Resilienza operativa: quadri di riferimento e best practice

La resilienza operativa è diventata una priorità a livello di consiglio di amministrazione, poiché le organizzazioni devono affrontare minacce informatiche senza precedenti e un controllo normativo sempre più rigoroso. I166 incidenti informatici rilevanti segnalati alla Financial Conduct Authority del Regno Unito nel 2024, con89 attribuiti a attacchi informatici, illustrano la portata della sfida che le imprese moderne devono affrontare.

L’impatto finanziario dei guasti operativi continua ad aumentare: le organizzazioni si trovano ora a dover affrontare interruzioni di servizio ad alto impatto. Questa realtà spinge il passaggio da una Recovery reattiva a strategie di resilienza proattive che garantiscano la continuità dell’erogazione dei servizi anche in caso di interruzioni.

I requisiti normativi in diverse giurisdizioni impongono ora alle organizzazioni di dimostrare la capacità di garantire la continuità del servizio. Con l’entrata in vigore delLegge sulla resilienza operativa digitalee di quadri normativi simili a livello globale, la resilienza operativa è passata dall’essere una best practice a diventare un requisito normativo.

La resilienza operativa rappresenta la capacità di fornire servizi critici anche in presenza di interruzioni, mantenendo le operazioni entro livelli di tolleranza predefiniti anche durante incidenti gravi. A differenza degli approcci tradizionali alla Recovery, che si concentrano sul ripristino dopo un guasto, la resilienza operativa pone l’accento sulla fornitura continua dei servizi durante e oltre le interruzioni.

Questo cambiamento fondamentale riflette le aspettative normative nelle principali giurisdizioni: le organizzazioni devono identificare i propri servizi critici, comprendere le dipendenze, stabilire livelli di tolleranza misurabili e dimostrare la propria capacità di operare entro tali limiti.

L’approccio strutturato alla resilienza operativa affronta siale minacce informaticheche i requisiti normativi attraverso quadri di riferimento integrati. I quadri di riferimento per la resilienza aziendale forniscono la struttura generale per la preparazione organizzativa, mentre i quadri di riferimento per la gestione del rischio operativo affrontano specificamente l’identificazione, la valutazione e la mitigazione dei rischi che potrebbero interrompere i servizi critici.

Questi quadri convergono attorno a principi comuni: un approccio incentrato sui servizi, tolleranze misurabili e una validazione continua attraverso i test.

I pilastri del quadro di riferimento per la resilienza operativa

Questa tabella illustra i pilastri fondamentali che costituiscono la base dei quadri di riferimento per la resilienza operativa nelle diverse giurisdizioni normative.

La distinzione tra resilienza operativa e continuità operativa cambia radicalmente il modo in cui le organizzazioni affrontano la protezione dei servizi. La continuità operativa si concentra tradizionalmente sul ripristino dei processi interni a seguito di guasti specifici, mentre la resilienza operativa dà priorità al mantenimento dei servizi rivolti ai clienti durante le interruzioni.

Questo passaggio da una mentalità incentrata sull’entità a una incentrata sul servizio riflette la realtà secondo cuicirca due terzi delle interruzioni segnalate pubblicamentecoinvolgono fornitori IT o di data center di terze parti.

Confronto: resilienza operativa e continuità operativa

Il confronto riportato di seguito chiarisce le differenze fondamentali tra queste discipline complementari ma distinte.

