Continuità operativa - FAQ

Transcript

1 Continuità operativa - FAQ Cosa è la Continuità Operativa? La continuità operativa è l insieme di attività volte a minimizzare gli effetti distruttivi, o comunque dannosi, di un evento che ha colpito un organizzazione o parte di essa, garantendo la continuità delle attività in generale. La sfera di interesse della continuità operativa va oltre il solo ambito informatico, interessando l intera funzionalità di un organizzazione, ed è pertanto assimilabile all espressione business continuity. La continuità operativa può quindi essere intesa come l insieme di attività volte a ripristinare lo stato del sistema informatico o parte di esso, compresi gli aspetti fisici e organizzativi e le persone necessarie per il suo funzionamento, con l'obiettivo di riportarlo alle condizioni antecedenti a un evento disastroso. La continuità operativa comprende sia gli aspetti strettamente organizzativi, logistici e comunicativi che permettono la prosecuzione delle funzionalità di un organizzazione, sia la continuità tecnologica, che nel contesto delle pubbliche amministrazioni riguarda l infrastruttura informatica e telecomunicativa (ICT) ed è conosciuta come disaster recovery (DR). Perché la Continuità Operativa è importante per la pubblica amministrazione? La garanzia di continuità dei servizi e delle funzioni delle pubbliche amministrazioni è un evidente impegno istituzionale. Relativamente all e-government, questo per avere successo, richiede, tra l altro, l esistenza di un infrastruttura informatica che risponde a particolari requisiti di robustezza e, quindi, di continuità, pena il ritardo nel diffondersi tra i cittadini dell uso delle tecnologie per accedere ai pubblici servizi. Il mezzo informatico è destinato a diventare infatti il sostituto dello sportello tradizionale, e genererà un aspettativa di qualità del servizio, da parte del cittadino, molto superiore a quella oggi tollerata. Per questo esiste l esigenza, per le pubbliche amministrazioni, di organizzarsi per garantire la risposta a questa aspettativa. La Continuità Operativa necessita di tecnologie particolari? La Continuità Operativa è essenzialmente il risultato di un processo organizzativo che comprende, come detto, tecnologie informatiche, peraltro non diverse da quelle normalmente utilizzate nel contesto informatico. Tra i sistemi da adottare rivestono particolare importanza i mezzi hardware e software per le repliche remote dei dati e le reti di comunicazione (quando previste) tra i siti principale e di backup. Dalla loro capacità e disponibilità dipende infatti la possibilità di prevedere meccanismi di replica remota sincrona piuttosto che asincrona. Anche la diffusione del cloud computing, pur presentando aspetti che vanno attentamente valutati nel contesto delle pubbliche amministrazioni, rappresenta un opportunità da considerare nella scelta delle soluzioni tecnologiche. Le esigenze di continuità delle pubbliche amministrazioni sono diverse da quelle delle aziende private? E perché? Nel mondo privato le esigenze di continuità operativa derivano essenzialmente dalla necessità della singola azienda di essere competitiva. Un azienda che non è in grado di offrire ai propri clienti la continuità dei servizio rischia certamente di perdere la propria clientela e di uscire dal mercato. Nel settore pubblico esistono anche altri aspetti da tener presenti, a volte di rilievo maggiore di quelli collegati alla semplice soddisfazione degli utenti. Per alcuni servizi, infatti, il cliente è l intera comunità, nazionale o locale, e la garanzia del servizio costituisce un obbligo piuttosto che un fattore competitivo di successo. Nel settore pubblico, inoltre, l esigenza di continuità più avvertita consiste nel proteggere e mantenere accessibili i dati gestiti, che giuridicamente appartengono ai cittadini e sono soltanto affidati in gestione all Amministrazione. Come si esprimono in maniera quantitativa i livelli di servizio della Continuità Operativa?

