Disaster recovery per PMI: cos'è e come si fa un piano
Il disaster recovery è l'insieme di procedure e strumenti che permettono a un'azienda di rimettere in funzione sistemi e dati dopo un incidente grave. Non è un prodotto: è un piano, scritto e provato, che stabilisce cosa ripristinare, in quanto tempo e chi lo fa.
Backup, disaster recovery e business continuity
- Il backup è la copia dei dati. È indispensabile, ma da solo non dice in quanto tempo l'azienda riparte.
- Il disaster recovery è il piano per ripristinare l'infrastruttura informatica: server, applicazioni, dati, collegamenti.
- La business continuity è più ampia: riguarda come l'azienda continua a lavorare durante l'emergenza, comprese persone, sedi e fornitori.
RPO e RTO: i due numeri da decidere
L'RPO (Recovery Point Objective) è la quantità di dati che puoi permetterti di perdere: se è di quattro ore, i backup devono essere eseguiti almeno ogni quattro ore.
L'RTO (Recovery Time Objective) è il tempo entro cui un servizio deve tornare operativo.
Non sono uguali per tutti i sistemi: il gestionale della produzione avrà obiettivi più stretti dell'archivio storico. Più sono bassi, più la soluzione è complessa: vanno decisi in base al costo reale di un fermo.
Un piano in sei passi
- Inventario: elenca sistemi, applicazioni e dati, e chi li usa.
- Priorità: per ognuno stabilisci quanto può restare fermo e quanti dati può perdere.
- Scenari: guasto hardware, errore umano, ransomware, incendio o allagamento, interruzione della connettività.
- Soluzione tecnica: backup con copia fuori sede, replica dei sistemi critici, infrastruttura alternativa su cui ripartire.
- Procedure e ruoli: chi decide, chi esegue, in che ordine si riattivano i servizi, come si avvisano clienti e fornitori. Il documento deve essere consultabile anche se i sistemi sono fermi.
- Prove: un piano mai provato è un'ipotesi. Il ripristino va testato a intervalli regolari e dopo ogni cambiamento importante.
Gli errori che vediamo più spesso
- Backup conservati solo nello stesso edificio dei server.
- Backup raggiungibili dalla rete aziendale, quindi cifrabili da un ransomware insieme al resto.
- Ripristino mai provato: si scopre il problema nel momento peggiore.
- Piano non aggiornato dopo l'arrivo di nuovi sistemi.
- Nessuno sa chi deve fare cosa.
Disaster recovery e normativa
Il GDPR richiede la capacità di ripristinare tempestivamente la disponibilità dei dati personali dopo un incidente. La direttiva NIS2 include backup, ripristino e continuità operativa tra le misure obbligatorie per i soggetti in ambito, e molte aziende le richiedono ai propri fornitori. Approfondisci nella guida NIS2 e PMI.
GARP Cloud progetta e gestisce backup e disaster recovery su misura, con replica fuori sede e test periodici di ripristino.
Domande frequenti
01. Il disaster recovery è obbligatorio per una PMI?
Non esiste un obbligo generale, ma il GDPR richiede di poter ripristinare i dati personali e la NIS2 lo impone ai soggetti in ambito. Al di là delle norme, è ciò che determina se dopo un incidente l'azienda riparte in ore o in settimane.
02. Serve un secondo datacenter?
No. Per una PMI è sufficiente che copie e sistemi di ripristino si trovino su un'infrastruttura separata da quella principale, ad esempio presso un fornitore cloud.
03. Ogni quanto va provato il piano?
Almeno una volta l'anno per il piano completo e più spesso per il ripristino dei singoli backup, oltre che dopo ogni cambiamento rilevante dell'infrastruttura.
Servizi collegati
Vuoi parlarne con un tecnico?
Raccontaci la tua situazione: ti rispondiamo con indicazioni concrete, senza impegno.
Analizziamo insieme le tue esigenze e progettiamo la soluzione ideale per il tuo business.