Risk management, disaster recovery e business continuity

La sicurezza non elimina i pericoli: li governa. Per farlo servono un linguaggio preciso per misurare l’esposizione e piani formali per reagire quando qualcosa va storto. Questa unità collega la valutazione del rischio alle strategie di continuità operativa.

Vulnerability, threat e risk: tre concetti distinti

Confonderli è l’errore più comune. Vanno tenuti separati:

• Vulnerability: una debolezza o falla nel sistema (un software non patchato, una password debole, una porta aperta, un dipendente non formato). È una condizione interna che esiste a prescindere.
• Threat: un evento o attore potenziale che può sfruttare la vulnerability (un malware, un attaccante, un incendio, un errore umano). È il pericolo esterno.
• Risk: la combinazione dei due, ovvero la probabilità che una threat sfrutti una vulnerability e il relativo impatto.

Un modo sintetico di ricordarlo:

Risk = Threat × Vulnerability × Impact

Se manca uno dei fattori, il rischio tende a zero. Una vulnerability senza alcuna threat che possa sfruttarla, o una threat contro un asset senza vulnerabilità, produce rischio trascurabile.

Ranking del rischio

Il rischio si classifica incrociando likelihood (probabilità) e impact (gravità delle conseguenze) in una matrice. Le categorie tipiche sono quattro:

Il ranking serve a prioritizzare: le risorse sono limitate, quindi si affrontano prima i rischi con score più alto.

Le quattro strategie di trattamento del rischio

Una volta valutato, il rischio si tratta con una di queste opzioni:

• Accept (accettare): si convive con il rischio residuo perché il costo della contromisura supera il danno atteso (es. un rischio low).
• Transfer (trasferire): si sposta l’onere a terzi, tipicamente con un’assicurazione o esternalizzando un servizio. Il rischio non sparisce, cambia responsabile.
• Mitigate (mitigare): si riduce probabilità o impatto con controlli (patching, ACL, firewall come Firepower, segmentazione VLAN, MFA). È la strategia più frequente.
• Avoid (evitare): si elimina la fonte del rischio dismettendo l’attività o la tecnologia vulnerabile.

Data classification

Non tutti i dati hanno lo stesso valore. La data classification assegna un livello di sensibilità per applicare controlli proporzionati (cifratura, access control, retention). Uno schema commerciale tipico:

• Public: divulgabile senza danno.
• Internal / Private: uso interno, danno limitato se esposto.
• Confidential: dati sensibili (contratti, dati personali); danno significativo.
• Restricted: massima criticità (credenziali, PII regolamentate, segreti industriali).

La classificazione guida direttamente le scelte di data protection: dove applicare encryption, chi ha accesso, quanto conservare.

Disaster recovery e business continuity

Qui si gioca la disponibilità (availability). Due piani complementari, spesso confusi:

• DRP (Disaster Recovery Plan): procedure tecniche per ripristinare i sistemi IT dopo un evento disruptivo — recupero di server, rete, dati, applicazioni. È IT-centrico.
• BCP (Business Continuity Plan): piano più ampio che assicura la continuità dell’intero business durante e dopo l’incidente — processi, personale, sedi alternative, comunicazioni, fornitori. Il DRP è di fatto un sottoinsieme del BCP.

Due metriche chiave orientano la progettazione:

• RTO (Recovery Time Objective): tempo massimo tollerabile per tornare operativi.
• RPO (Recovery Point Objective): massima perdita di dati accettabile (definisce la frequenza dei backup).

Backup ed emergency response

I backup sono la spina dorsale del ripristino. La regola 3-2-1 (tre copie, su due tipi di supporto, una off-site) resta il riferimento. Tipologie: full, incremental (solo modifiche dall’ultimo backup) e differential (modifiche dall’ultimo full). Un backup non testato non è un backup: il restore va verificato periodicamente.

L’emergency response definisce chi fa cosa nei primi minuti: escalation, catena di comando, comunicazioni, contenimento. È la fase che precede e abilita DRP e BCP.

Trappole tipiche d’esame

• Scenario: una porta di rete aperta e non filtrata. → È una vulnerability, non una threat né un risk in sé.
• Scenario: l’azienda stipula una polizza assicurativa cyber. → Strategia transfer (non mitigate: il rischio è spostato, non ridotto).
• Scenario: “quale piano ripristina i server e i dati dopo un guasto?”. → DRP (ripristino IT). Se chiede la continuità di tutto il business (personale, sedi, processi), la risposta è BCP.
• Scenario: si vuole limitare la perdita di dati a massimo 1 ora. → Si sta definendo l’RPO, che detta la frequenza dei backup (l’RTO riguarda il tempo di ripristino).
• Scenario: un rischio con impatto minimo e costo di mitigazione elevato. → Strategia corretta accept, non mitigate.