Perché i modelli di Recovery tradizionali falliscono di fronte ai moderni attacchi informatici?

241 giorni. È questa la durata media del ciclo di vita di una violazione, secondo il rapporto IBM “Cost of a Data Breach Report 2025“. Il rapporto ha inoltre evidenziato che il 76% delle organizzazioni impiegava ancora più di 100 giorni per riprendersi completamente da una violazione, concedendo agli aggressori tutto il tempo necessario per compromettere i sistemi di backup e i punti di ripristino.

Le strategie tradizionali di disaster recovery sono state progettate per far fronte a interruzioni di servizio e guasti hardware, non ad attacchi mirati. Partivano dal presupposto che i backup fossero affidabili per definizione – un presupposto che ormai non è più valido.

Gli attacchi informatici non sono più eventi di sicurezza isolati. Si tratta di interruzioni a livello aziendale che mettono in luce la capacità dei team di reagire e riprendersi in un contesto caratterizzato da strumenti, segnali e processi decisionali frammentati.

Gli aggressori agiscono con pazienza e in modo deliberato. Quando si verifica la crittografia o la distruzione dei dati, molti punti di ripristino potrebbero essere già compromessi.

Il ransomware e gli attacchi informatici odierni seguono uno schema che può presentarsi così:

• Permanenza prolungata: gli aggressori possono rimanere nell’ambiente per settimane o mesi, durante i quali modificano i file, inseriscono malware dormiente, rubano credenziali e corrompono gli archivi di backup.
• Attacchi mirati ai backup: gli aggressori possono ora eliminare attivamente le istantanee, disabilitare i processi di backup, sottrarre le chiavi di Recovery e alterare i dati archiviati.

Nel momento in cui avviene la crittografia, diversi punti di ripristino potrebbero essere già compromessi.

Il rapporto IDC MarketScape: Worldwide Cyber-Recovery 2025 Vendor Assessment sottolinea che il moderno processo di Recovery deve garantire sia la sopravvivenza che l’integrità dei dati, specialmente quando gli aggressori prendono di mira direttamente i livelli di protezione.

Queste condizioni mettono in luce lacune sistemiche. I team di sicurezza e di Recovery operano spesso in modo indipendente, creando ritardi nel processo decisionale. I sistemi di backup non dispongono di meccanismi di convalida integrati, lasciando i team nell’incertezza su cosa sia sicuro ripristinare. Gli ambienti di Recovery potrebbero non essere isolati, aumentando il rischio di reinfezione.

Colmare queste lacune è fondamentale per la resilienza informatica moderna. È essenziale un approccio unificato che riunisca il rilevamento di anomalie e minacce, la protezione dei dati, le analisi assistite dall’intelligenza artificiale e la convalida di Recovery.

Perché il ripristino informatico basato su dati concreti rappresenta la strada da seguire?

Il ripristino basato sulle prove sostituisce il ripristino basato su supposizioni con una verifica continua dello stato di integrità dei dati. Anziché considerare i backup come intrinsecamente sicuri, le organizzazioni valutano i segnali lungo l’intero ciclo di vita dei dati per determinare quali punti di ripristino siano affidabili.

Che cos’è il ResOps per il cyber-Recovery?

Man mano che il cyber-Recovery diventa più complesso e delicato dal punto di vista della sicurezza, limitarsi a fare scorta di strumenti non è più sufficiente. Le organizzazioni hanno bisogno di una disciplina operativa ripetibile che allinei i team di sicurezza, IT e protezione dei dati verso un obiettivo comune.

Questo è il fondamento delle operazioni di resilienza (ResOps). ResOps considera la Recovery come una capacità operativa continua e misurabile, piuttosto che come un evento isolato. Pone l’accento sulla condivisione delle informazioni, su percorsi di Recovery convalidati e su una Readiness comprovata. Tra le sue funzionalità chiave vi è quella di contribuire a fornire:

• Visibilità continua attraverso il rilevamento delle anomalie lungo l’intero ciclo di vita dei dati.
• Rilevamento delle minacce assistito dall’intelligenza artificiale, intelligence sulle minacce e allerta precoce basata su tecniche di inganno.
• Ripristino di dati integri.
• Ambienti on-demand, fisicamente isolati (air-gapped), per convalidare i percorsi di Recovery.
• Test e miglioramenti ripetibili.

Un elemento fondamentale di ResOps è l’integrazione con l’ecosistema di sicurezza più ampio. Le architetture moderne si connettono con la gestione delle informazioni e degli eventi di sicurezza (SIEM); l’orchestrazione, l’automazione e la risposta alla sicurezza (SOAR); il rilevamento e la risposta estesi (XDR); gli endpoint; e le piattaforme di identità per favorire una risposta coordinata.

L’orchestrazione basata su SOAR è particolarmente importante durante gli incidenti in corso. Le procedure automatizzate contribuiscono a garantire un’esecuzione coerente, a ridurre gli errori manuali e ad accelerare il processo decisionale tra i team.

L’adozione del modello ResOps evidenzia un cambiamento fondamentale nella resilienza informatica, trasformando un processo tradizionalmente compartimentato in una capacità ingegneristica altamente ripetibile.

In che modo la convalida accurata garantisce una Recovery sicura?

