Da anni, la “resilienza informatica” è caratterizzata dalla tecnologia: controlli di sicurezza, sofisticate funzionalità di rilevamento e strategie di backup sempre più solide, progettate per prevenire gli attacchi o garantire un ripristino più rapido. Questi investimenti rimangono essenziali, ma non sono più sufficienti. L’intelligenza
artificiale ha cambiato radicalmente la natura degli attacchi informatici, che ora si susseguono a una velocità tale da mettere alla prova anche le organizzazioni più consolidate. Man mano che il lasso di tempo tra la compromissione e l’interruzione dell’attività continua a ridursi, la resilienza sta diventando sempre meno una questione di prevenzione di ogni singolo attacco e sempre più una questione di garantire il funzionamento dell’azienda quando la prevenzione inevitabilmente fallisce.
Questo cambiamento è al centro del nuovo rapporto di IDC, «Resilience Operations: The Discipline that Makes Readiness Provable»
(Operazioni di
resilienza: la disciplina che rende dimostrabile la prontezza). Basato su un sondaggio condotto su oltre 500 organizzazioni nordamericane, il rapporto sostiene che la resilienza si stia evolvendo in una disciplina operativa interfunzionale che collega le priorità aziendali alla sicurezza informatica, alle operazioni IT (ITOps) e al ripristino di emergenza. Ancora più importante, il rapporto rivela diverse lacune che suggeriscono come molte organizzazioni si stiano ancora preparando ad affrontare un panorama di minacce che non esiste più.
Ecco i punti emersi con maggiore evidenza.
Il processo di ripristino dovrebbe partire dai risultati aziendali, non da quelli tecnici.
Storicamente, la pianificazione del ripristino si è concentrata sul ripristino delle infrastrutture nel minor tempo possibile, valutando il successo in base agli obiettivi relativi ai tempi di ripristino, ai tassi di completamento dei backup e alla disponibilità delle applicazioni. Sebbene tali parametri rimangano importanti, non rispondono necessariamente alla domanda che sta più a cuore ai dirigenti: quando potremo riportare l’azienda operativa?
IDC sostiene che la resilienza debba essere ancorata ai risultati aziendali piuttosto che a traguardi tecnici: ripristinare le capacità che consentono all’organizzazione di servire i clienti, generare ricavi e adempiere ai propri obblighi. Potrebbe sembrare una questione di semantica, ma cambia il modo in cui vengono stabilite le priorità di ripristino. La tecnologia diventa il mezzo per raggiungere un fine, piuttosto che il fine stesso.
La maggior parte delle organizzazioni non ha ancora definito quali siano gli aspetti più importanti.
Quasi 6 organizzazioni su 10 non hanno ancora definito appieno il proprio “minimum viable business” (MVB) – ovvero l’insieme minimo di funzioni, sistemi, processi e dati necessari per continuare a operare dopo un’interruzione.
Senza una visione condivisa di ciò da cui dipende realmente l’azienda, ogni mossa intrapresa durante la fase di ripristino diventa reattiva. Definendo il proprio MVB prima che si verifichi una crisi, si favoriscono decisioni più rapide, un miglior coordinamento durante il ripristino e, in ultima analisi, un’organizzazione più resiliente.
L’automazione sta diventando la linea di demarcazione tra resilienza e debito di ripristino.
Mentre gli autori degli attacchi automatizzano sempre più le fasi di ricognizione, sfruttamento delle vulnerabilità e movimento laterale, molte organizzazioni continuano ad affidarsi a processi di Recovery manuali. Questo squilibrio sta diventando sempre più difficile da ignorare. L’intelligenza artificiale sta riducendo i tempi degli attacchi, ma i tempi di Recovery non hanno tenuto il passo. Le organizzazioni che non riescono ad automatizzare queste attività di ripristino potrebbero ritrovarsi a impiegare giorni per mettere a punto ed eseguire i piani, mentre il danno è già stato fatto. L’orchestrazione automatizzata del ripristino, l’identificazione chiara dei punti di ripristino e la convalida coordinata stanno diventando funzionalità fondamentali per eseguire il ripristino alla velocità richiesta dagli attacchi moderni.
