Quando gli hacker attaccano, la velocità non è tutto. Il ripristino rapido dei dati compromessi non fa altro che reintrodurre la minaccia, creando un circolo vizioso di infezioni e reinfezioni.
Recentemente ho scritto un white paper insieme ai miei colleghi di Kyndryl intitolato “Ridefinire il Cyber Recovery: introduzione del Mean Time to Clean Recovery (MTCR)“, in cui abbiamo presentato un cambiamento fondamentale: misurare la velocità con cui è possibile ripristinare dati puliti e verificati anziché qualsiasi backup disponibile. Ecco i cinque passaggi fondamentali che determinano l’MTCR della tua organizzazione:
-
Creare un ambiente pulito in cui poter ripristinare i dati.
Il problema: il ripristino di un’infrastruttura infetta causerà semplicemente una nuova infezione dei sistemi ripristinati. La soluzione: ambienti di ripristino isolati (IRE) o camere bianche – infrastrutture di elaborazione e archiviazione separate fisicamente o virtualmente dagli ambienti di produzione, alle quali gli aggressori non hanno mai avuto accesso.
La realtà dei fatti: senza un IRE, i moderni team forensi impiegano dalle 24 alle 72 ore per certificare come “puliti” ambienti ibridi complessi. Il vostro MTCR viene automaticamente misurato in giorni, non in ore.
-
Trova dati puliti da cui eseguire il ripristino.
La minaccia nascosta: gli hacker moderni operano in modo furtivo per settimane prima di sferrare gli attacchi, disseminando payload dannosi in tutto l’ambiente, compresi i sistemi di backup. La svolta: la scansione automatizzata degli indicatori di compromissione può aiutare a identificare set di backup puliti senza dover ricorrere al ciclo di tentativi ed errori che consiste nel testare ogni backup fino a trovare quello che funziona.
Collaborazione richiesta: questa fase richiede una stretta integrazione tra i team SysOps (che gestiscono i backup) e i team SecOps (che comprendono le minacce attuali). L’analisi forense rivela le firme degli attacchi che devono essere inserite nel processo di scansione.
-
Recuperare i dati in tempi accettabili.
La scomoda verità: le soluzioni di backup aziendali spesso offrono prestazioni di ripristino pari a «oltre 10 ore per terabyte». Se si applica questo dato ai tipici servizi aziendali che richiedono centinaia di terabyte, si ottengono tempi di ripristino dell’ordine di settimane. La realtà: la maggior parte delle infrastrutture di backup è stata progettata per backup incrementali notturni (5% di modifica dei dati), non per il ripristino completo dell’attività (recupero al 100%).
La soluzione: soluzioni di cyber-resilienza appositamente progettate con capacità di ripristino ad alte prestazioni, combinate con la priorità data alla Minimum Viable Company (MVC), concentrandosi sul 20% dei servizi critici che consentono l’80% delle funzioni aziendali.
-
Mantenere l’integrità dei dati su tutta la piattaforma.
La sfida: i sistemi aziendali non esistono in modo isolato. Durante il ripristino, i sistemi ripristinati da backup effettuati in momenti diversi creano incubi in termini di integrità dei dati. Esempio di scenario:
- Database clienti: backup martedì alle 3 del mattino
- Sistema di fatturazione: backup lunedì alle 23:00
- Sistema di inventario: backup mercoledì alle 6 del mattino
Risultato: ordini per clienti inesistenti, fatture per prodotti non presenti in magazzino. Il processo: sequenziamento del ripristino basato sulle dipendenze, riconciliazione dei dati tra i sistemi integrati e controlli di coerenza completi prima del ritorno in produzione.
-
Test prima del ritorno in produzione.
La trappola della fretta: sotto pressione, i team IT spesso rimettono in funzione i sistemi senza effettuare test completi, causando il funzionamento parziale dei sistemi o la reintroduzione di residui dell’attacco.
Convalida completa:
- Test funzionali dei processi aziendali fondamentali
- Convalida della sicurezza tramite scansione delle vulnerabilità
- Verifica dell’integrità dei dati su tutte le piattaforme
- Convalida dei processi aziendali da parte dei team applicativi
Fattore critico di successo: definire in anticipo i criteri di accettazione MVC, ovvero le funzionalità specifiche che devono funzionare prima di poter considerare il processo realmente “completato”.
La sfida dell’integrazione
Non si tratta di passaggi sequenziali, ma di funzionalità interconnesse che devono funzionare insieme. La velocità del tuo MTCR dipende dal passaggio più lento e l’affidabilità dal punto di convalida più debole. La realtà degli investimenti: un ripristino pulito richiede una cyber-resilienza appositamente progettata, ambienti di ripristino isolati, strumenti di scansione automatizzati e reti di ripristino dedicate. Ma il costo dei tempi di inattività prolungati e delle reinfezioni è molto più elevato.
Prossimi passi:
- Valuta quanto tempo richiederebbe ciascuna fase nel tuo ambiente attuale.
- Identifica la tua lacuna più significativa.
- Calcola il costo dei tempi di inattività prolungati rispetto all’investimento nell’infrastruttura.
- Inizia dai servizi aziendali più importanti.
L’era del “backup and pray” è finita. Le organizzazioni che padroneggiano questi cinque passaggi non solo si riprendono più rapidamente, ma lo fanno una volta sola, in modo pulito e sicuro.
Per saperne di più
Guarda il webinar “The Missing Metric for Cyber Recovery” (Il parametro mancante per il successo del ripristino informatico) in cui discuto di questo nuovo parametro. Leggi il white paper completo, Ridefinire il Cyber Recovery: introduzione al tempo medio di ripristino pulito, per ulteriori informazioni su questo parametro fondamentale. Darren Thomson è Field CTO presso Commvault. Non perderti la serie di podcast STRIVE.
