Attacchi informatici sempre più sofisticati, guasti hardware, errori umani e calamità naturali sono tutti eventi che possono mettere in crisi l’operatività di un’azienda.

In questo scenario, disporre di un piano in grado di far ripartire rapidamente sistemi e dati è ormai diventata una necessità per qualsiasi impresa, indipendentemente dalle dimensioni.

Tuttavia, il Disaster Recovery (DR) non è esclusivamente una questione di infrastruttura IT: esso rappresenta un pilastro fondamentale per l’adempimento normativo in materia di privacy e protezione dei dati personali. Vediamo meglio, in questo articolo, cos’è il Disaster Recovery, come si costruisce un piano efficace e perché è importante farlo.

Cos’è il Disaster Recovery e l’importanza della tutela dei dati

Il Disaster Recovery (DR) è il processo attraverso cui un’organizzazione ripristina sistemi informatici, dati e infrastrutture in seguito a un evento imprevisto che ne compromette il normale funzionamento.

Come detto, non si tratta solamente di attacchi informatici (che comunque rappresentano una delle cause più frequenti di interruzione dell’attività aziendale): il “disastro” può essere anche naturale, come un’alluvione o un terremoto, oppure dovuto a un errore umano.

L’obiettivo del DR è quello di ridurre al minimo il tempo di inattività (il cosiddetto downtime) e limitare la perdita di dati. Se dal punto di vista strettamente tecnico il DR si concentra sull’infrastruttura IT necessaria a far riprendere l’attività, dal punto di vista normativo rappresenta la capacità dell’azienda di tutelare i dati di clienti, fornitori e dipendenti. Senza un piano strutturato, infatti, si rischia non solo di subire danni economici rilevanti per la prolungata inattività, ma anche di incorrere in gravi inadempienze legali.

Il Disaster Recovery non va confuso, tuttavia, con la Business Continuity, di cui il DR è parte integrante. Mentre la Business Continuity ha una portata più vasta, e riguarda in generale la capacità di continuare a operare in caso di qualsiasi tipo di interruzione, il Disaster Recovery si concentra in modo specifico sull’infrastruttura e sui sistemi IT necessari a far riprendere l’attività.

Il DR può essere quindi considerato un componente specializzato e indispensabile all’interno della più ampia pianificazione della Business Continuity.

Come funziona un piano di Disaster Recovery

Un piano di Disaster Recovery efficace non si basa solo su software o server, ma nasce da un percorso organizzativo e documentale ben strutturato.

Si parte dalla valutazione dei rischi, fondamentale per individuare le minacce e classificare i processi aziendali in base alla loro criticità sui dati trattati. Segue la creazione del Disaster Recovery Plan (DRP), ovvero il documento che definisce nel dettaglio le procedure da attivare in caso di interruzione, i ruoli e le responsabilità del team incaricato, le modalità di comunicazione verso dipendenti, clienti e fornitori. È in questa fase che l’aspetto normativo diventa centrale: le procedure devono essere allineate agli obblighi di notifica di un eventuale Data Breach al Garante della Privacy entro i termini previsti dalla legge.

Infine, tale piano dev’essere implementato e testato regolarmente: solo attraverso verifiche periodiche, infatti, è possibile individuare eventuali lacune e assicurarsi che le procedure funzionino davvero quando servono. Per calibrare questa strategia, la normativa impone di tenere sotto controllo due parametri organizzativi fondamentali:

• Recovery Time Objective (RTO): il tempo massimo di inattività ritenuto accettabile per un determinato sistema;
• Recovery Point Objective (RPO): il tempo massimo che può intercorrere tra la produzione di un dato e la sua messa in sicurezza, definendo la frequenza necessaria per i backup.

L’implementazione delle soluzioni informatiche (come il backup tradizionale, il cloud o gli ambienti virtuali) è il braccio operativo di queste direttive, ma la “mente” del piano deve essere costituita da un solido inquadramento legale e procedurale.

Disaster Recovery: i vantaggi per le aziende

I vantaggi di un piano di Disaster Recovery ben progettato sono diversi e riguardano vari aspetti della vita aziendale.

Innanzitutto, garantisce una migliore continuità operativa. Infatti, un’interruzione prolungata dei sistemi informatici può tradursi in perdite di produttività, mancati ricavi e un danno all’esperienza offerta ai clienti (con conseguenze dirette anche sulla reputazione dell’impresa).

Secondo il gruppo di consulenza IT Uptime Institute, le interruzioni aziendali non pianificate possono avere costi davvero impattanti: oltre i due terzi di esse arriva a costare alle aziende più di 100 mila dollari, mentre un quarto di esse supera addirittura il milione di dollari.

Il Disaster Recovery, inoltre, aiuta a rafforzare la sicurezza complessiva dell’organizzazione, integrandosi con pratiche come la gestione delle identità e degli accessi o la crittografia dei dati, evitando anche le sanzioni connesse a violazioni della sicurezza.

Disaster Recovery e conformità normativa (GDPR e D.Lgs. 196/2003)

C’è un legame diretto e imprescindibile tra Disaster Recovery e protezione dei dati personali.

L’Articolo 32 del Regolamento generale sulla protezione dei dati (GDPR) impone alle aziende di adottare misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio. Tra queste, la normativa richiede esplicitamente “la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico“.

Un piano di Disaster Recovery proceduralmente corretto non è quindi un semplice “paracadute” informatico, ma rappresenta uno strumento concreto (e obbligatorio) per rispettare gli obblighi in materia di privacy ed evitare pesanti sanzioni in caso di violazione della sicurezza.

Il principio di Accountability (responsabilizzazione) richiede infatti che l’azienda sia in grado di dimostrare, carte alla mano, di aver pianificato accuratamente la gestione delle emergenze.

In conclusione, l’infrastruttura IT da sola non basta se le procedure non sono conformi alla legge. Vuoi capire se la documentazione e i processi della tua attività sanno garantire livelli di tutela adeguati e rispettano gli obblighi di legge in materia di privacy e tutela dei dati personali? Contattaci oggi stesso per richiedere la consulenza di un nostro esperto.

Michele Vasselai

RSPP, responsabile marketing e vendite specializzato in comunicazione d'impresa e sviluppo commerciale, motociclista e appassionato di basket.

Michele Vasselai

RSPP, responsabile marketing e vendite specializzato in comunicazione d'impresa e sviluppo commerciale, motociclista e appassionato di basket.