Resilienza, contro gli attacchi informatici: linee guida per le aziende

La capacità di resistere a un attacco è una prerogativa che può garantire la sopravvivenza di un’organizzazione. Sono tuttavia ancora poche le organizzazioni che hanno fra i loro obiettivi la resilienza e l’essere resilienti.

Diffusa è infatti la convinzione che difficilmente la propria organizzazione possa costituire l’obiettivo di un attacco terroristico o di un cyber attacco.

In realtà le notevoli interdipendenza e interconnessioni oggi esistenti fra i vari attori della vita civile e produttiva rendono le organizzazioni sempre più vulnerabili anche a questi eventi. È quindi opportuno comprendere quali siano le strategie utili ad aumentare la resilienza di una organizzazione.

Il concetto di resilienza

Il concetto di resilienza di una organizzazione si può mutuare dalle definizioni che di tale termine danno i maggiori dizionari, come il Treccani:

1. Nella tecnologia dei materiali, la resistenza a rottura per sollecitazione dinamica, determinata con apposita prova d’urto: prova di r.; valore di r., il cui inverso è l’indice di fragilità.
2. Nella tecnologia dei filati e dei tessuti, l’attitudine di questi a riprendere, dopo una deformazione, l’aspetto originale.
3. In psicologia, la capacità di reagire di fronte a traumi, difficoltà ecc.

o il Garzanti:

1. (fis.) proprietà dei materiali di resistere agli urti senza spezzarsi, rappresentata dal rapporto tra il lavoro necessario per rompere una barretta di un materiale e la sezione della barretta stessa.
2. Capacità di resistere e di reagire di fronte a difficoltà, avversità, eventi negativi ecc.: resilienza sociale.

Di entrambe le definizioni prendiamo in considerazione l’ultimo capoverso, che considera la resilienza come la capacità di reagire di fronte ad un evento avverso. useremo questo concetto per descrivere la capacità di un’organizzazione di sopravvivere a un attacco terroristico di tipo tradizionale o cyber e in tale contesto tale concetto appare quasi sinonimo di quello di continuità operativa.

In realtà un’organizzazione dovrebbe essere resiliente anche rispetto a molte altre tipologie di avversità, quali potrebbero essere la congiuntura economica, l’evoluzione del mercato, i cambiamenti tecnologici.

Essere resilienti per resistere a un attacco

Com’è noto il rischio è un prodotto fra la probabilità di accadimento di un evento avverso e il danno provocato a un’organizzazione nel caso in cui l’evento abbia effettivamente luogo.

La probabilità di accadimento è a sua volta funzione di altri fattori, quali ad esempio la presenza di vulnerabilità intrinseche, la presenza di minacce, la predisposizione di adeguate contromisure.

Oltre alla tradizionale formula del rischio:

RISCHIO = PROBABILITÀ x DANNO

si possono reperire in letteratura formule più complesse, nelle quali compaiono altri fattori, come quelli appena citati e il rischio viene rappresentato come una funzione di tali fattori:

RISCHIO = f(Probabilità, Danno, Vulnerabilità, Minacce)

In realtà le due formule sono sostanzialmente analoghe, ma nella seconda sono esplicitati fattori che nella prima sono impliciti, quali minacce e vulnerabilità.

La valutazione del proprio grado di esposizione è legata al tipo di minaccia.

Nel caso di minacce determinate da eventi naturali (un terremoto, un uragano…) queste sono intrinseche nella collocazione dell’organizzazione e determinabili come probabilità di accadimento dai dati storici (se esistenti) o mediante strumenti matematici.

Per quanto attiene le minacce determinate da azioni volontarie, come appunto un attacco terroristico, queste dipendono da un lato dall’appetibilità dell’organizzazione (quali vantaggi otterrebbe l’attaccante colpendo l’organizzazione) e dall’altro dalla facilità con cui l’attaccante può raggiungere il suo scopo.

Poiché è difficile rendere poco appetibile la propria organizzazione agli occhi di un potenziale attaccante se questa lo è intrinsecamente (ad esempio un’infrastruttura critica), si deve operare mediante l’adozione di opportune contromisure, al fine di rendere un attacco il più possibile difficile, costoso e inefficace.

Purtroppo le organizzazioni non hanno una chiara idea di quanto possano essere appetibili a un tale tipo di attacco e valutano che solo le grosse istituzioni o le infrastrutture critiche possano costituire un bersaglio da colpire (In questo articolo si tratta specificatamente di attacchi e non anche di azioni terroristiche di altra natura, quali ad esempio l’alterazione di prodotti di un’organizzazione –prodotti alimentari per la GDO – che hanno la finalità di ledere l’immagine di una organizzazione o finalità estorsive).

Resilienza: le valutazioni giuste per saper resistere ad un attacco

È tuttavia necessario considerare due diversi fattori in questa valutazione.

Il primo riguarda specificatamente i cyber attacchi (i quali non necessariamente sono attacchi con finalità terroristiche) che, come mostrano i dati reperibili in letteratura (Rapporto CLUSIT sulla sicurezza ICT in Italia, CLUSIT edizioni 2016 e 2017), non solo sono in costante aumento, ma sono anche largamente diffusi in tutti i settori oltre che diretti verso le organizzazioni di qualunque dimensione.

