Cyber resilienza aziendale: evitare le crisi operative

Il recente disservizio di Amazon Web Services (AWS) ha ricordato alle aziende di tutti i settori una scomoda verità: anche i fornitori più grandi e all’avanguardia non sono immuni dai guasti. 

Dai malfunzionamenti dei data center agli attacchi informatici mirati, le interruzioni di servizio sono ormai parte integrante del panorama operativo moderno. La vera domanda non è più se si verificherà un incidente, ma quanto la vostra organizzazione sia pronta ad affrontarlo quando si verificherà.  

Insieme a Tautvydas Jašinskas, responsabile della sicurezza informatica (CISO) presso ConnectPay, vediamo cosa trasforma spesso un'interruzione di servizio di lieve entità in una crisi grave – e cosa possono fare le aziende per mantenere la propria resilienza.  

Piani di continuità operativa: quelli scritti rispetto a quelli messi in pratica 

Molte organizzazioni dispongono di un piano di continuità operativa (BCP) archiviato su un’unità condivisa, ma poche lo testano regolarmente.  

Perché è importante:  

• I piani creati una volta sola e mai aggiornati diventano rapidamente obsoleti.  

• Il ricambio del personale comporta che i nuovi assunti potrebbero non avere familiarità con il proprio ruolo in caso di crisi.  

• I cambiamenti tecnologici e di fornitore spesso rendono le procedure di ripristino incomplete.  

“La differenza tra un piano che esiste e un piano che funziona sta nei test”, spiega Jašinskas. “Le aziende devono simulare scenari reali – dalle interruzioni del servizio cloud al danneggiamento dei dati – per verificare con quanta rapidità riescono a ripristinare la normale operatività”.”  

L'esecuzione di esercitazioni in tempo reale aiuta a individuare i punti deboli, come responsabilità poco chiare, contatti mancanti o dipendenze tecniche che non sono state documentate e risolte. 

Il fattore umano: la formazione trasforma le politiche in azioni concrete  

La tecnologia da sola non garantisce la resilienza: sono le persone a farlo. Sono loro il punto di forza di qualsiasi organizzazione. Durante un’interruzione, ogni minuto è fondamentale e la confusione si diffonde rapidamente se i team non hanno provato i propri ruoli.  

Perché questa rimane una sfida:  

• I team IT si concentrano principalmente sulla prevenzione, non sulle esercitazioni di ripristino.  

• Spesso non è chiaro chi abbia il potere decisionale durante gli incidenti.  

• I dipendenti danno per scontato che “qualcun altro” si occuperà della questione.  

“Quando i sistemi smettono di funzionare, non c’è tempo per leggere le istruzioni”, afferma Jašinskas. “L’istinto di reagire si acquisisce attraverso l’addestramento: quella preparazione silenziosa che trasforma l’incertezza in azione”.”   

Esercitazioni teoriche periodiche o simulazioni in condizioni reali garantiscono che, in caso di interruzione del servizio, i team reagiscano in modo automatico e non solo reattivo. 

Dipendenze da terze parti: l'anello debole nascosto  

I fornitori di servizi cloud, gateway di pagamento, e i responsabili del trattamento dei dati costituiscono la spina dorsale delle operazioni digitali, ma comportano anche un rischio condiviso.  

Perché è fondamentale gestirlo:  

• La maggior parte delle interruzioni di servizio ha origine al di fuori del controllo diretto di un’organizzazione.  

• I fornitori potrebbero non comunicare i tempi di inattività in modo tempestivo o trasparente.  

• I tempi di ripresa variano, lasciando le aziende in una situazione di incertezza.  

“Quasi tutte le aziende dipendono da una catena di fornitori”, sottolinea Jašinskas. “Ciò significa che la propria resilienza è forte solo quanto l’anello più debole di quella catena”.”  

Le aziende dovrebbero mappare le proprie dipendenze, valutare la resilienza dei fornitori e garantire che gli SLA (accordi sul livello di servizio) definiscano chiaramente le aspettative in termini di disponibilità, tempi di risposta e comunicazione durante gli incidenti. In caso di guasto di un fornitore, deve esserci un percorso di backup collaudato, che si tratti di una regione cloud secondaria, gestore dei pagamenti, o canale di comunicazione.  

Verificare la realtà, non la conformità  

I quadri normativi in materia di conformità pongono l’accento sulla resilienza operativa, ma le semplici liste di controllo non bastano a preparare le aziende alle interruzioni che si verificano nella realtà. L’obiettivo non è solo superare un audit, ma garantire la continuità operativa e mantenere la fiducia dei clienti quando i sistemi smettono di funzionare.  

“Molte organizzazioni affrontano i temi della resilienza e della continuità operativa in modo burocratico: ne parlano più di quanto non li mettano effettivamente in pratica. Elaborano politiche, procedure e documenti, ma la resilienza non si costruisce sulla carta. Si costruisce con la pratica”, osserva Jašinskas. 

La vera resilienza nasce dalla ripetizione: da prove realistiche, a volte scomode, che mettono in luce i punti deboli e insegnano ai team come reagire. E l’ironia è che nessun incidente reale si svolge mai esattamente come lo scenario che avete provato. Ma il vero valore dei test sta nell’imparare a risolvere i problemi: riconoscere gli schemi ricorrenti, individuare le cause e ripristinare l’ordine quando i piani non sono più applicabili. Le aziende che effettuano regolarmente test e adeguamenti si riprendono più rapidamente, comunicano in modo più efficace e subiscono minori interruzioni dell’attività quando si verificano problemi. 

Costruire una cultura della resilienza 

La reale preparazione va oltre l'IT. Anche i reparti finanziario, operativo, di assistenza clienti e di comunicazione svolgono un ruolo fondamentale nel ridurre al minimo l'impatto.  

Cosa contraddistingue un’organizzazione resiliente?  

• Squadre ben preparate, consapevoli delle proprie responsabilità e con i propri vice già designati e addestrati. 

• Procedure collaudate che rispecchiano l'attuale contesto tecnologico.  

• Comunicazione trasparente con i partner e i clienti durante gli incidenti.  

• Miglioramento continuo dopo ogni esercitazione o evento di emergenza reale.  

“In pratica, la resilienza deve diventare un’abitudine”, sottolinea Jašinskas. “Se si pensa alla continuità solo una volta all’anno, si è già in ritardo”.” 

Integrare la logica della resilienza nelle operazioni quotidiane, anziché considerarla un adempimento normativo da svolgere una volta all’anno, è ciò che distingue le organizzazioni proattive da quelle che vengono colte alla sprovvista.

Come diceva Archiloco: “Non raggiungiamo il livello delle nostre aspettative, ma scendiamo al livello della nostra preparazione”. Le interruzioni di servizio e gli incidenti informatici non scompariranno, ma il loro impatto può essere mitigato. Le aziende che si riprendono più rapidamente hanno una cosa in comune: si preparano, si mettono alla prova e si adattano continuamente. 

Domande frequenti: Preparazione informatica delle aziende

Qual è la differenza tra avere un piano di continuità operativa e metterlo effettivamente alla prova?

Un piano di continuità operativa (BCP) scritto che rimane inalterato diventa rapidamente obsoleto man mano che il personale, la tecnologia e i fornitori cambiano. Effettuare test tramite simulazioni in tempo reale, come esercitarsi nelle risposte a interruzioni del servizio cloud o al danneggiamento dei dati, rivela punti deboli quali responsabilità poco chiare o documentazione mancante prima che un incidente reale li metta in luce. Il divario tra un piano che esiste e uno che funziona si riduce alla pratica regolare, non alle scartoffie.

Perché spesso i dipendenti hanno difficoltà a reagire in modo efficace in caso di interruzione del servizio?

Quando i sistemi smettono di funzionare, non c’è tempo per leggere le istruzioni. I team IT tendono a concentrarsi sulla prevenzione piuttosto che sulle esercitazioni di ripristino; spesso non è chiaro chi abbia l’autorità decisionale durante gli incidenti e i dipendenti tendono a dare per scontato che sia qualcun altro a intervenire. Esercitazioni teoriche regolari e simulazioni dal vivo sviluppano l’istinto di reagire in modo automatico anziché reattivo.

Perché i fornitori terzi sono considerati un rischio nascosto per la resilienza aziendale?

La maggior parte delle interruzioni ha origine al di fuori del controllo diretto di un’azienda, a causa di fornitori di servizi cloud, gateway di pagamento o responsabili del trattamento dei dati. I fornitori potrebbero non comunicare tempestivamente i tempi di inattività e i tempi di ripristino possono variare in modo significativo, lasciando l’azienda in una situazione di incertezza. La resilienza di un’azienda dipende dall’anello più debole della sua catena di fornitori; pertanto, è essenziale mappare le dipendenze e definire chiari SLA relativi alla disponibilità e alla comunicazione.

In che modo le aziende possono rafforzare la propria resilienza al di là del solo reparto IT?

La reale preparazione abbraccia i settori della finanza, delle operazioni, dell’assistenza clienti e della comunicazione. Un’organizzazione resiliente dispone di team preparati con figure di sostituzione designate, procedure collaudate che riflettono l’attuale contesto tecnologico, una comunicazione trasparente con partner e clienti durante gli incidenti e un processo di miglioramento continuo dopo ogni esercitazione o interruzione effettiva.

Cosa rende i test di continuità operativa efficaci, anziché un semplice esercizio di conformità?

Molte organizzazioni affrontano il tema della resilienza in modo burocratico, redigendo politiche e procedure senza metterle in pratica. Il vero valore deriva da prove realistiche, a volte scomode, che mettono in luce i punti deboli e insegnano ai team come reagire. Nessun incidente reale si svolge mai esattamente come uno scenario provato, ma le prove ripetute sviluppano le capacità di riconoscimento degli schemi e di risoluzione dei problemi necessarie quando i piani non sono più applicabili.

Con quale frequenza un'azienda dovrebbe rivedere il proprio piano di continuità operativa?

La resilienza deve diventare un’abitudine piuttosto che un compito annuale. Le aziende che pensano alla continuità operativa solo una volta all’anno sono già in ritardo, poiché il turnover del personale, i cambiamenti tecnologici e i rapporti con i fornitori sono in continua evoluzione. Integrare la mentalità della resilienza nelle operazioni quotidiane, anziché considerarla un semplice esercizio di conformità annuale, è ciò che distingue le organizzazioni proattive da quelle colte alla sprovvista.