Il backup non basta: occorre saper ripristinare dati e sistemi

Che cosa sono backup e ripristino

Il backup è una copia di sicurezza dei dati o dell’intero sistema informativo.

Il ripristino è il processo con cui quella copia viene utilizzata per recuperare dati, applicazioni, configurazioni e operatività dopo un guasto, un errore umano, un attacco informatico o un altro evento distruttivo.

Disporre di un backup non significa automaticamente essere in grado di ripartire. Il backup deve essere integro, aggiornato, protetto e realmente ripristinabile.

Esistono varie tecniche e innumerevoli prodotti sul mercato per il backup, molti dei quali consentono anche il ripristino. Non entriamo in questi dettagli, è  bene ricordare in questa nota i due principali tipi di backup:

• backup completo, che comprende l’intero sistema o un insieme completo di dati;
• backup incrementale o differenziale, che registra solo ciò che è cambiato rispetto a una copia precedente.

Il backup completo costituisce normalmente la base del ripristino dell’intero sistema; le copie incrementali o differenziali consentono poi di recuperare le modifiche intervenute successivamente.

Il backup completo richiede generalmente più tempo e capacità di archiviazione rispetto alle copie incrementali o differenziali; la durata effettiva dipende dalla quantità di dati, dall’infrastruttura e dagli strumenti utilizzati.

Disporre di copie aggiornate, protette e realmente ripristinabili è inoltre fondamentale per il Disaster Recovery, ossia per il recupero dei sistemi e dei servizi dopo un evento grave. Il tema sarà approfondito in un prossimo OAD Insight.

Perché backup e ripristino sono importanti

Perchè permettono di riportare dati e sistemi a uno stato precedente e di riattivare i servizi dopo un incidente:

• Il backup determina a quale momento si può tornare.
• Il ripristino determina quanto tempo occorre per ripartire.
• La verifica periodica dimostra se la copia è davvero utilizzabile. 

Nell'impostazione di un backup è necessario fare riferimento a due parametrI:

• RTO, Recovery Time Objective: il tempo massimo entro cui un sistema o un servizio deve essere ripristinato dopo un’interruzione, per evitare conseguenze non accettabili per l’organizzazione.
• RPO, Recovery Point Objective: la quantità massima di dati che l’organizzazione può accettare di perdere in seguito a un’interruzione, espressa come intervallo di tempo, tra l’ultimo dato recuperabile e il momento dell’interruzione. Esempio: un RPO di quattro ore significa che, in caso di incidente, l’organizzazione accetta di perdere al massimo i dati prodotti o modificati nelle quattro ore precedenti.

La definizione di RTO e RPO dovrebbe derivare dalla Business Impact Analysis, l’analisi che individua gli effetti economici, operativi, legali e reputazionali derivanti dall’interruzione dei sistemi e dei servizi.

Le principali cose da sapere

ll backup non è una replica.
Un sistema replicato può trasferire immediatamente anche cancellazioni, corruzioni o cifrature causate da ransomware. Replica, alta disponibilità e backup svolgono funzioni differenti.

Una copia deve essere separata e protetta.
Almeno una copia dovrebbe essere offline o comunque non direttamente accessibile dai sistemi ordinari, cifrata e conservata in un luogo fisicamente distinto. CISA raccomanda copie offline e cifrate, accompagnate da prove regolari di ripristino.

Il cloud non elimina la necessità del backup.
La presenza di dati o applicazioni nel cloud non garantisce automaticamente protezione da cancellazioni, errori, compromissioni degli account o ransomware. Occorre verificare responsabilità, retention, versioning ed esportabilità delle copie. Anche nel cloud è opportuno disporre di copie separate dall’ambiente principale, protette da credenziali differenti e, ove possibile, immutabili o non direttamente modificabili.

Il ripristino deve essere provato.
Una copia non testata offre soltanto una sicurezza presunta. ENISA, l'Agenzia Europea per la sicurezza digitale, richiede verifiche periodiche del recupero delle copie e delle ridondanze, proprio per accertare che il ripristino funzioni nelle reali condizioni di emergenza.

 Le frequenze di backup

 In molti contesti può essere appropriato eseguire almeno un backup completo alla settimana e copie giornaliere dei dati modificati. La frequenza deve però essere definita in base alla quantità di dati che l’organizzazione può accettare di perdere e al tempo entro cui deve riprendere l’operatività.

Procedure, competenze e responsabilità

Il backup e il ripristino devono essere regolati da procedure organizzative documentate, che definiscano dati e sistemi da proteggere, frequenze, responsabilità, modalità di conservazione delle copie, controlli e criteri di attivazione del ripristino. In caso di incidente devono essere già noti l’ordine di riattivazione dei servizi, le persone da coinvolgere e le verifiche necessarie prima del ritorno alla normale operatività.

La procedura di ripristino deve inoltre stabilire l’ordine con cui riattivare sistemi e servizi, le persone da coinvolgere, le modalità di accesso alle copie e le verifiche da effettuare prima del ritorno alla normale operatività.

In caso di incidente non basta sapere che esiste un backup: occorre sapere chi deve intervenire, con quali strumenti e secondo quale procedura.

Le organizzazioni con competenze informatiche limitate possono affidare backup e ripristino a fornitori specializzati. L’esternalizzazione, tuttavia, non elimina la responsabilità dell’organizzazione: occorre verificare, direttamente o tramite un consulente competente e indipendente, che il fornitore disponga delle capacità tecniche, organizzative e operative necessarie e che sia realmente in grado di ripristinare dati e sistemi nei tempi richiesti.

Backup e ripristino “as a service”

Le organizzazioni che non dispongono internamente delle competenze necessarie possono affidare a fornitori specializzati i servizi di backup, conservazione e ripristino. Il ricorso a un servizio esterno può ridurre la complessità operativa, ma non elimina la responsabilità dell’organizzazione di verificare che il servizio sia adeguato e realmente efficace.

Prima di affidare il servizio è necessario valutare, direttamente o con l’aiuto di un consulente indipendente, l’effettiva competenza del fornitore, le misure di sicurezza adottate, la separazione e la protezione delle copie, i tempi garantiti di ripristino, le modalità di assistenza durante un incidente e la possibilità di recuperare integralmente dati e sistemi anche in caso di interruzione del rapporto.

Le organizzazioni che non dispongono internamente delle competenze necessarie possono affidare a fornitori specializzati i servizi di backup, conservazione e ripristino. Il ricorso a un servizio esterno può ridurre la complessità operativa, ma non elimina la responsabilità dell’organizzazione di verificare che il servizio sia adeguato e realmente efficace.

Ricordarsi sempre che esternalizzare il backup non significa esternalizzare il rischio.

Raccomandazioni pratiche

1. Individuare dati, applicazioni e sistemi realmente critici.
2. Stabilire con quale frequenza devono essere copiati.
3. Conservare più copie, di cui almeno una separata e offline o immutabile.
4. Cifrare le copie e proteggere rigorosamente le chiavi e gli accessi.
5. Conservare almeno una copia in un luogo diverso da quello dei sistemi principali.
6. Monitorare l’esito dei backup e gli eventuali errori.
7. Verificare periodicamente integrità e leggibilità delle copie.
8. Eseguire prove reali di ripristino, misurando tempi e completezza.
9. Documentare la procedura e assegnare chiaramente responsabilità e contatti.
10. Aggiornare il piano quando cambiano sistemi, applicazioni o fornitori.

Il backup protegge i dati; procedure, competenze e prove di ripristino consentono all’organizzazione di ripartire.