Ogni CEO dovrebbe conoscere un numero: quanto costa alla sua azienda ogni ora di fermo. Non in termini astratti — in euro.
Questo numero definisce quanto investire in disaster recovery.
Il calcolo che ogni azienda dovrebbe fare
Prendi il fatturato annuo. Dividilo per i giorni lavorativi. Dividilo per le ore lavorative. Hai il costo orario del downtime in termini di mancato fatturato. Ma è solo la punta dell’iceberg.
Aggiungi: dipendenti inattivi (pagati ma che non possono lavorare), consegne ritardate (con potenziali penali contrattuali),
clienti che non riescono a contattarti (che chiamano un concorrente), ordini persi (che non torneranno), danni alla reputazione (che impattano per mesi).
Per un’azienda manifatturiera con 50 dipendenti e 5 milioni di fatturato, un giorno di fermo costa facilmente 20.000-30.000 euro considerando tutti i fattori. Una settimana di fermo (scenario non raro con un attacco ransomware senza backup adeguati) supera i 100.000 euro.
RTO e RPO: i due numeri che contano
RPO (Recovery Point Objective): quanti dati puoi permetterti di perdere? Se il backup è giornaliero, nel caso peggiore perdi fino a
24 ore di dati. Con soluzioni di replica continua, l’RPO può scendere a pochi minuti, in funzione dell’architettura e della configurazione adottata.
RTO (Recovery Time Objective): entro quanto tempo devono tornare operativi sistemi e servizi? L’obiettivo può variare da pochi minuti a diverse ore o giorni in funzione della criticità del servizio e dell’architettura di recovery predisposta.
Perché un piano di Disaster Recovery deve essere testato
Statistica che dovrebbe togliere il sonno: il 75% dei piani di disaster recovery non funziona al primo tentativo.
Le ragioni: backup corrotti che nessuno ha mai verificato, procedure non aggiornate dopo modifiche all’infrastruttura,
credenziali di accesso non disponibili nel momento del bisogno, sequenze di ripristino sbagliate, tempi di ripristino reali
molto più lunghi di quelli previsti.
I test devono essere eseguiti periodicamente e dopo modifiche significative all’infrastruttura. Nei servizi DRaaS Omnia prevediamo test semestrali con verifica reale di RTO e RPO e documentazione dei risultati.
Cosa richiede la NIS2
L’Art. 24 del D.Lgs. 138/2024 include la continuità operativa tra le misure di gestione del rischio per i soggetti essenziali e importanti, comprendendo la gestione dei backup, il ripristino in caso di disastro ove applicabile e la gestione delle crisi.
Per i soggetti rientranti nel perimetro NIS2, l’assenza di adeguate misure di continuità operativa, backup e ripristino può evidenziare una carenza nell’attuazione delle misure di gestione del rischio previste dalla normativa.
Nella pratica, definire RTO e RPO, documentare le procedure di ripristino e verificarle attraverso test periodici aiuta a tradurre questi requisiti di continuità in misure operative verificabili.
Backup, alta disponibilità e Disaster Recovery: non sono la stessa cosa
Backup → protegge le copie dei dati, consente di recuperare dati e configurazioni.
High Availability → riduce il downtime di determinati guasti tramite ridondanza e failover.
Disaster Recovery → definisce tecnologie e procedure per ripristinare sistemi e servizi dopo un evento grave.
Il tuo piano di DR funziona davvero?
Scopri di più