Il ripristino dei backup non è così semplice come sembra. Eseguire i ripristini in modo affrettato può reintrodurre malware negli ambienti di produzione. Ogni punto di ripristino deve essere considerato potenzialmente sospetto fino a prova contraria.

La necessità di garantire la “pulizia” dei dati ripristinati ha portato alla creazione di procedure di validazione quali Cleanroom Recovery e Synthetic Recovery.

Cleanroom Recovery contribuisce a fornire un ambiente di ripristino veloce, on-demand e basato sul cloud per i test, la cyberforensica e il ripristino graduale. Ciò può essere realizzato utilizzando runbook automatizzati e sistemi preconfigurati per convalidare in modo sicuro i carichi di lavoro prima di riportarli in produzione.

A integrazione di ciò, Air Gap Protect contribuisce a fornire backup immutabili archiviati separatamente dall’ambiente di produzione, impedendo agli aggressori di alterare o eliminare dati critici per la Recovery.

Il “Synthetic Recovery”, assistito dall’intelligenza artificiale, estende questa validazione. Sfrutta il rilevamento del malware e la crittografia per creare un punto di ripristino composito e curato che combina la versione pulita più recente dei file presenti in tutti i backup in un unico punto di ripristino. Ciò contribuisce a ridurre la quantità di dati da ripristinare o lo scarto di dati integri durante l’esecuzione di un ripristino.

Insieme, questi meccanismi contribuiscono a trasformare Recovery da un processo basato sul “massimo sforzo possibile” in una soluzione supportata da prove concrete.

Perché la portabilità del carico di lavoro è fondamentale per i modelli di resilienza informatica?

Gli ambienti aziendali odierni comprendono infrastrutture on-premise, diversi cloud pubblici, piattaforme container e ecosistemi SaaS. Le architetture di cyber-recupero devono riflettere questa realtà. Modelli di recupero rigidi possono creare attriti e ritardi, ostacolando un recupero fluido e la sicurezza dei dati di backup.

La portabilità “any-to-any” è essenziale per la resilienza informatica. 

Il Recovery “any-to-any” su scala aziendale significa che le imprese hanno la flessibilità di:

• Ripristinare i carichi di lavoro su infrastrutture eterogenee.
• Effettuare la migrazione tra fornitori di servizi cloud quando necessario.
• Supportare scenari di ricostruzione da zero quando gli ambienti sono completamente compromessi.
• Supportare diverse migrazioni di hypervisor e piattaforme di storage.

La portabilità consente di basare le decisioni di Recovery sulle priorità aziendali piuttosto che sui vincoli della piattaforma. Contribuisce inoltre a ridurre la dipendenza dall’infrastruttura in caso di incidenti su larga scala.

In che modo il concetto di “minimo indispensabile per la Recovery” guida la continuità operativa?

Quando si verifica un grave incidente informatico, tentare di ripristinare tutto in una sola volta comporta spesso ritardi e complessità inutili. In tali scenari, partire dai sistemi minimi indispensabili dell’organizzazione e procedere gradualmente verso il pieno Recovery dell’attività può rivelarsi una strategia efficace.

Questo approccio assegna la priorità ai sistemi e ai dati necessari per ripristinare innanzitutto le operazioni aziendali fondamentali. La sequenza di Recovery si allinea all’impatto sul business piuttosto che alla topologia dell’infrastruttura. Gli elementi chiave di questa pratica includono un’elevata consapevolezza delle dipendenze, obiettivi di Recovery a più livelli, runbook automatizzati e test e perfezionamenti continui.

Il ripristino minimo essenziale offre una miriade di vantaggi:

• Recovery sicura e affidabile delle parti più critiche dell’azienda.
• Ritorno molto più rapido alla continuità operativa aziendale.
• Rapida Recovery dei sistemi di identità, delle applicazioni di comunicazione critiche e dei dati essenziali.

Il “Minimum Viable Recovery” contribuisce ad accelerare i tempi di ripristino della continuità operativa. Consente alle organizzazioni di riacquistare rapidamente la capacità operativa, anche se il ripristino completo richiede più tempo. Questo processo si allinea inoltre direttamente alla filosofia ResOps della “Readiness misurabile”.

Conclusione: integrare ogni aspetto della resilienza informatica

La resilienza informatica odierna non è definita dalla capacità di un’organizzazione di creare backup. È invece definita dalla sicurezza con cui è in grado di ripristinare operazioni affidabili sotto pressione in condizioni di vero e proprio attacco. Richiede un’architettura che contribuisca a collegare continuamente rilevamento, convalida, isolamento e orchestrazione.

In un’architettura matura, queste funzionalità si rafforzano a vicenda in tempo reale. I segnali di rilevamento contribuiscono a rafforzare la fiducia in Cleanpoint™. I flussi di lavoro di convalida testano continuamente la recuperabilità. Gli ambienti “cleanroom” aiutano a fornire un banco di prova controllato prima del passaggio alla produzione. I runbook orchestrati aiutano ad allineare il ripristino tecnico alle priorità aziendali. Quando questi elementi operano insieme nell’ambito di un modello ResOps, contribuiscono a fornire alle organizzazioni una fiducia misurabile nella propria capacità di ripristino.

Man mano che le minacce informatiche continuano a evolversi, il vantaggio determinante non sarà la rapidità con cui i sistemi possono essere ripristinati, ma l’affidabilità con cui è possibile ristabilire operazioni pulite e affidabili su larga scala.