Il secondo aspetto riguarda dipendenze e interconnessioni che sempre di più legano fra loro le varie organizzazioni e che si ripercuotono anche sulla probabilità di un attacco.

Diverse sono le tipologie di attacco che un’organizzazione può subire, così come le relative conseguenze.

Si può andare dalla distruzione fisica di edifici, impianti, infrastrutture ottenute mediante un ordigno esplosivo o più semplicemente mediante un incendio provocato ad arte, alla temporanea indisponibilità e inagibilità di un sito produttivo ad esempio mediante l’uso di sostanze contaminanti.

Periodi limitati d’inagibilità di una struttura possono essere ottenuti da un attaccante anche con un impegno molto limitato, con una semplice telefonata e un falso allarme bomba. In questo particolare momento storico, infatti, anche la semplice ipotesi di essere sotto attacco può avere ripercussioni imprevedibili, come i recenti fatti di Torino hanno dimostrato.

Oltre agli attacchi diretti all’organizzazione è possibile per l’attaccante ottenere risultati più o meno significativi intervenendo sulle infrastrutture a servizio dell’organizzazione (distruggendo ad esempio le cabine di alimentazione elettrica o per le comunicazioni) o sulla catena di fornitura.

Non vanno poi dimenticati gli attacchi portati a un’organizzazione operando sulle sue figure chiave, che non necessariamente sono i vertici della stessa, ma possono essere i soggetti senza i quali l’organizzazione stessa non può operare. Anche in questo caso l’attaccante ha ampia e di solito facile scelta nel poter operare. Tali soggetti (e i loro familiari, nel caso in cui la tecnica di attacco non consista nel rendere indisponibile la figura chiave, ma nel suo uso pilotato) sono infatti raramente soggetti a una qualche forma di protezione.

Ulteriore tipologia di soggetti che possono essere utilizzati sotto costrizione come strumento di attacco sono quelle figure che, pur non essendo figure chiave nel senso prima espresso, svolgono una attività che consente loro di arrecare un grave danno all’organizzazione (ad esempio un amministratore di sistema).

Un caso a parte meritano gli attacchi cyber in quanto, come vedremo oltre, la loro gestione non può avvalersi esclusivamente delle comuni tecniche di resilienza dei sistemi informativi (traducibile in alta affidabilità/disponibilità).

Resistere ad un attacco contro obiettivi esterni connessi all’organizzazione

Fino a questo momento sono stati analizzati i soli casi nei quali sia l’organizzazione stessa a essere l’obiettivo mirato di un attacco.

Proprio in virtù dei principi di dipendenza e interconnessione sempre più spinti che contraddistinguono la nostra realtà, un’organizzazione può subire pesanti ripercussioni anche da un attacco terroristico che abbia come obiettivo soggetti direttamente (o anche indirettamente) a essa connessi.

Un attacco a un’infrastruttura critica potrebbe avere ripercussioni su una pluralità di organizzazioni (in particolare le linee di trasporto dell’energia, quali tralicci o oleodotti, sono da sempre un obiettivo facile da colpire e difficili da presidiare) per tempi più o meno prolungati.

Anche eventi apparentemente lontani dagli interessi di un’organizzazione possono in realtà inficiarne la capacità operativa. Si pensi ad esempio a un attacco portato a un centro commerciale nel quale siano coinvolte una o più figure chiave di un’organizzazione.

Le probabilità che una qualunque organizzazione possa subire delle ripercussioni in seguito ad un attacco terroristico sono quindi molto maggiori di quanto le stesse siano tradizionalmente portate a pensare.

Del resto, se già la cultura della sicurezza appare scarsa nella maggior parte delle organizzazioni, quella della resilienza appare per lo più assente e solo grazie a una normativa sempre più attenta a tale aspetto si iniziano a vedere alcuni risultati anche se limitati ad ambiti molto settoriali (Il sistema bancario italiano, ad esempio, dispone dal 2004 di una specifica normativa sulla continuità operativa, oggi parte integrante della Circolare 285 di Banca d’Italia. Il Codice per l’Amministrazione Digitale ha introdotto con l’articolo 50-bis l’obbligo della Continuità operativa per le PA: tale previsione non è presente nel CAD attualmente in vigore).

Esempi di attacchi diretti e indiretti che possono avere impatto su un’organizzazione.

I consigli per implementare la continuità operativa

Sempre più spesso, dunque, la continuità operativa di un’organizzazione è condizionata dal corretto funzionamento del suo sistema informativo. E ciò è ancor più vero quando si parla di continuità dei servizi IT.

Volendo dare un esempio pratico, possiamo riferirci al settore bancario che ha una specifica normativa dal 2004; in seguito altri settori, come la PA, hanno emesso specifiche normative sulla continuità operativa.

Va comunque precisato che entrambe le normative, pur dando larga enfasi alla continuità del sistema informativo, hanno come punto di attenzione la continuità della organizzazione nel suo complesso, anche per le parti non strettamente IT.

