.) I passi da compiere sono i seguenti:
- analizzare i requisiti in termini di disponibilità dei dati e di processi critici;
- redigere una classificazione delle informazioni e degli asset dell'azienda;
- studiare i rischi a cui è esposto il sistema informativo;
- redigere il piano di continuità operativa o il piano di disaster recovery;
- Definire i processi di governo e gestione della crisi potenziale;
- organizzare e monitorare le fasi di test.
Le migliori pratiche
Valutazione del rischio
Misurare il rischio associato alla perdita del patrimonio informativo significa calcolarne il costo. Dipende dall'entità degli asset IT e dalle pratiche che li circondano.
Effettuare un'analisi esaustiva e sensibilizzare l'opinione pubblica.
I vostri dipendenti consultano i dati relativi al lavoro sui loro terminali informatici personali: smartphone, tablet, computer? Si tratta del cosiddetto BYOD (Bring Your Own Device), una pratica sempre più diffusa.
Se questo è il caso della vostra azienda, dovete estendere le vostre misure di sicurezza a questa pratica. Anche le abitudini devono essere considerate con attenzione. L'uso di chiavi USB, ad esempio, o la capacità di riconoscere un rischio di phishing.
Anche in questo caso occorre lavorare: formare le persone in modo che l'organizzazione si protegga, sia individualmente che collettivamente.
Prevenzione e cura
Agire significa cercare di evitare che un incidente si verifichi. Significa anche sapere cosa fare se si verifica il peggio. È necessario prevedere i diversi tipi di incidenti.
Possono essere legati all'IT o all'hardware: un incendio che fonde i server IT; un'inondazione che rende inutilizzabili i circuiti IT; ecc.
[Soluzioni affidabili per proteggere i vostri dati!
Per mettere in atto un piano di continuità aziendale completo, la vostra azienda deve poter contare su una soluzione di backup affidabile. Sono disponibili diversi pacchetti software, come Trust2Cloud o Beemo Data Safe Restore. Entrambe queste soluzioni forniscono all'azienda un box di archiviazione in rete, noto come NAS (Network Attached Storage), per un più rapido ripristino del sistema in caso di incidente.
Ecco una selezione di altri strumenti che possono aiutarvi a implementare un BCP o un piano di disaster recovery.
BeBackup, una soluzione per tutti
Il software BeBackup si rivolge ai fornitori di servizi IT, consentendo loro di gestire un servizio di backup nel cloud per i propri clienti. Indipendentemente dal tipo di hosting scelto (presso il fornitore di servizi, e/o in un datacenter, e/o presso il cliente), la soluzione offre un livello di sicurezza molto elevato. È possibile scegliere qualsiasi tipo di infrastruttura di backup, a seconda del livello di sicurezza richiesto dai clienti.
I punti di forza di BeBackup :
- Una soluzione ultra-sicura grazie alla crittografia alla fonte (lato agente) dei dati di backup;
- Backup ottimizzato con attività intelligenti sul lato server (controllo dei dati, deduplicazione, replica, ecc.);
- Una console web per la gestione centralizzata di tutti i dati;
- Prezzi interessanti.
BeBackup
UCover by Nuabee, disaster recovery nel cloud
UCover by Nuabee è una soluzione di Disaster Recovery Plan completamente gestita che automatizza il processo DRP. Più che una soluzione di backup, UCover by Nuabee garantisce il ripristino delle attività IT per le PMI e le PMI in caso di incidente o disastro, con la possibilità di riavviare le applicazioni critiche entro poche ore.
L'infrastruttura IT viene modellata nei loro database e, quando viene eseguito un DRP, l'infrastruttura viene automaticamente ricostruita e ripristinata. La soluzione consente inoltre di testare e monitorare regolarmente il ripristino degli ambienti IT nel cloud pubblico. Un vantaggio importante: le risorse IT interne non vengono coinvolte durante le fasi di test.
I punti di forza di UCover di Nuabee:
- Una soluzione affidabile grazie al suo modello industrializzato al 100%, che consente di eseguire i test con grande regolarità;
- Nessun impatto sull'infrastruttura IT originale, quindi nessuna interruzione del lavoro degli utenti durante l'esecuzione dei test;
- Scelta del metodo di backup: agent-based o agentless (tramite hypervisor), a seconda dell'applicazione più pertinente per i vostri server, con la possibilità di un approccio ibrido.
UCover by Nuabee
vSphere, la virtualizzazione per il cloud ibrido
vSphere è una piattaforma di virtualizzazione dei server e il cuore di un Software Defined Datacenter (SDDC), noto anche come "datacenter virtuale". Si tratta di un'infrastruttura IT che viene ricostituita sul web e può essere gestita virtualmente e automaticamente tramite software. vSphere è stato progettato per le aziende che desiderano massimizzare le proprie risorse IT consolidando e ottimizzando le applicazioni.
Nell'ambito di un BCP o di un DRP, la soluzione contribuisce a ridurre i costi e la complessità delle operazioni di disaster recovery e di business continuity, grazie a funzionalità IT sempre disponibili e a un'implementazione agile.
I punti di forza di vSphere :
- Leader di mercato nella virtualizzazione;
- Riduzione dei costi hardware e IT;
- Protezione multilivello contro le interruzioni di servizio e la perdita di dati.
vSphere
Proteggete la vostra attività: rivolgetevi agli esperti!
L'obiettivo di un piano di continuità aziendale è quello di fare tutto il possibile per mantenere la vostra attività in funzione. Valutando i rischi di perdita di dati o di interruzione del servizio, siete in grado di mettere in atto misure per proteggere la vostra azienda.
Implementando un BCP o un DRP, vi date i mezzi per limitare qualsiasi danno al vostro sistema informativo attraverso un'organizzazione e procedure precise per ridurne l'impatto. La scelta del piano di ripristino dipende dalla criticità delle vostre capacità informatiche: opterete per un BCP se il loro mantenimento è essenziale per la sopravvivenza della vostra organizzazione o, se è ipotizzabile una ripresa graduale delle vostre attività dopo un'interruzione del servizio, implementerete una strategia DRP.
In tutti i casi, il processo di implementazione della continuità operativa o del ripristino è complesso e sofisticato. Dovrà essere affidato a risorse interne competenti o esternalizzato a fornitori di servizi con le competenze necessarie.
E voi? I vostri sistemi informatici sono pronti ad affrontare le conseguenze di un evento potenzialmente dannoso per la vostra azienda? Cosa avete messo in atto, o state pianificando di mettere in atto, in termini di continuità operativa o di ripristino?
Articolo aggiornato, pubblicato originariamente nel maggio 2017.
Articolo tradotto dal francese