Un backup conta solo se sapete anche che il suo ripristino funziona. Non come supposizione, ma come qualcosa che avete effettivamente provato: un ripristino eseguito, misurato quanto tempo ha richiesto e verificato che tutto fosse tornato al suo posto. Senza quel test sapete solo che da qualche parte esiste una copia — non se quella copia vi aiuterà mai.
Per un'azienda di installazione non è una domanda teorica. Dietro la pianificazione dei tecnici, i codici di accesso agli edifici dei clienti e le integrazioni con i sistemi di sicurezza ci sono sistemi che, se si guastano, non toccano solo il vostro funzionamento aziendale ma anche l'accesso di un cliente al suo stesso immobile. Chi gestisce il team di assistenza che controlla una porta, un allarme o un impianto di climatizzazione da remoto, è per quel cliente un anello che deve continuare a funzionare.
Perché un backup non testato non conta
Un backup può rivelarsi inutilizzabile per molte ragioni nel momento in cui ne avete bisogno. Il file è corrotto, manca la chiave per decifrarlo, l'ordine in cui i sistemi devono essere ripristinati non è scritto da nessuna parte, oppure impiega semplicemente molto più tempo di quanto previsto. Non lo scoprite durante una tranquilla martedì — lo scoprite quando la pianificazione di tutti i tecnici è crollata e un cliente vi chiede perché il suo sistema di accesso non risponde da due giorni.
L'obbligo di diligenza che deriva dalla direttiva NIS2 non menziona backup e ripristino come una questione tecnica secondaria, ma come una delle misure fondamentali. Ciò che la direttiva stessa non fa è prescrivere una frequenza di test fissa — con quale frequenza testate non è scritto come numero concreto nel testo. Le autorità di controllo, in questo tipo di misure, generalmente guardano se un'organizzazione può dimostrare di sapere quali sistemi sono critici e che verifica regolarmente se il ripristino funziona effettivamente, in linea con il grado di dipendenza dell'azienda da quei sistemi.
Cosa riguarda specificamente le aziende di installazione
Per un'azienda di installazione non si tratta solo della contabilità propria. Pensate al software di pianificazione in cui i tecnici ricevono i loro itinerari e gli incarichi, il CRM con i dati contrattuali e i termini di garanzia dei clienti, e le integrazioni con i sistemi di accesso o i sistemi di gestione dell'edificio presso i clienti. Un tecnico che può connettersi tramite VPN alla rete di un cliente è per quel cliente una porta in più verso l'interno — una porta che deve potersi chiudere di nuovo se qualcosa va male.
Proprio queste integrazioni rendono il ripristino più complicato che in un sistema d'ufficio ordinario. Non si tratta solo del ripristino dei vostri dati, ma anche della questione se diritti di accesso, certificati e password per gli ambienti dei clienti dopo un ripristino siano ancora corretti. Un test che ripristina solo il vostro file system dice poco sul fatto che l'integrazione con un cliente dopo un guasto funzioni di nuovo come concordato.
Cosa significa un test nella pratica
Un test di ripristino utile consiste di alcuni elementi fissi: ripristinate effettivamente un backup, preferibilmente in un ambiente separato in modo che la prova non rappresenti un rischio per il lavoro in corso. Misurate quanto tempo richiede e lo confrontate con ciò che è accettabile per la vostra pianificazione e per gli accordi con i clienti. Verificate che tutti i dati siano completi e utilizzabili, incluse le integrazioni con i sistemi esterni. E documentate chi ha eseguito il test, quando, e quali erano i risultati — anche se il risultato non era buono, perché proprio quello è il motivo per migliorare.
Quella documentazione è subito il documento di prova che un cliente può chiedere in un questionario di sicurezza, e la parte che un'autorità di controllo si aspetta di trovare in un fascicolo sull'obbligo di diligenza. Chi vuole verificare per se stesso se quel fascicolo è già in ordine, o se ancora deve iniziare, trova in un breve controllo della vostra situazione attuale una prima indicazione, con una spiegazione del motivo.
Per le aziende che non sono sicure se questi obblighi le riguardano direttamente o se arrivano principalmente attraverso i requisiti di un cliente, la distinzione tra essere direttamente soggetti agli obblighi e essere coinvolti attraverso la catena di fornitura è spesso il punto di partenza. Questa differenza e cosa significa per il resto delle vostre misure è illustrata tra i argomenti selezionati per ogni situazione.
Chi dopo aver letto questo tipo di misure ha soprattutto domande pratiche — su cosa comporta un account, cosa rimane gratuito e cosa no — trova la maggior parte delle risposte in domande frequenti sulla piattaforma. E per chi vuole effettivamente gestire il dossier, con uno stato e un proprietario per ogni misura, è indicato sulla pagina degli abbonamenti cosa vi appartiene.
Se una copia di backup non testata nella vostra situazione rappresenti un rischio che un'autorità di controllo valuta diversamente da una testata, non è qualcosa che questo articolo può stabilire per voi — dipende dai vostri sistemi e accordi, e per questo la strada corretta rimane quella verso un giurista o l'autorità di controllo. Se invece volete prima farvi un'idea da soli della vostra situazione, potete tranquillamente fare il controllo rapido gratuito o sfogliare gli argomenti elaborati per il vostro settore.