È in questo contesto che hanno fatto la loro comparsa termini come alta affidabilità (alta disponibilità), disaster recovery (nel seguito DR) e business continuity (nel seguito BC): concetti molto diversi fra loro, ma tutti orientati a garantire la continuità di un servizio (vedi Tabella 2). È importante che questi termini siano condivisi nel loro significato fra tutti gli attori, siano essi interni o esterni, coinvolti nella progettazione, realizzazione e gestione di una soluzione atta a garantire la resilienza di un’organizzazione.

Andiamo ad analizzarli nel dettaglio.

Tabella 1 – I termini della continuità operativa

Garantire la continuità di erogazione di un servizio

L’alta affidabilità è la capacità di un sistema di resistere a situazioni locali, anche estese di guasto (perdita di un singolo componente di un server: disco, alimentatore, scheda di rete…, di un intero server, di un apparato di rete, di un intero locale CED), tali da consentire la continuità nell’erogazione del servizio.

In questi casi, le soluzioni normalmente adottate si basano sulla duplicazione degli elementi e sulla predisposizione di infrastrutture in grado di contrastare i rischi più comuni (mancanza di alimentazione, incendio, allagamento…). Si va dalla semplice ridondanza dei componenti, fino alla replica di un intero gruppo di server o alla replica di interi locali CED, collocandoli in posizioni tra loro più o meno geograficamente distanti.

Il concetto stesso di ridondanza può interessare gli impianti di alimentazione elettrica, il cablaggio di rete, i sistemi di condizionamento e tutti gli altri apparati che servono a garantire il corretto funzionamento degli apparati IT, gli apparati di rete e la rete geografica (instradata su percorsi diversi e spesso di differenti operatori).

Tutto, ovviamente, commisurato al risultato che si desidera ottenere e al rapporto fra i costi e i benefici attesi. In una piccola/media organizzazione, ad esempio, la ridondanza dei server non viene in genere messa in pratica, mentre in ambito bancario è all’ordine del giorno la duplicazione di intere stanze del CED, nello stesso edificio o in edifici vicini in un campus di dimensioni limitate. Una soluzione, questa, che consente di mantenere con facilità un sincronismo dei dati, che sono duplicati o replicati nel continuo due o più volte sui vari dispositivi di storage.

Una differenza di policy applicativa giustificata in parte dal fatto che la ridondanza dei vari apparati può essere molto costosa. Bisogna comunque tenere sempre ben presente che è assolutamente indispensabile evitare che esistano componenti non ridondati il cui guasto possa compromettere tutta l’architettura.

Così come errori da evitare sono anche il posizionamento delle batterie tampone all’interno del CED, il posizionamento di apparecchiature elettriche sotto un condizionatore che potrebbe perdere liquidi, la mancanza di un accordo formalizzato con un fornitore per un rifornimento garantito di carburante anche nel week end, la mancata ridondanza dell’impianto di condizionamento e via dicendo.

Il CED, inoltre, per quanto possibile dovrebbe essere raggiungibile e gestibile da remoto, onde evitare un’interruzione del servizio derivante dalla irraggiungibilità o inagibilità fisica dello stesso. Se non fosse che chi progetta l’alta affidabilità pensa solitamente che sia sufficiente garantire che gli apparati del CED possano restare operativi anche in situazioni critiche, dimenticandosi di porre sotto gruppo di continuità le postazioni utente o l’illuminazione degli uffici: la conseguenza è che i servizi del CED sono attivi, ma nessuno può utilizzarli.

Le tabelle 2 e 3 riepilogano alcuni degli aspetti che è necessario considerare per garantire l’alta affidabilità.

Tabella 2 – Elementi per garantire l’alta affidabilità di un CED

Tabella 3 – Elementi per garantire l’alta affidabilità di una postazione di lavoro informatizzata

Disaster recovery: ecco le possibili soluzioni

Sarebbe comunque un errore confondere l’alta affidabilità con il DR. Un danneggiamento esteso, che comprometta il corretto funzionamento del sito primario (o la sua agibilità), richiederà necessariamente la disponibilità di un sito alternativo dove poter ripartire. Una copia di dati, sistemi, applicazioni, configurazioni e relativa documentazione dovrà quindi essere sempre disponibile e utilizzabile, in un luogo adeguatamente lontano dal sito principale.

Non bisogna mai lasciare incertezze nella corretta gestione dei casi di emergenza, tenendo sempre bene a mente che tra la situazione estrema e quella di regolare erogazione dei servizi ci sono molti stadi intermedi.

Inoltre, nella pratica esistono situazioni di malfunzionamento del sistema informativo per le quali né l’alta affidabilità, né il DR costituiscono un rimedio.

Pensiamo, ad esempio, alle problematiche derivanti da un attacco cyber: in questi casi, anche un semplice malfunzionamento di un applicativo può bloccare per ore l’erogazione di un servizio IT. Occorre valutare adeguatmante questo aspetto per distinguere la vera emergenza dalla normale operatività.

Per quanto attiene alle possibili soluzioni per il DR, queste variano moltissimo, in funzione della architetture, dei tempi di ripristino richiesti, dei budget allocati (si veda al riguardo la tabella 4).