2 Relativamente gli aspetti organizzativi solo l esecuzione di test periodici, preceduta da un adeguata formazione e sensibilizzazione del personale, consente la verifica dell adeguatezza della soluzione di continuità operativa. Sul piano dell ICT, per definire in maniera quantitativa i livelli di continuità attesi su un servizio, si assegna un valore agli indicatori RTO ( Recovery Time Objective, massimo tempo di indisponibilità del servizio, cioè tempo entro il quale il servizio deve essere ripristinato) e RPO ( Recovery Point Objective, perdita dati sostenibile, in termini di distanza temporale tra il verificarsi dell emergenza e l ultimo salvataggio utile e ripristinabile dei dati). Ad esempio, la necessità che un servizio sia riattivato entro 48 ore da un emergenza e che non si perdano più di 6 ore di operazioni di aggiornamento dei dati, corrisponde a fissare i parametri RTO =48 h e RPO = 6 h. Quanto incide la Continuità Operativa sul totale della spesa informatica? Il costo organizzativo non è facilmente valutabile apriori, perché deriva da considerazioni strettamente legate al contesto specifico (per esempio, la scelta del personale che deve essere riassegnato ad altre sedi in caso di indisponibilità delle sedi ordinarie determina costi che possono differire notevolmente). Per la componente ICT, la risposta è strettamente legata alle soluzioni adottate. La presenza di una rete di comunicazione ad alta velocità tra i siti principali di elaborazione dei dati e siti dove sono effettuate le repliche dei dati può far variare di molto la spesa, anche a parità di soluzione tecnologica adottata per il ripristino dei servizi. Ciò premesso, la spesa annua di un amministrazione per la Continuità Operativa può oscillare tra frazioni di punto percentuale e il 12% della spesa per l ICT. Recenti esperienze nella Pubblica Amministrazione Centrale indicano valori inferiori al 10%, pure in presenza di soluzioni complesse. Quanto tempo è necessario per realizzare una soluzione di Continuità Operativa? La realizzazione delle componenti organizzative e di DR possono procedere parallelamente, almeno in parte. I tempi per la parte organizzativa sono legati alla disponibilità di logistiche alternative e alla predisposizione di accordi col personale che potrebbero richiedere un tempo non breve. Anche per la componente di DR vi è molta variabilità in relazione alla complessità della soluzione. Nel caso di scelta di soluzioni semplici a fronte di esigenze relativamente limitate (ad esempio il backup remoto dei dati senza collegamenti di rete) è possibile ipotizzare la realizzazione da un minimo di due-tre mesi a tempi che possono arrivare a dodici mesi, di cui almeno quattro - sei mesi per lo studio della soluzione e almeno altri sei mesi per la sua realizzazione. Cosa sono la risk assessment (o risk analysis), e la business impact analysis? Sono due fasi del cosiddetto studio del contesto, cioè del processo di identificazione delle esigenze di continuità di un organizzazione. Tramite il risk assessment si determinano i rischi a cui è soggetta l organizzazione, si analizzano le vulnerabilità e si identificano le possibili salvaguardie. La business impact analysis ha invece lo scopo di determinare le conseguenze derivanti dal verificarsi di ciascun evento critico e di valutarne l impatto sull operatività dell organizzazione. E necessario creare una struttura di gestione dedicata per la Continuità Operativa? E sicuramente necessario predisporre una struttura dedicata, che svolga le seguenti funzioni: - predisporre tutte le misure necessarie per ridurre l impatto di un emergenza; - mettere a disposizione risorse alternative a quelle non disponibili; - governare il sistema durante l emergenza; - gestire il rientro alla normalità. Naturalmente, il numero di risorse dedicato a queste funzioni varia in relazione alla complessità e dimensione della soluzione di Continuità Operativa adottata. Per facilitare il lavoro di questa struttura

