La domanda non è se avete un backup. È quando avete provato l'ultima volta a ripristinarlo, e quanto ci avete messo.
Quasi tutte le aziende hanno un backup. Molte meno hanno la certezza che quel backup si ripristini, che contenga anche i sistemi e non solo i file, e che non sia raggiungibile, e quindi cifrabile, dallo stesso attaccante che ha appena preso il controllo del server.
È la differenza fra un incidente da mezza giornata e un fermo da due settimane. Su questo lavoriamo con le PMI dell'Alta Padovana e del Veneto: non tanto sull'acquisto di uno strumento di copia, quanto sul fatto che il ripristino sia una procedura provata e non una speranza.
Almeno una copia deve stare fuori dalla portata delle credenziali che governano i sistemi di produzione, e non deve poter essere cancellata nemmeno da chi ha i permessi massimi.
Ripristinare i documenti serve a poco se poi mancano il server che li serviva, le configurazioni e i database applicativi.
Il backup si controlla ripristinandolo. Periodicamente prendiamo un backup a campione e lo riportiamo in vita in ambiente isolato, per vedere se parte davvero.
Quanto tempo serve per tornare operativi e quanti dati si è disposti a perdere sono decisioni aziendali, non tecniche. Vanno messe per iscritto prima dell'emergenza.
Il backup è la copia dei dati. Il disaster recovery è il piano che dice come si torna a lavorare: in che ordine si ripristinano i sistemi, chi fa cosa, dove si lavora se la sede non è agibile, come si avvisano clienti e fornitori.
È un documento noioso da scrivere e prezioso da avere, perché nel giorno in cui serve nessuno è nelle condizioni mentali di improvvisarlo. Lo scriviamo insieme al cliente, lo teniamo aggiornato quando l'infrastruttura cambia e ne conserviamo una copia consultabile anche quando i sistemi aziendali sono spenti. È un dettaglio che sembra ovvio finché non si scopre che l'unico piano di emergenza stava sul file server cifrato.
Un backup che non è mai stato ripristinato non è un backup: è un'ipotesi. La prima prova di ripristino, in molte aziende, è anche la prima volta che si scopre che il gestionale non era incluso.
Il GDPR chiede di poter ripristinare tempestivamente la disponibilità dei dati personali in caso di incidente fisico o tecnico. Non fissa un numero, ma chiede che ci sia una procedura e che sia verificata: un'azienda che non ha mai testato i ripristini, in caso di ispezione, ha poco da mostrare.
Per le aziende nel perimetro NIS2 la continuità operativa e la gestione delle crisi sono esplicitamente fra le misure minime richieste. Anche qui, quello che conta non è aver comprato uno strumento ma poter dimostrare che funziona.
Dipende da quanti dati l'azienda può permettersi di riscrivere a mano. Quel valore si chiama RPO ed è una decisione di business: per un archivio documentale può bastare una copia giornaliera, per un gestionale di produzione con centinaia di movimenti al giorno servono intervalli molto più stretti. Il metodo è chiedersi, sistema per sistema, quante ore di lavoro perse sono accettabili. La risposta determina la frequenza, e di conseguenza il costo.
Sì, ed è esattamente quello che gli attaccanti cercano di fare per primo: prima di cifrare i dati provano a cancellare o cifrare le copie, perché un'azienda con i backup intatti non paga il riscatto.
Per questo serve almeno una copia che non sia raggiungibile con le credenziali di dominio e che sia immutabile per un periodo definito: anche un amministratore, o chi ne ha rubato l'identità, non deve poterla cancellare prima della scadenza.
Il cloud risolve bene il problema della copia fuori sede, ma da solo lascia scoperto il ripristino veloce: riportare giù qualche terabyte dalla rete geografica richiede tempo, e nel frattempo l'azienda è ferma.
La combinazione che di solito funziona è una copia locale per i ripristini rapidi più una copia remota per il caso peggiore, con le due gestite da credenziali diverse. Vale anche per chi ha già i dati su servizi cloud di terze parti: quei servizi replicano i dati, ma non proteggono da una cancellazione o da una cifratura fatta con le vostre credenziali.
Dipende da quanto è stato progettato prima. Un'infrastruttura con copie locali recenti, procedura scritta e priorità definite torna operativa sulle funzioni critiche in tempi che si misurano in ore. Un'azienda che scopre la sequenza di ripristino mentre la esegue, con i backup solo remoti e senza documentazione, si misura in giorni.
L'unico modo onesto di rispondere a questa domanda per la vostra azienda è provare un ripristino a freddo e cronometrarlo. È una delle cose che facciamo in fase di assessment.
Il primo passo è un assessment gratuito dell'infrastruttura: veniamo in azienda, guardiamo com'è messa e ti lasciamo un report scritto. Senza impegno, e il report resta tuo anche se poi non se ne fa nulla.