Per una piccola/media organizzazione il DR può essere costituito dalla copia di dati, applicazioni, configurazioni e da un adeguato contratto di assistenza che consenta di ripristinare nel più breve tempo possibile l’uso di server e apparecchiature, installandovi le copie dei dati e del software precedentemente salvati.

La cosa più importante in questo caso è disporre dell’opportuna documentazione di tutte le configurazioni presenti.

È pertanto necessario predisporre un vero e proprio piano di DR nel quale occorre specificare dettagliatamente gli strumenti da adottare e le azioni da eseguire in via preventiva (in fase di progettazione e implementazione) e in caso di incidente, sia da parte degli operatori incaricati di gestire l’ordinaria amministrazione, sia da quelli responsabili della riattivazione del sito secondario (questi ultimi è buona norma che non siano quelli che gestiscono il sito primario, in quanto potrebbero risultare non disponibili proprio in conseguenza dell’incidente che ha coinvolto tale sito). Il piano deve essere costantemente aggiornato e verificato, cosa che può risultare particolarmente onerosa e complessa.

Le best practice per la realizzazione del sito secondario

Esistono criteri ben definiti che un’organizzazione deve seguire qualora decida di attrezzarsi con due siti alternativi. Innanzitutto, i siti primario e secondario devono essere sufficientemente distanti per garantire il non coinvolgimento contemporaneo degli stessi da un evento distruttivo esteso, tipo un terremoto. La scelta della corretta dislocazione del sito secondario, inoltre, dovrebbe tener conto anche della facile raggiungibilità dello stesso da parte del personale che dovrà poi gestirlo e dei bassi tempi di percorrenza.

Una buona soluzione consiste nel prevedere la possibilità di gestione remota del sito dopo la sua attivazione, cosa che risulta molto favorita dalle scelte che puntano sull’outsourcing del servizio includendovi anche il supporto del personale tecnico. In questo caso, particolare attenzione va data agli aspetti contrattuali e al tipo di servizio offerto. Molto spesso, infatti, l’outsourcer “vende” spazi e potenza elaborativa da utilizzare in caso di emergenza a più clienti contemporaneamente. Diventa quindi importante valutare quale sia l’effettiva garanzia di continuità offerta dai fornitori, in particolare nei casi in cui molti clienti della stessa area geografica siano interessati da uno stesso evento dannoso e richiedano contemporaneamente l’attivazione del proprio servizio di DR (nel caso in cui il fornitore abbia impegnato le stesse risorse per fornire analoghi servizi ad altre aziende, in particolare se situate nella stessa zona, sono stabilite cautele contrattuali per evitare il rischio che, in caso di esigenze concomitanti di altre organizzazioni, le prestazioni degenerino o il servizio si renda di fatto indisponibile. Circolare 285 di Banca d’Italia).

Tabella 4 – Possibili soluzioni per il DR Fonte: Linee Guida per il Disaster Recovery (DR) delle PA

Da quanto detto finora, è evidente come il fatto di avere sistemi già attivi nel sito di DR garantisce di solito tempi di ripartenza più contenuti, ma soprattutto l’effettivo funzionamento dei sistemi.

Per una evidente ragione di costi e opportunità, inoltre, un sito di DR può non contenere tutti gli elementi del sito primario. Per lo stesso motivo un’organizzazione può decidere di non garantire lo stesso livello di servizio quando questo è offerto dal sito primario o da quello secondario. Rimane tuttavia fondamentale, nella individuazione dei componenti che costituiranno il sito secondario, includere non solo i componenti più critici per l’attività della organizzazione, ma anche quelli architetturali a loro supporto. È infatti poco utile ripristinare un mainframe con relative applicazioni e dati, se non si ripristina il sistema che consente agli utenti di raggiungerlo (ad esempio il sistema di autenticazione e di instradamento).

È evidente che quanto più un sistema è complesso, tanto più è difficile che la ripartenza avvenga senza problemi (salvo il caso in cui i due siti siano contemporaneamente attivi e allineati). Essendo infatti impossibile gestire una ripartenza in blocco di tutti i sistemi e applicazioni di un CED di medie dimensioni si possono generare dei disallineamenti fra i dati in quanto un’applicazione ripristinata potrebbe inoltrare (o aspettare) flussi di dati da applicazioni non ancora ripristinate. Va inoltre considerato che difficilmente un sistema informativo di una certa complessità non scambi flussi con applicazioni di outsourcer e fornitori, che devono essere raggiungibili anche dal sito di DR.

La resilienza agli attacchi cyber

Gli strumenti utili a garantire l’Alta affidabilità solo parzialmente permettono di garantire una resilienza nei confronti di attacchi cyber. Analogamente vale per le soluzioni di DR. Ad esempio un attacco di tipo ransomware potrebbe comportare la indisponibilità dei dati sia sul sistema primario, sia sulle repliche (Al riguardo è necessario prevedere che i collegamenti verso gli outsourcer e i loro siti di DR possano avvenire parimenti sia dal proprio sito primario, sia dal proprio sito secondario) dei dati presenti nel sito secondario.