3 sarebbe utile predeterminare almeno le azioni principali da eseguire in caso di evento critico e la gamma di soluzioni possibili tra le quali selezionare quella più adatta all evento che si è verificato. Esiste un Ente dello Stato che si occupa della Continuità Operativa delle pubbliche amministrazioni? In base al DLgs. 235/10, che ha introdotto un impegno formale delle pubbliche amministrazioni nei confronti della continuità operativa introducendo nel Codice dell Amministrazione Digitale l articolo 50-bis a questa interamente dedicato, prevede che il Ministro per la pubblica amministrazione e l innovazione assicura l omogeneità delle soluzioni di continuità operativa definite dalle diverse Amministrazioni e ne informa con cadenza almeno annuale il Parlamento. Le pubbliche amministrazioni definiscono il piano di continuità operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuità operativa, anche affidate a soggetti esterni. Il piano tiene conto delle potenziali criticità relative a risorse umane, strutturali, tecnologiche e contiene idonee misure preventive. Le amministrazioni pubbliche verificano la funzionalità del piano di continuità operativa con cadenza biennale. A DigitPA sono conferiti importanti compiti per l attuazione di quanto sopra, riassumibili come segue: definire, sentito il Garante per la privacy, le linee guida necessarie di riferimento per le soluzioni di disaster recovery delle Amministrazioni (comma 3, punto b articolo 50-bis). emettere pareri sugli studi di fattibilità propedeutici alla produzione dei piani di continuità (comma 4); verificare annualmente il costante aggiornamento dei piani di disaster recovery (comma 3, punto b); informare annualmente il Ministro per la pubblica amministrazione e l innovazione dell esito di queste verifiche (comma 3, punto b). Come può risolvere le sue esigenze di continuità una piccola amministrazione? Va premesso che attività di predisposizione all emergenza, quali le reperibilità del personale in caso di emergenza, l analisi delle alternative logistiche e la formazione del personale dell ente non si differenziano se non per le evidenti differenze dimensionali tra grandi e piccole amministrazioni. Per gli aspetti legati all ICT, le piccole amministrazioni hanno spesso la percezione che una soluzione di continuità operativa rappresenti, tecnicamente e finanziariamente, un impegno troppo elevato. Tuttavia, anche le piccole amministrazioni devono assicurare, ai propri utenti, un livello minimo di continuità dei servizi. Sono particolarmente adatti alle piccole amministrazioni gli accordi di mutuo soccorso, o le forme associative che consentono di condividere le risorse per l emergenza. Anche la predisposizione del piano di emergenza può essere semplificata ricorrendo a modelli predefiniti. In generale, come si identifica, per una pubblica amministrazione, la soluzione di continuità operativa più adatta? La scelta della soluzione di continuità operativa va compiuta avendo preliminarmente definite le esigenze di continuità in termini di risorse da proteggere e di livelli di servizio attesi. La soluzione deve poi tener conto della disponibilità di offerta di servizi e tecnologie e della relazione tra costi e benefici nei diversi casi. Per le pubbliche amministrazioni può essere utile riferirsi a casistiche predefinite: infatti, le soluzioni ottimali dipendono in modo prevalente dal mandato, dai compiti e dalla struttura delle varie amministrazioni. Che cos è il Piano di emergenza (o Business Continuity Plan)? Il piano di emergenza è un documento che guida un amministrazione nella gestione dei rischi cui essa è soggetta, definendo ed elencando le azioni da intraprendere prima, durante e dopo un emergenza per assicurare la continuità del servizio. Il principale obiettivo di questo documento è massimizzare l efficacia della risposta all emergenza,

4 pianificando e specificando tutti gli interventi necessari, assegnando le responsabilità e identificando i percorsi da seguire (definizioni: chi deve fare che cosa, e quando ). Quali sono gli elementi fondamentali di un Piano di emergenza? Un Piano di emergenza completo riporta, in una prima sezione introduttiva, i risultati ottenuti dalla fase di Business Impact Analysis analisi di impatto, cioè l attività che determina gli effetti e le misure opportune per tutti gli elementi funzionali di un organizzazione a fronte di perdita delle proprie funzionalità, descrive la strategia di continuità adottata e fornisce tutte le necessarie informazioni a supporto (ad esempio, le informazioni relative allo