Why Recovery Readiness Belongs on the CIO Agenda

Punti di forza

• La resilienza informatica è una questione di fiducia aziendale, che richiede ai CIO di dimostrare che i servizi critici siano in grado di riprendersi senza problemi e con livelli di interruzione accettabili.
• Le ResOps (operazioni di resilienza) spostano l’attenzione dalla semplice disponibilità dei backup al collaudo e alla convalida continui del ripristino end-to-end delle attività aziendali.
• Una pianificazione efficace della Recovery deve tenere conto delle interdipendenze tra applicazioni, identità, database, infrastruttura cloud, comunicazioni e altri sistemi critici.
• La Readiness al ripristino dovrebbe essere misurata a livello aziendale, utilizzando metriche quali il tempo di ripristino, gli obiettivi relativi al punto di ripristino, la frequenza dei test, l’integrità dei dati e la copertura dei flussi di lavoro sottoposti a test.
• Poiché le aziende dipendono sempre più dall’intelligenza artificiale, dal SaaS, dalle piattaforme cloud e dalle pipeline di dati, la resilienza deve estendersi all’integrità, alla governance, alla sicurezza e all’accessibilità dei dati sottostanti.

La fiducia viene messa alla prova durante le interruzioni

Per un’azienda di servizi tecnologici, la fiducia non è un valore astratto del marchio. Si conquista grazie alla capacità di fornire servizi sicuri e affidabili ogni giorno, anche nelle condizioni più avverse.

Gli incidenti informatici, i guasti alle infrastrutture e le interruzioni impreviste mettono alla prova ben più della semplice tecnologia di un’organizzazione. Mettono alla prova la capacità dell’azienda di continuare a operare, di mantenere gli impegni presi con i clienti e la capacità della leadership di prendere decisioni con sicurezza. Ecco perché la resilienza informatica è diventata una questione di fiducia aziendale, non semplicemente una responsabilità IT.

Il backup non è un risultato aziendale

La protezione tradizionale dei dati era spesso incentrata su una semplice domanda: disponiamo di un backup nel caso in cui qualcosa vada storto? Questo aspetto rimane importante, ma non è più sufficiente.

Dopo un incidente informatico, l’esistenza di un backup non garantisce che i dati siano integri, che l’ambiente di Recovery sia sicuro o che l’organizzazione sia in grado di ripristinare l’intero processo aziendale entro i tempi richiesti dall’azienda.

Un backup è un input. Il risultato è un’azienda funzionante.

La domanda che i leader dovrebbero porsi non è solo se i dati possano essere ripristinati, ma se sia possibile recuperare dati integri e affidabili in un ambiente pronto per la produzione con la rapidità necessaria a proteggere le operazioni, i clienti e la reputazione.

Questo è il cambiamento alla base di ResOps: considerare la resilienza non come un insieme di attività di Backup and Recovery, ma come una disciplina operativa continua volta a mantenere i servizi aziendali critici entro livelli accettabili di interruzione. Per i CIO, ciò significa spostare il dibattito da “Abbiamo dei backup?” a “Possiamo dimostrare che l’azienda è in grado di riprendersi?”.

Il processo di Recovery deve rispecchiare il modo in cui opera l’azienda

I servizi moderni non funzionano su una singola applicazione o su un unico livello di infrastruttura. Le applicazioni aziendali critiche si basano su identità, database, piattaforme di comunicazione, infrastruttura cloud e ambienti di sviluppo. Se una di queste dipendenze non è disponibile, il ripristino della sola applicazione potrebbe non essere sufficiente a ripristinare il servizio.

Ciò cambia il modo in cui i leader devono definire la Readiness al ripristino. Il ripristino non può essere considerato come un insieme di attività tecniche scollegate tra loro. L’approccio ResOps parte dai servizi aziendali critici che devono rimanere resilienti, quindi mappa le applicazioni, i dati, l’identità, l’infrastruttura e le altre dipendenze necessarie per ripristinarli entro i limiti dell’interruzione che l’azienda è in grado di tollerare.

In Persistent Systems, ciò significa adottare un approccio strutturato ai carichi di lavoro critici e comprendere le dipendenze necessarie per riportarli in funzione. L’obiettivo non è ripristinare la tecnologia fine a se stessa. L’obiettivo è mantenere la capacità di servire i clienti.