La resilienza rispetto a tale tipologie di attacco viene implementata mediante l’adozione sia di una serie di misure preventive, quali opportuni strumenti per la protezione perimetrale (firewall, IDS, IPS, antivirus…) sia da un’attività di monitoraggio continuo (quasi sempre assente in quanto molto onerosa dal punto di vista delle risorse richieste).

La costruzione e conduzione di un sistema di monitoraggio richiede la creazione di un System Information and Event Management (SIEM) nel quale far confluire informazioni provenienti ad esempio da:

• apparati di sicurezza (firewall, IDS/IPS, sistemi antivirus di varie tipologie);
• eventi di sicurezza provenienti dai sistemi server (Windows, Linux…);
• log di audit provenienti da DMBS;
• bilanciatori web e reverse proxy web;
• sistemi dedicati alla navigazione web degli utenti;
• sistemi di autenticazione;
• audit e tracking dei sistemi di posta elettronica;

e richiede la presenza di personale specializzato, capace di analizzare la grande quantità di informazioni raccolte, che devono necessariamente essere precedentemente filtrare mediante criteri dettati dall’esperienza.

Contestualmente è necessario disporre di una procedura per la gestione degli incidenti di sicurezza informatica che, nei casi più gravi, si deve raccordare con quella per la gestione della continuità operativa.

Anche in questo caso le organizzazioni di dimensioni più contenute potrebbero essere maggiormente tutelate esternalizzando il proprio sistema informativo mediante l’utilizzo di soluzioni cloud, su piattaforme quindi opportunamente presidiate anche dal punto di vista della sicurezza.

La sicurezza delle infrastrutture e delle persone

Per garantire un’adeguata protezione a edifici e infrastrutture è necessario affidarsi a un insieme di misure di sicurezza attive e passive, fra loro coordinate e periodicamente verificate (si vedano al riguardo le tabelle 5 e 6).

Tabella 5 – Protezione di un edificio (Fonte: Sicurezza totale, G.Butti – ITER)

Tabella 6 – Protezione di un CED (Fonte: Sicurezza totale, G.Butti – ITER)

Le misure di sicurezza devono proteggere da possibili infrazioni sia mediante l’uso di barriere fisiche, sia mediante l’utilizzo di sensori, sistemi di videosorveglianza, servizi di vigilanza e via dicendo.

L’impostazione di questa tipologia di misure sicurezza è solitamente tesa a proteggere gli asset in quanto tali, per il loro valore intrinseco piuttosto che in una prospettiva di resilienza. È quindi opportuno, se si desiderano proteggere le proprie infrastrutture dalle conseguenze di un attacco (o nel caso in specie di prevenirlo), riesaminare le proprie misure di sicurezza specificatamente per tale finalità (si consideri ad esempio l’importanza che rivestono le infrastrutture per l’energia o per le comunicazioni).

Altra cosa sono le misure messe in atto per resistere alle possibili conseguenze di un attacco, in particolare le misure antincendio. Anche in questo caso l’analisi dei rischi per definire dove intervenire dovrebbe considerare in prima battuta la protezione non degli asset che abbiano il maggior valore intrinseco, ma di quelli che sono indispensabili a garantire la continuità. È evidente che molto spesso non si tratta della stessa tipologia di asset e che quindi la scelta di un’organizzazione nell’individuare quali beni meritino un maggior livello di protezione è spesso legata alla cultura della resilienza da essa posseduta.

Queste misure possono risultare del tutto inefficaci se a portare l’attacco è una persona che ha libero accesso all’organizzazione e in particolare a locali vitali per l’organizzazione stessa. Le organizzazioni hanno di solito una scarsa sensibilità in questo senso e permettono ad esempio la presenza anche di un solo operatore all’interno di un CED altrimenti blindato. Tali pratiche vanno riconsiderate; indipendentemente dalla affidabilità del singolo operatore, si deve infatti valutate la possibilità che lo stesso possa operare sotto costrizione.

Alcune delle misure fino a qui esposte premettono anche di tutelare il personale che opera presso l’organizzazione. Tuttavia le figure chiave di un’organizzazione non possono di norma usufruire di una protezione che si estenda al di fuori dell’ambiente di lavoro. Sono quindi necessarie misure di prevenzione attuabili sia mediante un’opportuna sensibilizzazione e formazione dei soggetti potenzialmente esposti, sia rendendo l’organizzazione il più possibile indipendente rispetto a tali soggetti, che devono risultare “rimpiazzabili” senza grossi traumi per l’organizzazione stessa.

Fra le misure da attuare in tal senso vi è sicuramente la formalizzazione del know how detenuto da tali soggetti, affinché diventi effettivo patrimonio dell’organizzazione (tale attività non sempre è di facile attuazione, anche a causa delle resistenza di tali soggetti che sono consapevoli del loro ruolo). La formalizzazione del capitale intellettuale di una organizzazione in file e documenti, oltre a tutelarla rispetto alla perdita di figure chiave, consente alla stessa di proteggere tali asset.

Le soluzioni di business continuity

Quello della business continuity è un tema più ampio e complesso della semplice capacità di ripristinare il sistema informativo di un’organizzazione.

