fabio martino de carles 1 continuità aziendale

1. Tutti i diritti riservati. Fabio martino de carles Capitolo 1: La Continuità Aziendale In questo capitolo verrà analizzata la Nist Special Pubblication 800-34 v.1 dunque verranno descritti i diversi piani di contingenza, come il Piano di Continuità Operativa, Piano di Continuità delle Operazioni, Piano di Comunicazione di Crisi, Piano di Protezione delle Infrastrutture Critiche, Piano di Risposta agli Incidenti Cibernetici, Piano di Recupero dai Disastri, Piano di Contingenza dei Sistemi Informativi ed infine il Piano di Emergenza per gli Occupanti. Successivamente il nocciolo del capitolo si concentrerà sulla produzione dei piani di contingenza appena menzionati applicati 7 passaggi fondamentali per ognuno di essi, ovvero sviluppare la politica di pianificazione della contingenza; condurre l'analisi dell'impatto sul business (BIA); Identificare i controlli preventivi; Creare strategie di contingenza; sviluppare un piano di contingenza per il sistema informativo; garantire il testing, la formazione e le esercitazioni del piano; e garantire la manutenzione del piano. 1) Piani di Contingenza e Resilienza I sistemi informativi sono vulnerabili a molte interruzioni, queste posso essere lievi come brevi interruzioni di corrente o gravi come la distruzione di apparecchiature. Molte vulnerabilità possono essere ridotte o eliminate tramite controlli di gestione, controlli operativi o controlli tecnici; tuttavia, è impossibile eliminare completamente tutti i rischi, il rischio zero non esiste. Un'organizzazione deve essere in grado di resistere ai pericoli e sostenere la propria missione attraverso l’attuazione di cambiamenti, i quali possono essere graduali, e si pensi alle variazioni economiche o improvvisi, come in caso di disastro. Piuttosto che concentrarsi solo sull'identificazione e sulla mitigazione delle minacce, le organizzazioni devono lavorare per costruire un'infrastruttura resiliente, allo scopo di minimizzare l'impatto di qualsiasi interruzione sulle funzioni essenziali. La resilienza è la capacità di un’organizzazione ad adattarsi nonché a riprendersi da qualsiasi imprevisto noto o sconosciuto. La resilienza non è un processo, ma uno status che si raggiunge dopo aver eseguito una serie di attività. Le organizzazioni se vogliono essere resilienti devono lavorare continuamente in virtù dello spirito di adattamento ai cambiamenti e ai rischi che a loro volta possono influenzare la continuità delle funzioni 1

2. Tutti i diritti riservati. Fabio martino de carles critiche. La pianificazione delle contingenze parte con lo sviluppo di una politica di pianificazione delle contingenze dell'organizzazione a tale scopo si sottopone ogni sistema informativo a un'analisi dell'impatto aziendale (BIA). Quest’ultime attività sono propedeutiche alla prioritizzazione dei sistemi e dei processi in base al livello di impatto FIPS 199 permettendo a seguire lo sviluppo di strategie di recupero per minimizzare le perdite, dando priorità ai servizi critici. FIPS 199 fornisce delle linee guida sulla determinazione dell'impatto che le informazioni e i sistemi informativi hanno o possono avere sulle operazioni e sugli asset organizzativi, oltre che sugli individui, su altre organizzazioni e sulla nazione. La formula utilizzata esamina tre obiettivi di sicurezza: riservatezza, integrità e disponibilità. Riservatezza: prevede delle restrizioni sull’accesso e per la divulgazione delle informazioni, usufruendo di strumenti per proteggere la privacy personale e le informazioni proprietarie. Integrità: protegge contro le modifiche e le distruzioni improprie delle informazioni, includendo come garanzia la non ripudiabilità e autenticità delle informazioni. Disponibilità: garantisce l’uso delle informazioni. L'impatto per ciascun obiettivo di sicurezza è determinato come alto, moderato o basso, in base a quanto definito dal FIPS 199. L’obiettivo di sicurezza considerato alto comporta costi nelle configurazioni, nelle operazioni e nella manutenzione; infatti, dovrebbero essere considerate solo per quei sistemi informativi che richiedono a livello di sicurezza un’alta disponibilità. I sistemi informativi a basso impatto possono utilizzare opzioni di contingenza meno costose e sopportare tempi di inattività più lunghi per il recupero o il ripristino dei dati rispetto ai sistemi informativi ad ‘alto impatto. La pianificazione della contingenza dei sistemi informativi consiste in una molteplice serie di attività create per mantenere e ripristinare i servizi critici dopo un'emergenza, essa include la continuità operativa, il recupero dai disastri e la gestione degli incidenti. Ogni processo aziendale è supportato da un sistema informativo, quindi, è importantissimo coordinare tutti i piani durante la loro creazione e il loro aggiornamento per evitare conflitti nelle strategie di recupero. I principali piani sono: Piano di Continuità Operativa (BCP): si concentra sul mantenimento dei processi aziendali durante e dopo un'interruzione. Un processo aziendale può essere la gestione delle buste paga in questo caso il BCP sarà specifico per i processi di una singola unità 2