Lo sviluppo della resilienza operativa richiede un approccio sistematico che sia in linea con le linee guida normative delle diverse giurisdizioni. Le componenti del quadro di riferimento riportate di seguito rappresentano il consenso tra le aspettative normative del Regno Unito, dell’UE (DORA), degli Stati Uniti federali e dell’Australia:

1. Identificazione dei servizi CBS: le organizzazioni devono stabilire quali servizi, se interrotti, causerebbero un danno intollerabile ai clienti o ai mercati. Questo processo di identificazione va oltre le tradizionali valutazioni di criticità IT; richiede infatti la comprensione delle dipendenze dei clienti, degli impatti sul mercato e degli obblighi normativi. Le società di servizi finanziari si concentrano in particolare sull’elaborazione dei pagamenti, sull’accesso ai conti e sulle funzionalità di negoziazione come servizi critici tipici.
2. Dipendenze di mappatura: una mappatura completa end-to-end mette in luce tutte le risorse necessarie per fornire ciascun servizio critico. Ciò include i sistemi tecnologici, il personale, le strutture, i flussi di dati e, soprattutto, i fornitori terzi. L’esercizio di mappatura spesso porta alla luce dipendenze nascoste: infrastrutture condivise, rischi di concentrazione e punti singoli di guasto che le valutazioni tradizionali dei rischi non rilevano.
3. Definizione delle tolleranze di impatto: le organizzazioni devono definire i livelli massimi accettabili di interruzione per ciascun servizio critico. Tali tolleranze comprendono in genere parametri temporali (per quanto tempo il servizio può subire un degrado) e parametri di volume (quale riduzione della capacità è accettabile).Lo standard australiano CPS 230 richiede specificatamente una notifica entro 24 orequalora un’interruzione superi i livelli di tolleranza definiti.
4. Test e verifica: i test basati su scenari gravi ma plausibili consentono di verificare se le organizzazioni sono in grado di mantenere i servizi entro i livelli di tolleranza. I test devono includere scenari di attacchi informatici, alla luce dei dati recenti. I cicli di test regolari sostituiscono le esercitazioni annuali da tavolo con una verifica continua.
5. Imparare e adattarsi: la creazione di cicli di feedback trasforma i risultati dei test in miglioramenti concreti. Le organizzazioni devono dimostrare in che modo mettono in pratica gli insegnamenti tratti, risolvono le vulnerabilità individuate e aggiornano i propri quadri normativi alla luce delle minacce emergenti e delle modifiche normative.

Le seguenti best practice affrontano le lacune più critiche che le organizzazioni devono affrontare nell’implementazione dei modelli di resilienza operativa:

Un ripristino pulito è fondamentale: l’intero quadro di resilienza dipende dalla capacità di ripristinare rapidamente il sistema senza reintrodurre elementi compromessi. Gli approcci tradizionali al backup falliscono quando il ransomware crittografa o danneggia i dati di Recovery.

• Buona pratica: implementareisolato (air-gapped)con le funzionalitàCommvault Cleanroom. Lo storage immutabile impedisce l’alterazione o la cancellazione dei dati di backup, mentre gli ambienti Cleanroom consentono la convalida dei sistemi ripristinati prima del ripristino in produzione. Questo approccio risolve il problema fornendo punti di ripristino di comprovata integrità.

Visibilità e test continui: le esercitazioni annuali non soddisfano più le aspettative normative né le esigenze operative. Le organizzazioni necessitano di una visibilità in tempo reale sul proprio livello di resilienza e di funzionalità di test automatizzate.

• Best practice: automatizzare i test di Recovery e sfruttare l’intelligenza artificiale e l’apprendimento automatico perIl rilevamento delle anomalie. I test automatizzati aiutano a convalidare le capacità di Recovery senza intervento manuale, mentre il rilevamento basato sull’intelligenza artificiale aiuta a identificare le minacce prima che si trasformino in interruzioni. Le organizzazioni con .

La resilienza operativa affronta direttamente il punto di incontro tra la gestione del rischio operativo ela continuità del servizio. Questo spiega perché la resilienza sia diventata una questione di interesse a livello di consiglio di amministrazione. Al di là delle ripercussioni finanziarie, i fallimenti operativi minano la fiducia dei clienti e danno adito a controlli da parte delle autorità di regolamentazione.