La Circolare 285 emanata dalla Banca d’Italia, ad esempio, ha previsto che le banche debbano predisporre un piano di BC che prende in considerazione diversi scenari di crisi basati almeno sui seguenti fattori di rischio, conseguenti a eventi naturali o attività umana, inclusi danneggiamenti gravi da parte di dipendenti:

• distruzione o inaccessibilità di strutture nelle quali sono allocate unità operative o indisponibilità di personale essenziale per il funzionamento dei processi aziendali;
• interruzione del funzionamento delle infrastrutture (tra cui energia elettrica, reti di telecomunicazione, reti interbancarie, mercati finanziari);
• alterazione o perdita di dati e documenti critici;
• apparecchiature critiche;
• indisponibilità di sistemi informativi critici.

È evidente come tali scenari interessano anche tutte le altre organizzazioni che erogano servizi o per le quali la gestione delle informazioni costituisce una componente essenziale per garantire la produzione. Per le aziende manifatturiere tali scenari andrebbero integrati aggiungendo, ad esempio, l’indisponibilità di una linea di produzione o la mancanza di semilavorati o materie prime.

In generale la capacità di continuare la propria attività è condizionata almeno dai seguenti fattori:

• disponibilità di strumenti;
• disponibilità di informazioni;
• disponibilità dei collaboratori (in particolare delle figure chiave);

ai quali si aggiungono per le aziende di produzione:

• disponibilità di materie prime, semilavorati, infrastrutture, impianti…

Deve essere inoltre disponibile un edificio con le opportune infrastrutture in cui collocare quanto sopra.

Molte delle informazioni di cui è necessario disporre per predisporre soluzioni di continuità operativa dovrebbero già essere disponibili presso le organizzazioni in quanto necessarie per il rispetto di altre normative (l’attuale normativa privacy prevedeva per la compilazione del DPS una discreta mappatura delle informazioni presenti nell’organizzazione, dei documenti, del sistema informativo; il nuovo Regolamento europeo sulla privacy, GDPR – Regolamento (UE) 2016/679, richiederà una analoga mappatura, ma molto più dettagliata.

È infatti necessario mappare:

• sistema informativo;
• archivi elettronici;
• documenti;
• processi e attività;
• struttura organizzativa;
• controparti.

Le verifiche effettuate nel corso della mia attività di consulenza presso numerosissime organizzazioni dei più disparati settori e dimensioni hanno di fatto evidenziano le seguenti carenze:

• mancanza di documentazione;
• assenza di una mappatura e formalizzazione dei processi;
• parti di processi chiave non documentate;
• eccessivo ricorso a figure chiave, in particolare nelle organizzazioni medio piccole;
• ampio uso di applicazioni di operatività individuale in aggiunta al sistema informativo dell’organizzazione;
• dispersione nella archiviazione dei file, molto spesso collocati anche sui singoli pc in uso ai collaboratori;
• assenza di un censimento della documentazione presente al di fuori del sistema informativo;
• mancanza di qualunque classificazione delle informazioni.

Inoltre, molte delle informazioni che servono a una organizzazione sono ancora presenti unicamente al di fuori del sistema informativo; vi è ancora un largo uso di documenti, spesso per esigenze legali e contrattuali.

Tali documenti rivestono particolare rilevanza per un’organizzazione, ma nessuno si preoccupa di custodirne una copia in un luogo diverso dal sito principale (analogamente a quanto dovrebbe avvenire per le copie di backup), o di procedere a una loro digitalizzazione o meglio ancora alla loro eliminazione sostituendoli con documenti informatici di analoga valenza legale.

Anche nel caso di una adeguata documentazione, quello che si riesce a mappare è comunque solo la componente esplicita del patrimonio informativo dell’organizzazione, la parte cioè formalizzata. La componente implicita, patrimonio molto spesso di singoli collaboratori come precedentemente espresso, è esclusa da questo censimento, salvo poi costituire l’elemento chiave per consentire o no la ripresa dell’attività.

Anche il legislatore se ne è accorto e uno degli scenari previsti da Banca d’Italia è proprio l’indisponibilità di personale essenziale per il funzionamento dell’organizzazione.

Nell’accezione bancaria si tratta del personale che presiede i processi critici o vitali (molto spesso legati all’area finanza), che in un corretto piano di business continuity è sostituibile con altro personale che abbia le stesse competenze, che possibilmente utilizzi gli stessi strumenti e che possibilmente operi in un’altra località (in questo modo viene coperto anche lo scenario della indisponibilità di un sito, in quanto spesso i due eventi sono fra loro collegati).

Nel caso di una piccola organizzazione può essere difficile trovare un idoneo sostituto di una figura chiave ed è per questo motivo che, come precedentemente illustrato, i processi critici o vitali dell’organizzazione dovrebbero essere il più possibile documentati (il tutto da conciliare con le indispensabili esigenze di riservatezza).

Alcune tipologie di servizi conservano rilevanti quantità di documenti, quasi sempre in originale, che in caso di distruzione (incendio, alluvione…) comportano da una lato danni gravissimi per i clienti e dall’altro un costo enorme per la ricostruzione degli stessi (dove possibile) e per la ripresa dell’attività.