Dimostrare Recovery invece di darla per scontata

ResOps considera la resilienza come una disciplina operativa continua. Non può essere verificata tramite una checklist annuale o un rapporto che attesti il corretto esito di un backup.

Le organizzazioni devono testare regolarmente i flussi di lavoro di ripristino, eseguire il ripristino in ambienti isolati, verificare l’integrità dei dati e confermare che i sistemi ripristinati siano in grado di supportare le operazioni aziendali effettive. Man mano che gli ambienti cambiano, anche le procedure di ripristino devono adeguarsi. Nuove applicazioni, nuove integrazioni e nuove minacce possono rendere obsoleto il piano di ripristino di ieri.

La nostra collaborazione con Commvault sostiene questo passaggio dalla protezione tradizionale dei dati verso una Readiness al ripristino continua. Commvault Cleanroom fornisce un ambiente isolato in cui i team possono ripristinare i sistemi, eseguire scansioni alla ricerca di minacce, convalidare i dati e testare il ripristino prima di riportare i carichi di lavoro in produzione. Questa capacità sostiene un principio fondamentale di ResOps: la ripristinabilità non deve essere data per scontata, ma deve essere continuamente testata, convalidata e dimostrata con prove concrete.

Misurare i progressi a livello aziendale

Una strategia di resilienza richiede risultati misurabili. Inizialmente, Persistent puntava a un obiettivo di Recovery entro 24 ore. Grazie a un approccio più strutturato e costantemente testato, il nostro attuale intervallo di Recovery è più vicino alle quattro-sei ore per gli scenari end-to-end discussi nei nostri recenti test.

È qui che ResOps diventa tangibile. L’obiettivo non è semplicemente quello di condurre più test di Recovery, ma di utilizzare ogni esercitazione per identificare le lacune, migliorare il processo di Recovery e ridurre in modo misurabile il tempo e l’incertezza tra l’interruzione e il ripristino del regolare funzionamento aziendale.

Questo miglioramento è importante perché il tempo non è solo una metrica tecnica durante un’interruzione. Influisce sul servizio ai clienti, sulla produttività dei dipendenti, sui costi operativi, sul processo decisionale e sulla reputazione. Quanto più rapidamente l’organizzazione riesce a tornare a uno stato operativo regolare e funzionante, tanto più efficacemente può limitare l’impatto aziendale di un incidente.

Gli indicatori dovrebbero quindi essere collegati alle priorità aziendali. Una disciplina ResOps amplia il dibattito sulla misurazione oltre il semplice successo del ripristino, per verificare se i servizi critici possano riprendersi correttamente e entro i limiti di interruzione che l’azienda è in grado di tollerare. Il tempo di Recovery, gli obiettivi di punto di Recovery, la frequenza dei test, la convalida dell’integrità dei dati e la percentuale di flussi di lavoro critici coperti da procedure collaudate aiutano tutti i dirigenti a comprendere se la resilienza stia migliorando.

L’affidabilità dei dati è fondamentale anche al di là di Recovery

Il ruolo delle piattaforme di resilienza informatica continuerà ad ampliarsi. Man mano che le organizzazioni sfruttano sempre più dati, anche nell’ambito delle iniziative di intelligenza artificiale, devono avere la certezza che i dati siano puliti, sicuri, governati e accessibili in modo appropriato.

I sistemi di IA sono affidabili solo quanto i dati su cui si basano. L’integrità, la classificazione, la governance e il controllo degli accessi ai dati stanno quindi diventando parte integrante di uno standard di resilienza più ampio. Le stesse discipline che aiutano un’organizzazione a riprendersi in modo sicuro possono anche favorire un uso più sicuro e responsabile dei dati per le iniziative basate sull’intelligenza artificiale.

Questo è un altro motivo per cui il ResOps deve evolversi insieme al business: poiché i servizi critici dipendono sempre più dall’intelligenza artificiale, dal SaaS, dalle piattaforme cloud, dalle identità e dalle pipeline di dati, la resilienza deve abbracciare l’intero ambiente da cui tali servizi dipendono.