L’allineamento a standard quali le linee guidadel Comitato di Basileaoffre un approccio strutturato alla mitigazione del rischio. I principi di Basilea sottolineano che la governance, la gestione del rischio operativo e la pianificazione della continuità operativa sono elementi interconnessi della resilienza. Le organizzazioni devono andare oltre le semplici liste di controllo di conformità per dimostrare una reale capacità di mantenere i servizi critici.

Requisiti normativi specifici per giurisdizione

La tabella seguente illustra in dettaglio i requisiti normativi specifici e le tempistiche di attuazione nelle principali giurisdizioni.

Distinzione tra i concetti di resilienza operativa

La resilienza operativa comprende, ma va oltre, le discipline tradizionali della continuità operativa e della Recovery. Mentre la Recovery si concentra sul ripristino tecnico dei sistemi e la continuità operativa riguarda il ripristino dei processi, la resilienza operativa garantisce la fornitura dei servizi anche in caso di interruzioni. Questa distinzione è importante perché negli ultimi tre anniil 40% delle organizzazioni ha subito gravi interruzioni causate da errori umani; la Recovery tecnica da sola non può risolvere tali problemi sistemici.

Il rischio operativo rappresenta le potenziali perdite derivanti da processi inadeguati o falliti, mentre la resilienza operativa fornisce il quadro di riferimento per continuare a operare nonostante tali fallimenti. Il rapporto è complementare:la gestione del rischio identificale potenziali interruzioni, mentre la pianificazione della resilienza definisce come mantenere i servizi quando si verificano tali interruzioni.

Questa tabella fornisce una guida passo dopo passo per l’integrazione delle capacità di risposta agli incidenti all’interno di una strategia di resilienza operativa.

ResOpsrappresenta il passaggio da una resilienza basata sulla pianificazione a una pratica operativa continua.ResOpsè la pratica continua e coordinata che automatizza l’integrazione tra protezione dei dati, sicurezza informatica e Recovery per soddisfare le tolleranze di impatto definite. Questo modello operativo trasforma la resilienza da una serie di esercitazioni periodiche in capacità misurabili e in tempo reale.

Le sezioni seguenti descrivono in dettaglio come ResOps renda operativo ciascun componente del quadro di resilienza operativa:

Mappatura e tolleranza:le tecnologie ResOpsmappano automaticamente le risorse IT ai sistemi critici aziendali (CBS) e automatizzano la misurazione rispetto a soglie di tolleranza definite. Questa mappatura continua sostituisce la documentazione statica con una comprensione dinamica delle dipendenze dei servizi. Il monitoraggio in tempo reale della tolleranza fornisce visibilità immediata quando i servizi si avvicinano alle soglie definite.

Rilevamento e risposta: grazie al rilevamento delle anomalie basato sull’intelligenza artificiale e ai piani di Recovery automatizzati, diventa possibile una risposta immediata e coordinata alle minacce. Questo vettore di attacco richiede infatti capacità di risposta automatizzate che operino più rapidamente di quanto consenta l’intervento manuale.

Test e apprendimento: ResOps trasforma i test da eventi annuali a processi continui. I test automatizzati in ambiente controllato verificano le capacità di ripristino senza alcun impatto sulla produzione, mentre il monitoraggio continuo fornisce una garanzia misurabile del livello di resilienza. Questo approccio affronta ilriconoscimento della resilienza come funzione autonoma, che raggiunge il 45,5%delle organizzazioni.

Il vantaggio di Commvault:Commvault Cloudoffre la piattaforma unificata che consente la vera implementazione delle ResOps. Integrando funzionalità di backup, Recovery, sicurezza e conformità, Commvault contribuisce a trasformare la resilienza da un semplice esercizio di pianificazione in operazioni misurabili e continue che aiutano a soddisfare i requisiti normativi e le esigenze aziendali.