Nel caso specifico, un semplice accorgimento come la conservazione delle sole copie (lasciando ai clienti la responsabilità della conservazione degli originali) ridurrebbe drasticamente i rischi e consentirebbe una più agevole ripresa del lavoro.

Altro punto di difficile attuazione per una piccola e media organizzazione è la predisposizione di soluzioni relative a una scenario come la distruzione o l’inaccessibilità di strutture nelle quali siano allocate unità operative o apparecchiature critiche. Per una società di servizi parte del problema può essere risolto de localizzando i sistemi presso un outsourcer o facendo ricorso a soluzioni cloud e predisponendo come possibili fonti di accesso postazioni mobili o telelavoro.

Le soluzioni cloud costituiscono probabilmente oggi una delle soluzioni più precorribili per le piccole e medie organizzazioni, per aumentare considerevolmente la propria resilienza esternalizzando i propri sistemi informativi, con la possibilità di includere nel servizio anche la loro continuità operativa.

Non mancano anche esempi concreti di società manifatturiere che hanno saputo esternalizzare molte attività (dalla progettazione alla produzione) concentrando in spazi molto limitati le sole attività di coordinamento e marketing.

Esternalizzazione, diversificazione anche geografica delle unità produttive, così come diversificazione dei fornitori, costituiscono alcune delle possibili strategie di continuità (si veda la tabella 8) anche per le aziende di produzione.

Tabella 7 – Strategie per la gestione della continuità produttiva

Tabella 8 – Strategie per la gestione della continuità della catena di fornitura

Le attività di test: a cosa servono e come eseguirle

Per confermare il corretto funzionamento delle soluzioni implementate e di individuare le criticità al fine di risolverle è opportuno effettuare alcune attività di test, svolte (gradualmente) anche in condizioni che rispecchino situazioni critiche reali, come i periodi di ferie o importanti attività di manutenzioni dei sistemi, partendo dalle verifiche dei singoli componenti di un sistema, sia quelli del sito primario, sia quelli del sito secondario (nel caso in cui sia attivo un sito di DR) fino al test complessivo dell’intero sito.

Vanno testati tutti gli impianti e gli elementi ridondati. Tali attività vanno però eseguite con “intelligenza”. Emblematico è il caso dei test dei gruppi elettrogeni, che si risolve nella maggior parte dei casi con una prova annuale del loro corretto funzionamento per un tempo molto limitato. La conseguenza di questa modalità di svolgimento del test è che il carburante permane nei serbatoi anche per anni, con effetti deleteri sulle valvole e sul galleggiante che misura il livello di carburante. Il risultato è che in un vera emergenza l’erogazione del carburante può bloccarsi per un malfunzionamento di uno di questi componenti del valore di pochi euro, vanificando così tutto il lavoro svolto.

È piuttosto raro che le organizzazioni, anche molto grandi, dispongano in autonomia di un sito di DR; molto più spesso ricorrono a servizi in outsourcing, nel qual caso la possibilità di effettuare dei test è condizionata dalla disponibilità dei tecnici del fornitore e dagli spazi dove allocare le proprie risorse presso l’outsourcer.

Il periodo per compiere i test è pertanto limitato a pochi giorni in un anno. Per ovviare a questo inconveniente è opportuno prevedere lo svolgimento di test anche presso la propria struttura. Ad esempio, la verifica puntuale della leggibilità e capacità di ripristino dei singoli componenti dei sistemi può essere fatta anche in locale, isolando opportunamente porzioni adeguate del sistema.

Le modalità di svolgimento dei test di continuità operativa possono comprendere anche esercizi prettamente teorici, dedicati in particolare a verificare la preparazione del personale coinvolto e delle procedure di invocazione e gestione della crisi.

Tabella 9 – Esempi di tipologia di test

Resilienti per legge: come essere GDPR compliant

Sia in modo diretto, sia in modo indiretto (tutelando ad esempio i dati personali oggetto di trattamento) le normative hanno da diversi anni introdotto vincoli che obbligano le organizzazioni a dotarsi di strumenti che aumentano la loro resilienza, quantomeno per quanto riguarda gli aspetti IT.

In particolare tutte le organizzazioni sono soggette a vincoli normativi che regolamentano la capacità di ripristino e di accesso ai dati e ai sistemi predisponendo soluzioni che consentano una protezione delle informazioni in caso di disastro.

Anche se quanto viene richiesto dalla normativa non è un vero e proprio disaster recovery, il D.Lgs. 196/03 (normativa privacy) introduce una serie di prescrizioni (si veda la tabella 10).

Tali prescrizioni sono notevolmente aumentate dal Regolamento (UE) 2016/679 (nuovo regolamento UE sulla privacy – GDPR) che introduce espressamente il concetto di resilienza e suggerisce, come adeguata misura di sicurezza, il ripristino immediato nell’accesso ai dati.

Come più volte ricordato, dal 2004 il sistema bancario italiano è soggetto a una specifica normativa che prevede la predisposizione di piani di BC, mentre il CAD prevedeva tale adempimento anche per le PA.

Oltre alla normativa italiana la richiesta di piani di business continuity trova riscontro anche in altri ambiti, quali ad esempio la Sarbanes-Oxley.

