Valutazione dell’Impatto del Rischio nel Recupero di Emergenza: Da Dove Cominciare

Valutare i rischi è uno dei primi passi necessari per trovare un modo per ridurli e quindi mantenere sicura la tua infrastruttura. Creare un piano efficace di ripristino da disastro inizia con la ricerca delle minacce potenziali e delle vulnerabilità degli elementi della tua infrastruttura, così come dei modi per rispondere ad esse. La valutazione dei rischi non è un processo occasionale. Dovresti aggiornare regolarmente le tue politiche di valutazione dei rischi, specialmente se gestisci un’infrastruttura in continuo cambiamento. Il nostro articolo mira a spiegare l’importanza della valutazione dell’impatto del rischio nella pianificazione del ripristino da disastro e a fornire informazioni di base su come viene eseguita la valutazione del rischio.

Valutazione dell’impatto del rischio: concetti correlati

La valutazione dei rischi è un elemento importante sia nella pianificazione del ripristino da disastro (DR) che nella continuità aziendale (BC). Anche se spiegare DR e BC in dettaglio richiederebbe due post separati, di seguito è riportata una breve panoramica delle due pratiche:

• Il piano di ripristino da disastro è un documento che contiene un algoritmo ben definito di azioni da intraprendere in caso di incidente. Il suo scopo è semplificare il recupero dagli effetti negativi che l’incidente ha causato. Le istruzioni delineate in un piano di DR sono destinate ad aiutare la tua azienda a mantenere o riprendere rapidamente le operazioni critiche, mantenendo così al minimo il tempo di inattività.
• Il piano di continuità aziendale si riferisce a un insieme di azioni volte a prevenire minacce potenziali e a riprendersi dagli incidenti che la tua azienda affronta. L’idea chiave è assicurarsi che dipendenti e risorse della tua azienda siano protetti e in grado di riprendere le operazioni in caso di disastro. Un piano di continuità aziendale è più ampio di un piano di ripristino del disastro: è pensato per garantire che l’attività continui a operare dopo un disastro, mentre un piano di ripristino del disastro è progettato per mitigare rapidamente gli effetti negativi di quest’ultimo.

La valutazione dei rischi e di tutte le potenziali vulnerabilità a cui la tua azienda potrebbe essere soggetta viene effettuata prima di implementare un piano di ripristino del disastro. Una buona prassi è iniziarla subito dopo aver condotto un’analisi dell’impatto aziendale (BIA), un altro elemento importante di una strategia di ripristino del disastro, mirante a identificare le conseguenze potenziali se una qualsiasi delle funzioni o processi aziendali viene interrotta.

La valutazione del rischio di ripristino del disastro è un documento che contiene una descrizione dei rischi potenziali per il funzionamento di un’organizzazione. Copre sia disastri naturali che di origine umana e stima la probabilità di ciascuno scenario che si verifichi. I risultati della stima vengono quindi moltiplicati per le conseguenze di un incidente. Il valore che si ottiene definisce il livello di protezione della tua organizzazione contro una minaccia data. Alcuni dei temi di base che il documento dovrebbe evidenziare sono i seguenti:

• Danno potenziale che l’incidente potrebbe causare;
• Quantità di tempo e sforzo necessari per mitigare gli effetti dell’incidente e i costi associati;
• Misure preventive per ridurre i rischi di disastro;
• Istruzioni per ridurre la gravità di un incidente.

La valutazione dei rischi è un processo che richiede tempo e attenzione ai dettagli. Quando si prepara questo documento, è meglio seguire le linee guida, prestare attenzione agli strumenti di valutazione dei rischi e scaricare un esempio di valutazione del rischio di ripristino da disastro per una migliore comprensione.

Come eseguire la valutazione dell’impatto dei rischi

Solitamente, il processo di condurre una valutazione del rischio di ripristino da disastro coinvolge i passaggi di seguito elencati. A seconda delle esigenze della vostra organizzazione, è possibile includere passaggi aggiuntivi o saltare alcuni di quelli elencati.

1. Elenca gli asset

Definire gli asset che sono più preziosi per la vostra organizzazione è il primo passo per proteggerli. Gli asset sono un termine piuttosto ampio che può includere server, siti web e applicazioni, informazioni sulla base clienti, database, documenti in carta o elettronici, ecc., e persino membri chiave del team.

