Che cos'è ResOps e perché è fondamentale per la resilienza informatica

Punti di forza

• ResOps non è un prodotto tecnologico. Si tratta di una disciplina operativa interfunzionale che contribuisce a rafforzare la resilienza informatica dell’organizzazione.
• Integra il backup, il ripristino di emergenza, la sicurezza informatica, la continuità operativa e la risposta agli incidenti, allineando queste funzioni ai risultati del processo di Recovery end-to-end.
• ResOps si concentra sui servizi critici e sulle soglie di impatto definite dall’azienda, piuttosto che sui singoli componenti dell’infrastruttura.
• Si basa sulla produzione continua di prove, inclusi i risultati verificati di Recovery, gli indicatori di resilienza dei servizi e un elenco interno delle lacune.
• ResOps è un processo continuo. Né la stesura di un piano né lo svolgimento di un’esercitazione una tantum di successo sono sufficienti per stabilire una capacità di Recovery duratura.

La nuova sfida della resilienza

La maggior parte delle organizzazioni investe in sicurezza informatica, Backup and Recovery, Recovery di emergenza e continuità operativa. Tuttavia, molti dirigenti si trovano ancora di fronte a tre domande fondamentali: siamo in grado di ripristinare i sistemi? Quanto tempo richiederà il ripristino? E possiamo dimostrarlo?

Parte della sfida risiede nel fatto che la responsabilità della resilienza è distribuita tra team che spesso operano in compartimenti stagni. Il reparto di sicurezza gestisce le minacce. L’IT si occupa della manutenzione dei sistemi. I team di Backup and Recovery ripristinano i dati e l’infrastruttura. I team di continuità operativa si concentrano sul mantenimento dell’operatività dell’organizzazione. Ciascuno svolge un ruolo importante, ma la responsabilità del ripristino può rimanere frammentata.

ResOps riunisce queste funzioni attorno a priorità condivise, obiettivi di Recovery e prove concrete. Il risultato è un approccio più pratico alla resilienza: sapere cosa conta di più, comprendere cosa serve per ripristinarlo, verificare se il ripristino funziona e intervenire sulle lacune individuate.

Che cos’è ResOps?

ResOps è la disciplina operativa che riunisce sicurezza, infrastruttura, operazioni IT, continuità operativa e responsabili di business attorno a servizi critici, progettazione resiliente e convalida continua. In parole semplici, ResOps aiuta i team a prepararsi alle interruzioni, a ripristinare i servizi critici entro i limiti di tolleranza dell’impatto definiti dall’azienda e a dimostrare, sulla base di dati concreti, che il ripristino funziona.

Quattro caratteristiche definiscono ResOps. Esso è:

1. Intrinsecamente interfunzionale. Il ResOps collega responsabilità distribuite attraverso un modello operativo condiviso, una responsabilità ben definita e una governance esecutiva.
2. Incentrato sui servizi critici. Assegna la priorità ai servizi che l’organizzazione deve ripristinare per fornire valore fondamentale, servire i clienti e generare ricavi; oltre ad aiutare a soddisfare gli obblighi urgenti di natura legale, normativa, di sicurezza e relativi alla missione.
3. Convalidato continuamente. La resilienza è un approccio che i team devono esercitare e migliorare – non uno stato stabilito da un test annuale.
4. Misurato attraverso prove concrete. Il ResOps produce un punteggio di preparazione alla resilienza (RPS): un punteggio per singolo servizio, supportato da prove concrete, che misura il grado di recuperabilità di un singolo servizio critico sulla base dei risultati di convalida, dello stato di salute delle dipendenze e della fiducia nel Recovery completo.

Cosa non è ResOps?

Non è una categoria di prodotti.

Nessuna piattaforma può creare ResOps da sola. Le tecnologie di protezione dei dati, di Recovery informatico, di automazione, di osservabilità e di test possono supportare questa disciplina, ma ResOps è di natura organizzativa. Dipende dalla governance, dalla responsabilità condivisa, dalle priorità aziendali, dalle pratiche operative e da uno standard comune di prove.

Non sostituisce né il Backup and Recovery né il disaster recovery.

ResOps non sostituisce solide capacità di Backup and Recovery: dipende proprio da esse. Il backup determina se esistono copie recuperabili. Il Disaster Recovery fornisce le procedure e le capacità tecniche per aiutare a ripristinare sistemi e infrastrutture.

Ma poi ResOps pone una domanda più ampia: il servizio critico può tornare a funzionare completamente, in modo corretto e entro i limiti di tolleranza, includendo identità, applicazioni, dati, infrastruttura, servizi cloud, terze parti, persone e percorsi decisionali?

Non è un altro termine per indicare la continuità operativa o la risposta agli incidenti.

La continuità operativa definisce come l’azienda opera durante un’interruzione. La risposta agli incidenti rileva, contiene e gestisce l’evento. ResOps collega queste discipline al risultato della Recovery. Crea un ritmo operativo che consente ai team di concordare su ciò che conta, convalidare la Recovery in condizioni realistiche, misurare i risultati e colmare le lacune evidenziate dai test.

Non si tratta di un esercizio di conformità né di un progetto una tantum.

Un programma ResOps maturo può aiutare a generare prove a sostegno di consigli di amministrazione, autorità di regolamentazione, assicuratori, clienti e revisori. Ma la documentazione è un sottoprodotto, non l’obiettivo. L’obiettivo è la dimostrabilità della capacità di ripristino.

E poiché i sistemi, le dipendenze, le minacce e le priorità aziendali cambiano continuamente, il ResOps non è mai “completo”. Opera in modo continuo, proprio come la pianificazione finanziaria o le operazioni di sicurezza.

Cosa cambia con il ResOps?

Il ResOps sposta l’attenzione dal funzionamento dei singoli sistemi e processi alla capacità di ripristino del servizio critico nel suo complesso. Questo cambia le domande che i leader possono porsi.

Un backup riuscito è importante. Lo è anche avere un piano di ripristino. Ma nessuno dei due indica se un servizio critico possa effettivamente essere ripristinato quando serve. Il ResOps guarda al quadro più ampio:

• Abbiamo effettuato il ripristino da un punto di Recovery verificato e pulito?
• Quanto tempo ci è voluto?
• Abbiamo effettuato il ripristino entro i limiti stabiliti dall’azienda?
• E cosa richiede ancora attenzione?

Ecco perché il ResOps è fondamentale. Offre alle organizzazioni un modo per andare oltre le semplici ipotesi di resilienza e passare a dimostrazioni sistematiche e affidabili della loro capacità di ripristino. E lo fa attraverso la produzione continua di prove e la tracciabilità. Così, quando si verifica un’interruzione, la domanda non è se ogni team abbia fatto la propria parte o chi abbia fallito in quale compito. La domanda è se l’azienda sia in grado di ripristinare i servizi critici da cui dipendono i suoi clienti.

Per saperne di più

Commvault ha pubblicato “ResOps: An Executive Guide” per fornire a CISO, CIO e ai responsabili dei settori IT, sicurezza, resilienza e Risk un quadro di riferimento pratico per l’implementazione di ResOps nelle loro organizzazioni.

I responsabili impareranno come identificare i servizi più importanti, verificare la Readiness al ripristino con prove concrete e testare continuamente la resilienza. Di conseguenza, le organizzazioni potranno stabilire un unico modello operativo che riunisca i responsabili della sicurezza, dell’infrastruttura, delle operazioni IT e del business attorno a una capacità di ripristino basata su prove concrete.

Scarica la guida qui. 

Domande frequenti

D: ResOps è semplicemente un nuovo nome per il disaster recovery?

R: No. La Recovery è una parte essenziale del ResOps, ma il ResOps prende in considerazione l’intero servizio critico – comprese le dipendenze tecniche, di terze parti, umane e decisionali – e valuta se sia in grado di ripristinarsi entro una tolleranza di impatto definita dall’azienda.

D: ResOps richiede l’acquisto di una nuova piattaforma?

R: No. La tecnologia può supportare la mappatura, i test, il Recovery e la raccolta di prove, ma il ResOps parte dalla titolarità, dalla governance, dalle priorità aziendali e dalle pratiche operative.

D: Chi è responsabile del ResOps?

R: Il ResOps richiede un responsabile designato con autorità interfunzionale e il sostegno della dirigenza. I singoli responsabili dei servizi rimangono accountable per i propri servizi, mentre i team di sicurezza, IT, continuità operativa e aziendali contribuiscono al risultato condiviso della Recovery.

D: Come si misura il successo del ResOps?

R: Il successo deriva dall’evidenza concreta che i servizi critici siano in grado di riprendersi senza intoppi entro i limiti di tolleranza definiti, non semplicemente dal completamento di un piano o dall’esecuzione di un’operazione di backup riuscita.

Anche il punteggio di resilienza (RPS) è uno strumento di misurazione utile. Essendo un punteggio per singolo servizio, supportato da prove concrete, l’RPS aiuta a dimostrare il grado di recuperabilità di un singolo servizio critico sulla base dei risultati di convalida, dello stato di salute delle dipendenze e della fiducia nel ripristino senza intoppi.

D: In che modo le organizzazioni possono avviare un percorso con ResOps?

R: Iniziando con l’identificazione dei servizi critici da cui dipende l’azienda, chi ne è responsabile, da cosa dipendono e con quale rapidità devono essere ripristinati. Da lì, i team possono convalidare il Recovery, identificare le lacune e stabilire le priorità del lavoro necessario per rafforzare la resilienza.

Michael Thelander è direttore senior del marketing di prodotto presso Commvault.