“DORAincarna il cambiamento normativo globale verso requisiti obbligatori in materia di resilienza. L’approccio globale del DORA copre la gestione dei rischi ICT, la segnalazione degli incidenti, i test di resilienza e la gestione dei rischi di terze parti. Le tempistiche di segnalazione degli incidenti previste dal DORA richiedonouna notifica iniziale entro 4 ore dalla classificazione e non oltre 24 ore dal momento in cui se ne viene a conoscenza.

Le banche centrali di tutto il mondo hanno emanato linee guida simili, riconoscendo che la stabilità del sistema finanziario dipende dalla resilienza dei singoli istituti. Queste normative condividono temi comuni: approcci incentrati sui servizi, soglie di tolleranza misurabili, test continui e responsabilità a livello di consiglio di amministrazione. La convergenza delle aspettative normative crea uno standard globale de facto per la resilienza operativa nei servizi finanziari.

Una pianificazione proattiva della resilienza offre vantaggi misurabili che vanno oltre la semplice conformità normativa. La capacità di mantenere i servizi entro tolleranze definite contribuisce a prevenire guasti a cascata che amplificano le interruzioni iniziali.

Il rafforzamento della posizione di conformità diventa sempre più prezioso man mano che le normative cambiano. Le organizzazioni che sviluppano autentiche capacità di resilienza si adattano più facilmente ai nuovi requisiti, evitando i costosi adeguamenti che la conformità reattiva richiede.

Prima e dopo l’attuazione del programma “Resilience”

Questa tabella mette a confronto gli indicatori chiave di prestazione prima e dopo l’implementazione dei framework di resilienza operativa. (Si noti che i risultati relativi al “Dopo l’implementazione” sono metriche di settore e non riflettono i risultati specifici dei clienti Commvault.)

L’approccio di Commvault alla resilienza operativa si concentra sull’automazione delle funzionalità fondamentali richieste dai modelli di resilienza. L’architettura unificata della piattaforma contribuisce a ridurre la complessità legata alla gestione di strumenti separati per il backup, il Recovery, la sicurezza e la conformità.

Un ripristino rapido e pulito costituisce il fondamento della strategia di resilienza di Commvault. La piattaformaCommvault CleanroomQueste funzionalità consentono di far fronte al fatto che i ripristini tradizionali potrebbero reintrodurre elementi compromessi. I processi di convalida automatizzati sono progettati per verificare l’integrità dei dati prima del ripristino in produzione, contribuendo a ridurre sia i tempi di ripristino che i rischi.

Le soluzioni di Commvault aiutano a soddisfare i requisiti normativi relativi a tempi di inattività quasi pari a zero e a una protezione completaprotezione dalle minacce informatiche. Le funzionalità di backup immutabile della piattaforma contribuiscono a prevenire manomissioni o cancellazioni, mentre la protezione “air-gap” garantisce un ulteriore isolamento dagli attacchi. Queste caratteristiche contribuiscono a garantire la conformità ai requisiti di tolleranza all’impatto in tutte le giurisdizioni.

Piano di implementazione di Commvault per la resilienza operativa

La tabella seguente illustra le fasi chiave per l’integrazione delle soluzioni Commvault in un quadro di resilienza operativa.

I responsabili IT che utilizzano Commvault per le proprie strategie di resilienza possono trarre vantaggio dalla capacità della piattaforma di unificare funzionalità che in precedenza erano disparate. Anziché gestire più strumenti per il backup, il ripristino, la sicurezza e la conformità, le organizzazioni dispongono di un’unica piattaforma che contribuisce a garantire risultati misurabili in termini di resilienza. Questo consolidamento contribuisce a ridurre la complessità, migliorando al contempo la visibilità sulle effettive capacità di ripristino rispetto ai piani teorici.

Il passaggio alla resilienza operativa va oltre la semplice conformità normativa; definisce il modo in cui le organizzazioni proteggono i propri servizi più critici in un contesto in cui le interruzioni sono inevitabili. Le organizzazioni che implementano capacità ResOps si posizionano in modo da poter soddisfare sia gli attuali requisiti normativi sia le future esigenze aziendali.