Tabella 10 (a) – Esempi di normativa in ambito continuità operativa

Tabella 10 (b) – Esempi di normativa in ambito continuità operativa

Tabella 10 (c) – Esempi di normativa in ambito continuità operativa

Modelli, standard e loro limiti

Sia la Circolare 285 di Banca d’Italia, sia il CAD danno alcune indicazioni di massima che trovano poi declinazione in una serie di linee guida emesse da ABI LAB e quindi a circolazione limitata al mondo bancario (si vedano al riguardo: Metodologia per la realizzazione del Piano di continuità operativa, ABI LAB, 2004; Linee guida per la manutenzione del Piano di Continuità, ABI LAB, 2007; Linee guida per la gestione della Business Continuity, ABI LAB, 2011) e nelle Linee guida per il disaster recovery delle pubbliche amministrazioni di pubblico dominio. Tali documenti, pur essendo dedicati a banche e PA sono applicabili, per quanto attiene alla metodologia riportata, a qualunque organizzazione.

In particolare, le Linee guida per il disaster recovery delle pubbliche amministrazioni costituiscono un valido e completo strumento per quanti desiderano implementare soluzioni di continuità operativa in particolare per una organizzazione che eroga servizi.

Relativamente a tematiche legate a resilienza, continuità operativa e disaster recovery esistono numerosi standard (si veda tabella 11) ma anche metodologie proprietarie, come quelle proposte dal Business continuity Institute (www.thebci.org).

Comuni alle varie metodologie sono alcuni parametri quali RTO (Recovery Time Objective) e RPO (Recovery Point Objective) che hanno una importanza fondamentale in quanto indicano il primo, il tempo atteso di ripristino dopo un evento dannoso e il secondo, la perdita dati tollerata (nel caso in cui l’evento dannoso comporti una perdita di dati).

Analogamente a quanto richiesto in merito ai termini di Alta affidabilità, DR e BC, anche il significato di RTO e RPO deve essere largamente condiviso fra tutti gli attori coinvolti nel processo di implementazione della continuità operativa.

La valutazione di quelli che siano gli RTO e gli RPO richiesti da un’organizzazione per garantire la propria continuità operativa (a un livello di servizio accettabile) sono definiti mediante una puntuale attività di analisi (BIA – Business Impact Analysis) presso i vari owner di processo. In questo contesto gli RTO e RPO espressi come necessari dai vari owner, sono quelli di un servizio/sistema funzionante e perfettamente operativo. Relativamente ad un sistema informativo questo comporta (in funzione del tipo di soluzione di continuità implementata) ripristinare l’infrastruttura, le applicazioni, i dati e validare il tutto. Se queste attività, come accade nella maggior parte dei casi, sono svolte da fornitori diversi, devono essere concordati contrattualmente con questi soggetti, per le specifiche attività di loro competenza, tempi di RTO molto più bassi di quelli attesi dall’owner.

Questi parametri inoltre, per quanto possano essere significativi e universalmente riconosciuti, hanno un limite intrinseco estremamente rilevante che è necessario considerare nella predisposizione delle soluzioni di recovery. Per molte attività il tempo di RTO desiderato non è fisso, ma è legato al momento della giornata o al giorno dell’anno in cui un evento distruttivo avviene. Se ad esempio il sistema informativo di una banca va in fault un’ora prima della chiusura del mercato finanziario anche tempi ristrettissimi di RTO (oggi le banche a rilevanza sistemica devono avere un tempo di ripristino di 4 ore) si rivelano assolutamente inadeguati in quanto in ogni caso non sufficienti a ritornare operativi in tempo utile. Analogamente, un fault del sistema che comporti una interruzione di una elaborazione batch notturna di diverse ore, potrebbe comportare, dopo l’attività di ripristino, la riesecuzione della elaborazione, aumentando considerevolmente il tempo di indisponibilità complessiva del sistema.

È quindi utile inserire un nuovo parametro ad integrazione di quelli prima illustrati, che permetta di definire (nel caso esista) il momento nel quale un’azione di ripristino secondo i tempi predefiniti di RTO non è comunque sufficiente a salvare l’operatività giornaliera.

Modelli e standard sono quindi utili, ma vanno quindi contestualizzati alla realtà considerata.

Tabella 11 – Alcuni degli standard ISO relativi alla continuità operativa

Tabella 12 – I parametri della continuità operativa (ISO 22301)

Le giuste valutazioni per resistere ad un attacco

Un’organizzazione che vuole essere resiliente rispetto a un evento disastroso può oggi contare su strumenti, metodologie e tecnologie consolidate. L’esperienza di settori specifici, come quello finanziario o della PA, dove la continuità operativa è diventato un obbligo normativo, può essere agevolmente trasferita anche in altri ambiti.

Il limite attuale è principalmente di natura culturale e deriva da una scarsa consapevolezza delle organizzazioni circa la loro esposizione, anche indiretta, verso specifiche categorie di minacce, come ad esempio un attacco terroristico o cyber.

Anche in questo ambito quindi, saranno probabilmente gli obblighi normativi coinvolgenti un sempre crescente numero di organizzazioni a rendere più resilienti le singole organizzazioni e di conseguenza l’intero sistema Paese.