stato corrente dei beni da proteggere). In una seconda sezione, il Piano fornisce il dettaglio delle azioni da intraprendere nelle varie situazioni d emergenza previste e i relativi riferimenti organizzativi. E necessario un processo di formazione specifico per la Continuità Operativa? La formazione, intesa come sensibilizzazione e addestramento del personale ritenuto comunque interessato alle attività e all esecutività della Continuità Operativa, è un elemento fondamentale del processo organizzativo legato alla Continuità Operativa. Non esistono, però, temi strettamente organizzativi o tecnologici esclusivi della Continuità Operativa. Sempre con riferimento alla formazione, è anche importante creare, all'interno dell'amministrazione, la consapevolezza che è possibile - anzi è necessario - proseguire le attività lavorative anche in condizioni di emergenza. Ci sono norme specifiche che obbligano una pubblica amministrazione a dotarsi di Continuità Operativa? Oltre a quanto già citato per l articolo 50-bis del CAD, si ricorda l art. 97 della Costituzione e il principio di buon andamento dell'amministrazione da rispettare anche se si utilizzano tecnologie ICT. Si richiama anche il Codice in materia di protezione dei dati personali (DLgs. n. 196 del 2003) per i profili di sicurezza. Esistono standard per la Continuità Operativa? Esistono standard internazionali che fanno riferimento alla continuità operativa. E di particolare rilevanza lo standard UNI CEI ISO/IEC 27001:2006 Tecnologia delle informazioni - Tecniche di sicurezza Sistemi di gestione della sicurezza delle informazioni - Requisiti che, pur trattando della sicurezza informatica, identifica nella continuità operativa un elemento essenziale della stessa e la norma ISO/IEC 24762:2008 Information technology - Security techniques - Guidelines for information and communications technology disaster recovery services, che contiene line guida per la realizzazione di infrastrutture di disaster recovery. Anche se non ancora adottate in ambito internazionale (ISO), due norme del British Standard Institution (BSI), la BS (Business Continuity Management), per la quale è anche possibile seguire un percorso di certificazione, e la BS 25777:2008 (Information and communications technology continuity management) costituiscono un riferimento ormai acquisito internazionalmente. Ci sono particolari cautele da osservare quando si acquisisce la Continuità Operativa in outsourcing? Occorre verificare, in particolare, che il fornitore sia finanziariamente affidabile, che sia in grado di fornire le apparecchiature e i servizi di cui l amministrazione necessita (e che aggiornerà le apparecchiature in parallelo a quelle delle amministrazione), che il suo personale sia sufficientemente preparato. Occorre inoltre verificare quanti altri clienti condividono le apparecchiature e/o i locali del fornitore, e chi tra questi clienti ha maggiore priorità. Se l amministrazione non ha massima priorità, occorre specificare

5 contrattualmente quale soluzione alternativa viene prospettata in caso l emergenza colpisca anche altri clienti a priorità maggiore. Infine, occorre che il fornitore garantisca la confidenzialità dei dati dell amministrazione. Chi deve prendere l iniziativa, all interno dell amministrazione, per avviare il processo di realizzazione della Continuità Operativa? Dato che realizzare la Continuità Operativa di un organizzazione è un processo complesso con risvolti di natura organizzativa, tecnica ed economica, solo il massimo livello decisionale può dare avvio a questo progetto. Naturalmente, è compito dei responsabili tecnici sensibilizzare sull argomento i vertici dell amministrazione e mettere a disposizione tutte le analisi e le informazioni utili alla valutazione delle soluzioni più adeguate. Dove si possono trovare ulteriori informazioni sulla Continuità Operativa? Nella letteratura tecnica non mancano testi che è possibile consultare. Una trattazione completa e focalizzata sul contesto della pubblica amministrazione italiana è rappresentata dalle Linee guida alla continuità operativa di DigitPA. Sempre DigitPA ha costituito un centro di competenza sulla Continuità Operativa nella pubblica amministrazione, al quale le Amministrazioni possono accedere per ogni supporto.