Una breve guida alla continuità operativa nella Pubblica Amministrazione

Nell’ambito della collaborazione tra Digital & Law Department – Studio Legale Lisi e FORUM PA presentiamo un prezioso contributo di Luigi Foglia che illustra gli obblighi in materia di continuità operativa e disaster recovery recentemente introdotti dal nuovo CAD – Codice dell’Amministrazione Digitale. In particolare Foglia propone un percorso per realizzare un piano di continuità operativa.

Le modifiche al D.Lgs 82 del 2005 (CAD) introdotte con il D.Lgs 235/2010 hanno introdotto numerose novità nell’ambito della Pubblica Amministrazione digitale. Una delle più interessanti è inserita nel nuovo articolo 50-bis che avvia una piccola rivoluzione all’interno della PA italiana rendendo obbligatoria la definizione di un piano di continuità operativa e di un piano di disaster recovery.

Il legislatore si è reso conto che la crescente complessità dell’attività istituzionale caratterizzata da un intenso utilizzo della tecnologia dell’informazione, ha, di fatto, reso necessario per le pubbliche amministrazioni la predisposizione di piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per il servizio e il ritorno alla normale operatività a seguito di un evento disastroso.

Diventa, quindi, obbligatorio per le Pubbliche Amministrazioni italiane la definizione di :

• a) un piano di continuità operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuità operativa, anche affidate a soggetti esterni. Il piano tiene conto delle potenziali criticità relative a risorse umane, strutturali, tecnologiche e contiene idonee misure preventive. Le amministrazioni pubbliche verificano la funzionalità del piano di continuità operativa con cadenza biennale;
• b) il piano di disaster recovery, che costituisce parte integrante di quello di continuità operativa di cui alla lettera a) e stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri di elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione. DigitPA, sentito il Garante per la protezione dei dati personali, definisce le linee guida per le soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche, verifica annualmente il costante aggiornamento dei piani di disaster recovery delle amministrazioni interessate e ne informa annualmente il Ministro per la pubblica amministrazione e l’innovazione.

Fino a questo momento, in Italia[1] ci si era posti esclusivamente il problema di stabilire procedure onde ovviare i rischi di una possibile perdita, cancellazione, distruzione o danneggiamento di tutti i dati, principalmente dati personali, che fossero di notevole rilevanza per cittadini, aziende, enti e amministrazioni.
Il D.Lgs. 196/2003, infatti, tra le misure minime di sicurezza, prevede (al numero 18 dell’Allegato B) che il titolare fornisca agli incaricati istruzioni relative al salvataggio almeno settimanale dei dati.
L’unico obbligo, quindi, era quello di prevedere opportuni sistemi di back-up che permettono di duplicare su differenti supporti di memoria le informazioni e, quindi, mettere al sicuro tali dati.

In seguito a guasti, manomissioni, o disastri il backup consente però di recuperare solo i dati salvati, ma non prevede anche la duplicazione delle risorse informatiche necessarie per utilizzare questi dati e a seguito di eventi di maggiore impatto non è possibile ripristinare in tempi brevi l’operatività dell’Ente, mettendo così in serio pericolo il suo ruolo istituzionale.

Il discorso si è così evoluto in quello che oggi viene definito “Disaster Recovery” ovvero quel complesso di regole, metodi e tecnologie da implementare per garantire il ripristino non solo dei dati ma anche dei sistemi informativi colpiti da un evento disastroso.

Ovviamente, un buon Piano di disaster recovery che permetta di preservare dati e tecnologie, non assicura, però, una veloce ripresa delle attività lavorative. Occorre fare un ulteriore passo in avanti e parlare di continuità operativa, cioè garantire il ripristino non solo dei dati ed i sistemi informativi, ma anche le risorse umane e strutturali colpite da un evento disastroso.

Ecco come il disaster recovery diventa solo una parte di un più complesso insieme di regole per gestire i danni provocati da eventi disastrosi e permettere un rapido ripristino delle attività istituzionali.

La realizzazione di un processo di continuità operativa e di disaster recovery prevede varie fasi per la sua realizzazione e la redazione dei rispettivi piani è solo una delle attività da compiere.

Proviamo, di seguito, a sintetizzare alcune delle fasi più importanti nella predisposizione di una soluzione che permetta di gestire la continuità operativa (BCM – business continuity management).

• Analisi dell’organizzazione e analisi dell’impatto

• scelta della strategia

• Implementazione della strategia

• Manutenzione

• Verifica

• Aggiornamento continuo

Analisi dell’organizzazione e analisi dell’impatto

Per poter sviluppare un’adeguata soluzione di continuità operativa e disaster recovery occorre innanzitutto comprendere la propria organizzazione, individuando tutti i processi di cui si compone.
Subito dopo occorre stabilire l’importanza di ogni singolo processo nel complesso dell’attività istituzionale.
Strumento essenziale in questa fase è la BIA (Business Impact Analisys), ovvero un’analisi dell’impatto prodotto nel tempo dall’interruzione di ogni singolo processo.
Tale analisi permetterà, quindi, di identificare, quantificare e qualificare gli impatti sull’attività in caso di perdita, interruzione o arresto dei processi aziendali, fornendo le basi sulle quali definire un’appropriata strategia di continuità operativa e Disaster Recovery.
L’analisi di impatto andrà, poi, incrociata con l’analisi dei rischi (la probabilità che un determinato evento disastroso possa colpire l’Ente) per valutare correttamente quali siano le risorse e le strutture più a rischio.