Per affrontare questo compito, considerate la creazione di un questionario. È importante ricevere feedback non solo dai dirigenti chiave e dai responsabili dei dipartimenti, ma da tutti i dipendenti dell’azienda. Questo può aiutarvi a rendersi conto di cose che potrebbero essere state trascurate. Iniziate a documentare rischi e minacce specifici all’interno di ciascun dipartimento.

2. Identificare i rischi

In particolare, dovreste definire cosa potrebbe influenzare esattamente ciascuno dei vostri asset e in che modo. Ciò include software, hardware, dati e dipendenti. Assicuratevi di seguire un approccio integr

• Disastri naturali.Anche se la tua infrastruttura si trova in un’area poco soggetta ad uragani o terremoti, non puoi ignorare la possibilità di incendi e rotture delle condutture dell’acqua. Tieni conto di questo quando decidi dove posizionare i tuoi server.
• Malfunzionamento del sistema.La probabilità di malfunzionamento dipende dalla qualità dell’attrezzatura informatica e dall’impegno nella manutenzione da parte tua. C’è sempre il rischio che una macchina si spenga e smetta di funzionare senza alcun avviso o messaggio di errore. Inoltre, il malfunzionamento del sistema può derivare da gravi problemi software, come ad esempio una cattiva linea di codice.
• Errore accidentale. La formazione dei tuoi dipendenti, il tempo sufficiente per il riposo, l’implementazione di protocolli di sicurezza e altre misure preventive non eliminano completamente i rischi legati agli errori umani. Alcuni dei tuoi dipendenti potrebbero cancellare involontariamente un file importante, fare clic su un link malware o danneggiare accidentalmente un pezzo di attrezzatura.
• Attività maliziose. Questo gruppo di rischi si presenta in varie forme, dai tradizionali attacchi hacker che mirano ai tuoi dati alle minacce interne come l’abuso di credenziali e la modifica o il danneggiamento intenzionale dei dati.

3. Trovare le vulnerabilità

È importante identificare le debolezze che possono essere sfruttate per ottenere o danneggiare gli asset della tua azienda. Per compiere un’azione non autorizzata, un aggressore ha bisogno di un vettore di attacco (cioè un metodo) che può essere applicato nel tentativo di sfruttare una debolezza del sistema. La somma di questi vettori di attacco nella tua infrastruttura IT è nota come superficie di attacco. L’idea chiave è ridurre al minimo la superficie di attacco.

Assicurati di valutare la probabilità di sfruttamento delle vulnerabilità. Questo è il primo passo per stabilire la priorità delle falle di sicurezza e assegnare risorse per eliminarle. Secondo le statistiche basate sul Common Vulnerability Scoring System (CVSS), uno standard industriale per valutare la gravità delle vulnerabilità, le falle di alta gravità vengono sfruttate nella maggior parte dei casi. Tuttavia, questa non è una regola senza eccezioni.

4. Valutare le potenziali conseguenze

Effettuare un’analisi dell’impatto del rischio per determinare le perdite finanziarie che la tua azienda potrebbe subire se uno dei tuoi asset venisse danneggiato. Oltre alle entrate perse, le conseguenze potenziali possono includere la perdita di dati, danni al tuo ambiente IT a causa del downtime, danni alla reputazione e questioni legali. Tieni presente che le perdite a livello superficiale potrebbero essere solo l’inizio. Un incidente potrebbe comportare costi nascosti legati alle PR e alle indagini, nonché aumenti delle polizze assicurative e spese legali.

5. Prioritizza i rischi

Definire il livello di rischio per ciascuna coppia di minaccia e vulnerabilità. Basa la tua valutazione su una combinazione di due fattori: la probabilità di sfruttamento della vulnerabilità e le conseguenze potenziali che potrebbero derivare da questo incidente. Cerca di stimare quante entrate la tua azienda potrebbe perdere a seguito dell’evento di rischio.

La priorità dovrebbe essere basata sulla correlazione tra il livello di impatto e la probabilità che si verifichi un determinato incidente. Se l’incidente potrebbe comportare gravi impatti negativi ed è molto probabile che accada, la questione dovrebbe essere considerata di massima priorità. Ciascuna delle minacce dovrebbe essere assegnata un valore rispettivo, da “molto alto” (elevata probabilità di rischio in combinazione con significative perdite finanziarie) a “molto basso” (bassa probabilità e danni insignificanti).

6. Documentare i risultati

Il passo finale nell’eseguire una valutazione dell’impatto del rischio è preparare un rapporto o documento che copra tutte le stime sopra menzionate. Successivamente, questo documento può aiutarti nella pianificazione di bilancio, nell’allocazione delle risorse, nell’attuazione delle politiche di sicurezza, e così via. Il documento dovrebbe descrivere le vulnerabilità, l’impatto potenziale e la probabilità di accadimento per ciascuna minaccia. Per una migliore comprensione, vedi un esempio qui sotto:

Minaccia	Vulnerabilità	Asset	Impatto	Probabilità	Rischio	Precauzioni
Surriscaldamento nella sala server (fallimento del sistema) – Alto	Il sistema di condizionamento dell’aria è vecchio e mal mantenuto – Alto	Server – Critico	Servizi, siti web, applicazioni, ecc. saranno indisponibili per alcune ore – Critico	La temperatura nelle sale server è di 40°C – Alto	Perdite finanziarie sostanziali per ogni ora di inattività – Alto	Acquistare un nuovo condizionatore d’aria e garantire una migliore manutenzione

Iniziando, acquisirai una migliore comprensione delle operazioni e dei processi della tua organizzazione, nonché dei modi in cui possono essere ottimizzati. Sulla base della valutazione dell’impatto del rischio, crea una politica che regoli l’ambito delle azioni che la tua azienda deve intraprendere ogni mese, ogni trimestre o annualmente. Cerca di capire come affrontare e mitigare ciascuna delle minacce e quando eseguire la successiva valutazione del rischio.

Preparati in Anticipo

Ignorare l’importanza della preparazione di un rapporto di valutazione del rischio esaustivo è uno dei rischi di ripristino più comuni. Questo rapporto è un valido aiuto per ridurre la probabilità che si verifichi un incidente, mitigando i suoi effetti negativi e mantenendo al minimo i tempi di inattività.

Fare regolari backup e conservare copie di backup in un luogo esterno è una pratica saggia che assicura la ripristinabilità dei tuoi dati in una vasta gamma di scenari, dall’eliminazione accidentale alla distruzione totale di una stanza server. Inoltre, con una replica valida in posizione, puoi recuperare da un disastro in pochi clic.

NAKIVO Backup & Replication offre una vasta gamma di strumenti e funzionalità per aiutarti a eseguire il backup e replicare i tuoi carichi di lavoro. Di seguito trovi una breve panoramica delle nostre funzionalità:

Backup dei dati

• Esegui il backup di carichi di lavoro virtuali, fisici e cloud.
• Recupero istantaneo di file, cartelle e oggetti dell’applicazione direttamente da backup compressi e deduplicati. Puoi recuperare i dati nella posizione di origine o in una posizione personalizzata. La funzionalità funziona sia in LAN che in WAN, ripristinando tutti i permessi dei file.
• Invia copie dei tuoi backup in un luogo esterno per assicurarti che non vengano mai persi a causa di eliminazioni accidentali, corruzione, guasto del disco, attacchi informatici o qualsiasi altro evento imprevisto.

Replica delle VM

• Crea copie identiche, anche conosciute come repliche, di VM VMware, Hyper-V e basate su AWS EC2.
• Riprendi le tue operazioni critiche per il business quasi istantaneamente passando a una replica della VM. In altre parole, puoi recuperare una VM colpita da un guasto software o hardware in pochi clic.
• Effettua il replicazione da backup per scaricare il tuo ambiente di produzione e risparmiare tempo, il che è particolarmente importante nelle grandi infrastrutture IT.

Per garantire una perdita di dati minima e ridurre i tempi di inattività, preparati in anticipo. Insieme, NAKIVO Backup & Replication e un adeguato rapporto di valutazione dell’impatto del rischio possono aiutarti a proteggere il tuo ambiente da una vasta gamma di scenari imprevisti.