Business continuity: definizione
La business continuity, o continuità operativa, è la capacità di un'organizzazione di continuare a fornire i propri prodotti e servizi essenziali a un livello accettabile durante e dopo un evento che la interrompe, che sia un attacco informatico, un guasto o un'alluvione.
In breve
La business continuity non riguarda solo l'informatica: riguarda come l'azienda continua a lavorare quando qualcosa si rompe. La norma di riferimento è la ISO 22301, che descrive un sistema di gestione della continuità operativa (BCMS). Il documento operativo che ne deriva è il piano di continuità operativa (BCP, Business Continuity Plan).
Come funziona
Un programma di continuità segue alcuni passi:
- la Business Impact Analysis, che individua i processi critici e i loro tempi di ripristino (RTO e RPO);
- la valutazione dei rischi che possono interrompere quei processi;
- le strategie: siti alternativi, lavoro da remoto, fornitori di riserva, scorte, procedure manuali, backup e infrastrutture ridondate;
- il piano: chi fa cosa, in che ordine, con quali contatti e quali comunicazioni;
- le esercitazioni e il riesame, perché un piano mai provato è un'ipotesi.
Il disaster recovery (DRP) è la parte tecnica: come si ripristinano sistemi e dati. Il BCP è più ampio e comprende persone, processi, sedi, fornitori e comunicazione. Un'azienda può ripristinare perfettamente i server e restare ferma perché nessuno sa come avvisare i clienti.
Perché è importante
Un fermo prolungato è spesso il danno più grave di un incidente, più della perdita di dati. La direttiva NIS2 include fra le misure obbligatorie la continuità operativa, la gestione dei backup, il ripristino in caso di disastro e la gestione delle crisi; ISO/IEC 27001 chiede di garantire la sicurezza delle informazioni anche durante le interruzioni; il regolamento DORA impone al settore finanziario piani di continuità ICT verificati. E molti clienti, nei loro questionari ai fornitori, chiedono di vedere il piano.
Esempio
Un'azienda manifatturiera subisce un ransomware che blocca il gestionale. Il BCP, provato sei mesi prima, prevede: produzione avanti sugli ordini già stampati per due giorni, bolle di consegna compilate su modulo cartaceo, ordini ricevuti per telefono su un registro, un messaggio predefinito ai clienti principali. Nel frattempo il CSIRT gestisce l'incidente e l'IT ripristina i sistemi nell'ordine stabilito dalla BIA. Il fatturato di quella settimana scende, ma le consegne non si fermano.
Dopo l'incidente il piano viene riesaminato: cosa ha funzionato, quali contatti mancavano, quali tempi erano ottimistici. Il riesame è parte del ciclo previsto dalla ISO 22301, non un'aggiunta.
Termini collegati
Dove lo trovi in Dottor Box
La Continuità operativa riunisce tre percorsi guidati: Business Impact Analysis, Business Continuity Plan e Backup & Recovery. A compilazione terminata chiedi con un pulsante la produzione del documento finale.
Continuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più ConformitàNIS2 · soggetti importanti
Misure di sicurezza, incidenti e fornitori per i soggetti importanti.
Scopri di più