3. Tutti i diritti riservati. Fabio martino de carles operativa. Se invece il processo aziendale di riferimento riguarda la comunicazione in rete il BCP può coprire tutta l'organizzazione. Visto che i processi aziendali utilizzano sistemi informativi, chi pianifica la continuità operativa deve coordinarsi con i responsabili IT per assicurare che le aspettative del BCP siano in linea con le capacità dei sistemi informativi. Piano di Continuità delle Operazioni (COOP): si concentra sul ripristino delle funzioni essenziali dell'organizzazione in un sito alternativo, gestendo tali funzioni per un massimo di 30 giorni prima di tornare alle operazioni normali. Le minacce minori o interruzioni che non richiedono lo spostamento a un sito alternativo non sono generalmente trattate in un piano COOP. Gli elementi standard di un COOP includono: • Piani e procedure del programma • Comunicazioni di continuità • Gestione del rischio • Gestione dei documenti vitali • Bilancio e acquisizione di risorse • Capitale umano • Funzioni essenziali • Test, formazione ed esercitazioni • Ordine di successione • Devoluzione • Delega di autorità • Ricostituzione • Strutture di continuità Piano di Comunicazione di Crisi: stabilisce le procedure standard per le comunicazioni interne ed esterne durante un'interruzione. Questo piano fornisce formati per comunicazioni appropriate all'incidente e designa individui specifici autorizzati a rispondere alle domande o a fornire informazioni al pubblico. Piano di Protezione delle Infrastrutture Critiche (CIP): serve per proteggere e recuperare le risorse critiche nazionali, riducendo i rischi e le vulnerabilità. Piano di Risposta agli Incidenti Cibernetici: stabilisce le procedure per attuare risposte agli attacchi informatici contro i sistemi informativi dell'organizzazione, permettendo al 3