La tecnologia non rappresenta la sfida più grande in termini di resilienza: lo è invece l’allineamento organizzativo.
I team addetti alla sicurezza si concentrano sul contenimento, quelli dedicati alle infrastrutture sul ripristino, i dirigenti aziendali sull’impatto sui clienti e i team addetti alla conformità sugli obblighi normativi. Nessuna di queste priorità è di per sé sbagliata, ma quando si sviluppano in modo indipendente, le organizzazioni si trovano ad affrontare una crisi senza un modello operativo condiviso.
Ecco ResOps. Anziché considerare la resilienza come una responsabilità dell’IT, il rapporto la definisce come una disciplina che riunisce in modo mirato gli aspetti aziendali, di sicurezza, di infrastruttura e di pianificazione del ripristino. Il messaggio è chiaro: la resilienza dipende meno dai singoli strumenti e più dalla definizione di priorità condivise prima che un incidente costringa a prendere decisioni difficili.
I test rimangono uno degli indicatori più significativi della resilienza.
IDC ha rilevato che sono relativamente poche le organizzazioni che conducono frequentemente esercitazioni teoriche o simulazioni in cyber-range, nonostante decenni di dati dimostrino che le prove migliorino costantemente le prestazioni durante gli incidenti reali.
Le esercitazioni mettono in luce dipendenze nascoste, evidenziano lacune nella comunicazione e consentono ai team di prendere decisioni senza doverne subire le conseguenze reali. Le organizzazioni che verificano ripetutamente i propri processi di ripristino sviluppano un livello di fiducia che va oltre la semplice pianificazione.
Le sfide future in materia di resilienza stanno già prendendo forma.
Il ransomware continua a dominare i titoli dei giornali, ma sono già emerse le prossime sfide in materia di resilienza: dall’IA agentica e dalle identità delle macchine alla crittografia post-quantistica.
Queste minacce ci ricordano che la pianificazione della resilienza non può concentrarsi esclusivamente sulle infrastrutture odierne. Il ripristino coinvolge sempre più servizi “cloud”, applicazioni “SaaS”, modelli di intelligenza artificiale, identità delle macchine, fornitori terzi ed ecosistemi digitali distribuiti che dieci anni fa non esistevano.
La resilienza sta diventando misurabile.
Il modello di maturità ResOps di IDC è uno strumento prezioso per valutare lo stato attuale della vostra organizzazione. Anziché considerare la resilienza come una caratteristica che le organizzazioni possiedono o meno, questo quadro di riferimento descrive un percorso di evoluzione che porta da operazioni reattive e compartimentate a una resilienza matura e adattiva, fondata su governance, automazione e miglioramento continuo. A mio avviso, questo percorso riconosce una realtà importante: la resilienza non è mai completa. Non si tratta di acquistare una piattaforma o di portare a termine un progetto. Le organizzazioni diventano resilienti migliorando continuamente il modo in cui tecnologia, persone e processi aziendali interagiscono sotto pressione. Se vista da questa prospettiva, la resilienza assume meno le caratteristiche di un’assicurazione e più quelle dell’eccellenza operativa: una capacità che può essere valutata, rafforzata e dimostrata nel corso del tempo.
Stiamo assistendo a un cambiamento più ampio nel modo in cui le organizzazioni concepiscono la resilienza.
Il dibattito sulla resilienza si sta spostando dalla protezione delle infrastrutture alla protezione dell’azienda stessa. Ciò significa che la pianificazione del ripristino parte dai clienti anziché dai server, la governance assume la stessa importanza della tecnologia e la fiducia deriva dalla dimostrazione delle capacità piuttosto che dalla documentazione delle intenzioni. ResOps non è in realtà un nuovo framework; si tratta piuttosto di un riconoscimento più ampio del fatto che la resilienza informatica è diventata una disciplina operativa. Man mano che gli attacchi diventano più rapidi e complessi, la resilienza non sarà misurata dall’assenza di incidenti, ma dalla capacità di un’organizzazione di continuare a servire i clienti, supportare i dipendenti e mantenere la fiducia nonostante le interruzioni. In definitiva, è proprio questo che ResOps è stato concepito per dimostrare. Rajiv Kottomtharayil è Chief Products Officer presso Commvault.