Cinque domande che ogni CIO dovrebbe porsi

I leader non devono occuparsi di ogni singolo aspetto tecnico, ma hanno bisogno di risposte chiare alle domande che determinano se l’azienda è davvero pronta. Queste sono anche le domande che trasformano il ResOps da un concetto tecnologico a una disciplina operativa a livello dirigenziale:

1. Quali servizi aziendali e carichi di lavoro devono essere ripristinati per primi?
2. Abbiamo individuato le dipendenze relative a identità, applicazioni, database, cloud e comunicazioni necessarie per ripristinarli?
3. È possibile ripristinare e convalidare i dati in un ambiente pulito e isolato prima di riportarli in produzione?
4. Con quale frequenza testiamo l’intero flusso di lavoro e come aggiorniamo il playbook quando l’ambiente cambia?
5. Quali prove misurabili possiamo presentare alla dirigenza per dimostrare che i nostri servizi critici possono essere ripristinati entro i limiti accettabili per l’azienda e che le nostre prestazioni in termini di Recovery stanno migliorando?

La resilienza informatica è, in definitiva, una questione di fiducia: fiducia nel fatto che l’organizzazione possa continuare a operare, fiducia nel fatto che gli impegni assunti nei confronti dei clienti possano essere rispettati e fiducia nel fatto che i dati su cui si basa l’azienda siano affidabili. Tale fiducia va conquistata attraverso la preparazione, i test e il miglioramento continuo.

Domande frequenti

D: Che cos’è ResOps?

R: ResOps è una disciplina operativa continua volta a mantenere i servizi aziendali critici entro livelli accettabili di interruzione. Porta la resilienza oltre le singole attività di Backup and Recovery, dimostrando costantemente che l’azienda è in grado di riprendersi.

D: Perché i soli backup non sono più sufficienti per garantire la resilienza informatica?

R: Un backup conferma l’esistenza di una copia dei dati, ma non dimostra che i dati siano integri, che l’ambiente di ripristino sia sicuro o che l’intero processo aziendale possa essere ripristinato con sufficiente rapidità. Il vero risultato aziendale è la capacità di riportare i servizi critici a uno stato operativo affidabile e utilizzabile.

D: Perché la pianificazione della Recovery dovrebbe concentrarsi sui servizi aziendali piuttosto che sulle singole applicazioni?

R: I servizi critici dipendono in genere da molteplici tecnologie interconnesse, tra cui identità, database, infrastruttura cloud, comunicazioni e ambienti di sviluppo. Mappare queste dipendenze consente alle organizzazioni di ripristinare il servizio nella sua interezza, anziché limitarsi a ripristinare un’applicazione lasciando indisponibili i sistemi di supporto essenziali.

D: In che modo le organizzazioni possono dimostrare di essere pronte a riprendersi da un’interruzione?

R: Le organizzazioni dovrebbero testare regolarmente flussi di lavoro completi di ripristino in ambienti isolati, verificare l’integrità dei dati, eseguire scansioni alla ricerca di minacce e confermare che i sistemi ripristinati siano in grado di supportare le effettive operazioni aziendali. Anche i piani di ripristino dovrebbero evolversi di pari passo con i cambiamenti delle applicazioni, delle integrazioni, dell’infrastruttura e delle minacce.

D: In che modo i CIO dovrebbero valutare il grado di Readiness per la Recovery?

R: I CIO dovrebbero allineare gli indicatori di resilienza alle priorità aziendali, tra cui il tempo di Recovery, gli obiettivi di punto di Recovery, la frequenza dei test, la verifica dell’integrità dei dati e la percentuale di flussi di lavoro critici coperti dai playbook testati. L’obiettivo è dimostrare un miglioramento misurabile nella rapidità e nella sicurezza con cui i servizi critici possono tornare operativi.

D: In che modo la Readiness al ripristino supporta l’intelligenza artificiale e le iniziative più ampie relative ai dati?

R: I sistemi di intelligenza artificiale dipendono da dati puliti, sicuri, gestiti in modo adeguato e accessibili in modo appropriato. Le discipline che garantiscono un Recovery affidabile – tra cui l’integrità dei dati, la classificazione, la governance e il controllo degli accessi – possono anche favorire un uso più sicuro e responsabile dei dati nelle iniziative basate sull’intelligenza artificiale.

Debashis Singhè Chief Information Officer presso Persistent Systems.