4. Tutti i diritti riservati. Fabio martino de carles personale di sicurezza di identificare, mitigare e recuperare da incidenti come accessi non autorizzati, modifiche non autorizzate a hardware, software etc... Piano di Recupero dai Disastri (DRP): si applica alle maggiori interruzioni di servizio, quelle che negano l'accesso all'infrastruttura principale per un lungo periodo. Il DRP è focalizzato sui sistemi informativi ed è progettato per ripristinare l'operatività del sistema, dell'applicazione o dell'infrastruttura informatica. Piano di Contingenza dei Sistemi Informativi (ISCP): fornisce procedure la valutazione ed il recupero di un sistema dopo un'interruzione. Include informazioni come ruoli e responsabilità, informazioni sull'inventario, procedure di valutazione, procedure di recupero e test del sistema. Piano di Emergenza per gli Occupanti (OEP) delinea le procedure di prima risposta per gli occupanti di una struttura in caso di minacce o incidenti che riguardino la salute e la sicurezza del personale, l'ambiente o la proprietà. 1 Tab. Nist Special Pubblication 800-34 v.1 PIANO SCOPO AMBITO RELAZIONI CON ALTRI PIANI Piano di Fornisce procedure per Affronta i processi Piano focalizzato sui Continuità sostenere le operazioni mission-critical/business processi mission- Operativa (BCP) mission-critical/business a un livello inferiore o critical/business che può durante il recupero da esteso rispetto alle MEF essere attivato in un'interruzione del COOP. coordinamento con un significativa. piano COOP per sostenere funzioni non-MEF. Piano di Fornisce procedure e Affronta le MEF in una Piano focalizzato sulle struttura; i sistemi Continuità delle linee guida per sostenere MEF che può attivare Operazioni le MEF di informativi sono trattati diversi BCP, ISCP o DRP a (COOP) un'organizzazione in un solo in base al loro livello di unità aziendale, sito alternativo per un supporto delle funzioni secondo necessità. 1 Cfr. National Institute of Standards and Technology Special Publication 800-34 4

5. Tutti i diritti riservati. Fabio martino de carles massimo di 30 giorni, essenziali della missione. richiesto dalle direttive federali. Piano di Fornisce procedure per la Affronta le comunicazioni Piano basato sugli incidenti Comunicazione di diffusione delle con il personale e il spesso attivato con un Crisi comunicazioni interne ed pubblico, non focalizzato COOP o BCP, ma può esterne; mezzi per fornire sui sistemi informativi. essere utilizzato da solo informazioni critiche durante un evento di sullo stato e controllare le esposizione pubblica. voci. Piano di Fornisce politiche e Affronta i componenti Piano di gestione del Protezione delle procedure per la critici delle infrastrutture rischio che supporta i piani Infrastrutture protezione dei che sono supportati o COOP per organizzazioni Critiche (CIP) componenti critici delle gestiti da un'agenzia o con infrastrutture critiche e infrastrutture nazionali, organizzazione. risorse chiave. come definito nel Piano Nazionale di Protezione delle Infrastrutture. Piano di Risposta Fornisce procedure per Affronta la mitigazione e Piano focalizzato sui agli Incidenti mitigare e correggere un l'isolamento dei sistemi sistemi informativi che può Cibernetici attacco informatico, colpiti, la pulizia e la attivare un ISCP o DRP, a come un virus, worm o minimizzazione della seconda dell'entità cavallo di Troia. perdita di informazioni. dell'attacco. Piano di Recupero Fornisce procedure per Attivato dopo interruzioni Piano focalizzato sui dai Disastri trasferire le operazioni di sistema maggiori con sistemi informativi che dei sistemi informativi a effetti a lungo termine. attiva uno o più ISCP per il una sede alternativa. recupero dei singoli sistemi. Piano di Fornisce procedure e Affronta il recupero di un Piano focalizzato sui Contingenza dei capacità per recuperare singolo sistema sistemi informativi che può Sistemi un sistema informativo. informativo nella sede essere attivato 5

6. Tutti i diritti riservati. Fabio martino de carles Informativi attuale o, se appropriato, indipendentemente dagli in una sede alternativa. altri piani o come parte di un più ampio sforzo di recupero coordinato con un DRP, COOP e/o BCP. Piano di Fornisce procedure Si concentra sul personale Piano basato sugli incidenti Emergenza per gli coordinate per e sulla proprietà specifici che viene avviato Occupanti minimizzare la perdita di della struttura, non basato immediatamente dopo un vite o lesioni e proteggere sui processi mission- evento, precedendo i danni alla proprietà in critical/business o sui l'attivazione di un COOP o risposta a una minaccia sistemi informativi. DRP. fisica. 6