È ovvio che le possibili variante di queste analisi sono numerose; di seguito offriamo alcuni spunti relativi al disaster recovery che possono essere mutuati anche per la continuità operativa.

Relativamente al disaster recovery sono numerose le strategie elaborate e una corretta BIA permetterà di valutare la strategia migliore da seguire. L’analisi d’impatto dovrà permettere di classificare ogni singolo processo sulla base di due parametri fondamentali:

• RTO (Recovery Time Objective), tempo massimo per cui è possibile tollerare la sospensione del processo;
• RPO (Recovery Point Objective), tempo massimo che intercorre tra la produzione di un dato e la sua messa in sicurezza (ad esempio attraverso backup) e, conseguentemente, fornisce la misura della massima quantità di dati che il sistema può perdere a causa di un guasto improvviso.

Sulla base di questi parametri si potrà valutare quale tra le strategie attualmente esistenti scegliere: è possibile, infatti, classificarne vari livelli differenti che si differenziano per tempi di ripristino e costi da sostenere per la loro realizzazione.

Soluzioni cd. Cold site (predisposizione di un secondo sito senza un sito non immediatamente operativo), permettono, ad esempio, di contenere i costi, ma allungano i tempi di ripristino. D’altro canto soluzioni cd. di Mirror Site (soluzioni che prevedono la creazione di un sito informatico identico a quello di produzione con un mirroring dei dati in tempo reale e quindi immediatamente operativo) permettono il ripristino dei processi in tempi brevissimi ma a costi molto alti.
La strategia più adatta sarà quindi quella in grado di garantire il rispetto dei parametri di RTO ed RPO individuati nella fase di analisi dell’attività, con il minor costo.

Implementazione e collaudo

Individuata la Strategia più adatta potrà iniziare la fase di Implementazione.

Tale fase si svolge attraverso due momenti che procedono in modo parallelo:

• la predisposizione delle strutture di continuità operativa e disaster recovery;
• la predisposizione di un’adeguata organizzazione del personale per la gestione dell’evento disastroso;
• la redazione di un Piano di continuità operativa e disaster recovery.

In particolare, in una fase iniziale di adeguamento delle strutture, i piani di Continuità operativa e Disaster Recovery consisteranno in procedure minimali atte ad evidenziare soprattutto ruoli e macroprocessi; un maggior dettaglio del Piano sarà fornito in parallelo alla predisposizione delle strutture e verrà completato al termine degli interventi previsti dalla strategia selezionata.

A valle di questi due momenti paralleli, un momento conclusivo avrà l’obiettivo di collaudare la validità e l’efficacia delle soluzioni implementate.

Nella fase di implementazione sarà indispensabile anche definire la struttura organizzativa (unità organizzative e loro composizione, autonomie decisionali e livelli gerarchici) che meglio si adatta a governare lo stato di crisi in cui l’Ente potrebbe venire a trovarsi. Scopo della struttura organizzativa per la continuità sarà quello di assicurare la corretta esecuzione dei Piani, l’attivazione e l’utilizzo delle strutture di continuità ed il coordinamento delle attività pianificate e delle eccezioni.

Inoltre, occorrerà definire il processo che porta alla dichiarazione dello stato di crisi. Sarà necessario, infatti, definire il processo attraverso il quale si articola la gestione della crisi: i criteri di valutazione della crisi (portata dei danni e perimetro dei processi coinvolti) e di identificazione degli scenari di riferimento previsti nella strategia di continuità; le modalità di dichiarazione dello stato di crisi e di ripristino della normale operatività.

Manutanzione verifica e aggiornamento continuo

L’insieme di soluzioni e interventi implementati dall’Ente a supporto della continuità operativa possono mantenere reale validità ed efficacia solo se, a seguito dell’implementazione iniziale, viene mantenuta un’ottica di miglioramento continuo del processo di continuità.

Da un lato occorrerà mantenere il Piano e la stratregia di continuità costantemente allineati all’evoluzione dell’Ente; dall’altro si dovrà continuamente testare il piano per verificare che sia il personale, che le strutture siano sempre in grado di rispondere con efficacia agli eventi disastrosi.
Ogni verifica comporterà una successiva fase di adeguamento e miglioramento del processo sulla base delle criticità riscontrate.

Sono numerosi gli standard internazionali in tema di disaster recovery e continuità operativa ai quali le Amministrazioni Pubbliche possono fare riferimento per avere una guida nell’implementazione di idonee soluzioni. Citiamo, ad esempio, lo standard BS 25999 per la gestione della continuità operativa o lo standard ISO/IEC 24762 per il disaster recovery delle infrastrutture tecnologiche.

Soprattutto nell’individuazione di adeguate soluzioni tecnologiche sarà fondamentale il ruolo di DigitPa (di concerto con il Garante per la protezione dei dati personali) che, secondo quanto previsto dall’art. 50-bis del CAD, dovrà definire delle "linee guida per le soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche" e monitorarne la corretta implementazione.

*Avv. Luigi Foglia – Digital & Law Department – Studio Legale Lisi