Articolo Pubblicazioni

Continuità operativa e disaster recovery nella PA: l’art. 50-bis del CAD

di · Pubblicato il 31 dicembre 2010

Abstract

Il decreto legislativo correttivo del Codice dell’amministrazione digitale approvato a fine dicembre 2010 introduce l’articolo 50-bis, che obbliga le pubbliche amministrazioni a dotarsi di un piano di continuità operativa e di un piano di disaster recovery. L’articolo spiega che cosa prevede la norma, la differenza tra i due piani, il ruolo dello studio di fattibilità tecnica e di DigitPA e le scelte tecniche e organizzative che le amministrazioni dovranno affrontare.

Vincenzo Calabrò | Continuità operativa e disaster recovery nella PA: l’art. 50-bis del CAD
 

La norma

Il decreto legislativo correttivo del Codice dell’amministrazione digitale, approvato a fine dicembre 2010, aggiunge al Codice l’articolo 50-bis, dedicato alla continuità operativa. La norma muove da una constatazione. Le amministrazioni dipendono dai sistemi informatici per erogare i servizi, e un guasto, un incendio, un allagamento o un attacco possono fermare uffici e servizi per giorni. Fino a oggi la predisposizione di piani di emergenza era lasciata alla sensibilità dei singoli enti, con il risultato che molte amministrazioni ne sono prive.
Il nuovo articolo stabilisce che le pubbliche amministrazioni, in relazione ai nuovi scenari di rischio, alla complessità dell’attività istituzionale e all’uso diffuso delle tecnologie, devono predisporre i piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per i servizi e il ritorno alla normale operatività.

Due piani

La norma distingue due documenti, che fanno parte di un unico studio di fattibilità tecnica:
  • il piano di continuità operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuità anche affidate a soggetti esterni e tiene conto delle potenziali criticità relative a risorse umane, strutturali e tecnologiche;
  • il piano di disaster recovery, che costituisce parte integrante del primo e stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione.
La distinzione ha conseguenze pratiche. La continuità operativa riguarda l’organizzazione nel suo complesso, cioè persone, sedi, fornitori, processi. Il disaster recovery riguarda la parte tecnologica, cioè dati, applicazioni e infrastrutture. Un ente può avere un ottimo sito di disaster recovery e non riuscire comunque a erogare i servizi se non sa chi deve fare che cosa quando la sede principale è inaccessibile.

Il ruolo di DigitPA

DigitPA, l’ente che ha preso il posto del CNIPA, avrà un ruolo centrale. Dovrà predisporre linee guida per la redazione dello studio di fattibilità e dei piani ed esprimere un parere sugli studi presentati dalle amministrazioni. Le amministrazioni dovranno inoltre verificare annualmente il costante aggiornamento dei piani. Le linee guida diranno nel dettaglio come classificare i servizi e quali soluzioni tecniche adottare in base alla criticità. In attesa del testo, alcune indicazioni generali sono già chiare.

Da dove partire

Il lavoro di un’amministrazione si può impostare in questo modo:
  1. censire i servizi erogati e le applicazioni che li supportano;
  2. condurre un’analisi di impatto, stabilendo per ogni servizio il tempo massimo di interruzione tollerabile e la quantità massima di dati che si può accettare di perdere;
  3. classificare i servizi in base alla loro criticità;
  4. scegliere le soluzioni tecniche per ciascuna classe, dalla semplice copia dei dati su supporti conservati altrove fino alla replica continua su un sito secondario;
  5. definire ruoli, procedure di attivazione, comunicazioni e procedure di rientro;
  6. pianificare e svolgere prove periodiche, documentandone i risultati.

Gli scenari

Un piano di continuità dovrebbe considerare scenari diversi, ciascuno con conseguenze proprie. La perdita della sede principale per incendio o allagamento rende inaccessibili persone e sistemi insieme. Un guasto grave al centro elaborazione dati lascia disponibili gli uffici ma senza applicazioni. L’interruzione della connettività isola gli uffici periferici. L’indisponibilità di una parte consistente del personale, come si è temuto durante la pandemia influenzale del 2009, richiede di sapere quali attività sono indispensabili e chi può sostituire chi. Il fallimento o l’interruzione di un fornitore critico richiede alternative già individuate.

RTO e RPO

Due parametri guidano le scelte tecniche. Il Recovery Time Objective è il tempo entro cui un servizio deve tornare disponibile. Il Recovery Point Objective è il momento a cui i dati devono poter essere ripristinati, cioè quanta perdita di dati è accettabile. Un servizio anagrafico con RTO di quattro ore e RPO vicino allo zero richiede una replica sincrona su un sito secondario. Un servizio interno che può fermarsi una settimana si può proteggere con copie giornaliere conservate in un luogo diverso. I costi crescono rapidamente al diminuire dei due valori, e l’analisi di impatto serve proprio a non spendere troppo per servizi marginali e troppo poco per quelli critici.

Le soluzioni condivise

Per i piccoli enti un sito secondario proprio è spesso fuori portata. La strada più ragionevole sono le soluzioni condivise, attraverso consorzi, unioni di comuni, centri servizi regionali o accordi di reciprocità tra amministrazioni con infrastrutture compatibili. Anche i contratti con i fornitori di servizi in outsourcing dovranno prevedere clausole su continuità e ripristino, con livelli di servizio misurabili e prove documentate.

La sicurezza dei siti alternativi

Un sito di disaster recovery contiene una copia completa dei dati dell’ente e deve essere protetto con le stesse misure del sito principale. Spesso accade il contrario. I sistemi secondari ricevono meno attenzione, non vengono aggiornati con la stessa regolarità, hanno credenziali e configurazioni diverse. Le misure del Codice privacy si applicano anche lì, e la replica dei dati verso un sito esterno è un trattamento che va considerato nel documento programmatico sulla sicurezza e nei contratti con i fornitori. Anche il canale di replica va protetto con la cifratura.

La prova

Un piano mai provato ha poco valore. La prova periodica, anche parziale, è il momento in cui emergono le dipendenze dimenticate, le procedure non aggiornate, i supporti di copia illeggibili, le password che nessuno ricorda. Le prove andrebbero pianificate almeno una volta l’anno, con scenari diversi, e seguite da una relazione con le azioni correttive.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn