RTO e RPO: significato e differenza

In breve

Immagina una linea del tempo con al centro il momento del guasto. L'RPO guarda indietro: fino a che punto del passato posso tornare? Se l'ultimo backup è di ieri notte, tutto ciò che è stato inserito oggi va perso. L'RTO guarda avanti: quanto tempo passa prima che il servizio funzioni di nuovo? Entrambi si fissano come obiettivi, processo per processo, a partire dalla Business Impact Analysis.

Come funziona

• L'RPO dipende soprattutto da quanto spesso copi i dati. Un backup notturno dà un RPO di circa 24 ore; copie ogni ora o la replica continua lo riducono a un'ora o a pochi minuti.
• L'RTO dipende da come ripristini: quanto tempo serve per avere hardware disponibile, ripristinare i dati, verificare che le applicazioni funzionino, riaprire gli accessi. Un ripristino da nastro, una macchina virtuale di riserva già pronta o un sito secondario attivo danno tempi molto diversi.
• L'RTO deve restare sotto il tempo massimo tollerabile di interruzione stabilito dalla BIA, con un margine.

Obiettivi più ambiziosi costano di più. Il punto è scegliere consapevolmente: non tutti i sistemi meritano un RPO di cinque minuti.

Perché è importante

Molte aziende scoprono il proprio RTO reale durante un incidente, e di solito è molto più lungo di quanto pensassero: il backup c'era, ma ripristinare due terabyte richiede due giorni. Con un ransomware c'è un problema in più: se gli attaccanti erano in rete da settimane, l'ultima copia "pulita" può essere più vecchia dell'ultima copia in assoluto. Per questo RTO e RPO vanno verificati con prove di ripristino periodiche, non solo dichiarati in un piano di business continuity.

Esempio

Per il gestionale di uno studio professionale la BIA stabilisce che un giorno intero di fermo è il massimo tollerabile e che perdere più di mezza giornata di registrazioni sarebbe grave. Ne derivano un RTO di 8 ore e un RPO di 4 ore. Il backup notturno non basta: si aggiungono copie ogni quattro ore. Una prova di ripristino mostra che rimettere in piedi il server richiede 14 ore: si prepara una macchina virtuale di riserva e la prova successiva scende a 6.

Termini collegati

• BIA
• Business continuity
• Ransomware
• CSIRT