Ogni CEO dovrebbe conoscere un numero: quanto costa alla sua azienda ogni ora di fermo. Non in termini astratti — in euro.
Questo numero definisce quanto investire in disaster recovery.
Il calcolo che ogni azienda dovrebbe fare
Prendi il fatturato annuo. Dividilo per i giorni lavorativi. Dividilo per le ore lavorative. Hai il costo orario del downtime in termini di mancato fatturato. Ma è solo la punta dell’iceberg.
Aggiungi: dipendenti inattivi (pagati ma che non possono lavorare), consegne ritardate (con potenziali penali contrattuali),
clienti che non riescono a contattarti (che chiamano un concorrente), ordini persi (che non torneranno), danni alla reputazione (che impattano per mesi).
Per un’azienda manifatturiera con 50 dipendenti e 5 milioni di fatturato, un giorno di fermo costa facilmente 20.000-30.000 euro considerando tutti i fattori. Una settimana di fermo (scenario non raro con un attacco ransomware senza backup adeguati) supera i 100.000 euro.
RTO e RPO: i due numeri che contano
RPO (Recovery Point Objective): quanti dati puoi permetterti di perdere? Se il backup è giornaliero, nel caso peggiore perdi fino a
24 ore di dati. Con replica continua, il RPO scende a pochi minuti.
RTO (Recovery Time Objective): quanto tempo puoi restare fermo? Da pochi minuti (con soluzioni di alta disponibilità) a giorni
(senza piano DR). Il tuo RTO accettabile dipende dal costo orario del downtime.
Il DR non testato non funziona
Statistica che dovrebbe togliere il sonno: il 75% dei piani di disaster recovery non funziona al primo tentativo.
Le ragioni: backup corrotti che nessuno ha mai verificato, procedure non aggiornate dopo modifiche all’infrastruttura,
credenziali di accesso non disponibili nel momento del bisogno, sequenze di ripristino sbagliate, tempi di ripristino reali
molto più lunghi di quelli previsti.
Senza test periodici (almeno semestrali), il piano DR è un documento, non una protezione. Il test deve essere reale:
ripristino effettivo dei dati, verifica di funzionamento, misurazione dei tempi RTO reali, documentazione dei risultati.
Cosa richiede la NIS2
L’Art. 21 include la continuità operativa tra le misure obbligatorie: piani di backup testati, procedure DR documentate con
RTO/RPO definiti, analisi d’impatto, gestione delle crisi. Un’azienda senza piano DR documentato e testato è in violazione
prima ancora che accada l’incidente.
Il tuo piano di DR funziona davvero?
