Phoenix Protocol: rinascere dalle ceneri dopo un attacco informatico

Gli incidenti informatici coinvolgono avversari attivi e infezioni nascoste. La Recovery deve essere effettuata con cautela e verificata per evitare una nuova infezione. 

Si tratta del framework di Recovery post-attacco di Commvault, basato su Commvault AirGap e sul ripristino in ambiente isolato,su un piano di Recovery informatico e sui test del caos. 

Molti non pianificano né mettono in atto le misure di Recovery. I team impreparati spesso adottano misure frammentarie che favoriscono la diffusione dell’infezione e ritardano il ripristino. 

Il “chaos testing” simula le pressioni del mondo reale, aiutando i team a convalidare i processi e a migliorare il coordinamento prima che si verifichi un vero e proprio incidente. 

Aiutano a prevenirele manomissioni econsentono di analizzare e ripristinare in tutta sicurezza i sistemi puliti senza correre il rischio di una reinfezione. 

Per la trascrizione con l’indicazione dei tempi, guarda il videoqui

Benvenuti alla puntata di oggi del podcast SHIFT, intitolata “Il Protocollo Phoenix: come risorgere dalle ceneri”
“dopo un attacco informatico”. 

Mi chiamo Chris Dirado e oggi ho con me Michael Stempf. 

Michael, grazie per essere qui con me oggi, non vedo l’ora di parlare con te. 

Grazie, Chris. 

Quando si verifica un attacco informatico, Recovery può sembrare un compito arduo, ma rappresenta anche un’occasione per ricostruire
in modo più solido. 

In questa conversazione, approfondiremo il Protocollo Phoenix e vedremo come i nostri quattro pilastri qui a
Commvault può aiutarvi a rinascere dalle ceneri. 

AirGap Protect, l’ambiente di Recovery isolato, un piano di Recovery informatico e, soprattutto
, faccio i test in condizioni di caos. 

Insieme vedremo come le organizzazioni possano trasformare questa crisi in un’opportunità
di rinnovamento e su come uscire vincitori da un attacco. 

Allora, Michael, quali sono alcuni degli errori più comuni che le organizzazioni commettono durante il ripristino?
Dopo un attacco informatico? 

Beh, questa è una domanda a trabocchetto. 

Il problema più comune che le persone incontrano nel percorso di Recovery è che non lo pianificano finché non si presenta la
necessità di farlo. 

Bisogna essere preparati, no? 

L’evento principale, che ci piace chiamare “bang”, induce le persone a riflettere su ciò che accade subito dopo
che si è verificato. 

Ma se non ti sei organizzato, se non ti sei allenato, se non hai sviluppato quella forza mentale
che ti permette di rivivere la situazione più e più volte e di lavorare con i tuoi team, 

per creare un’esperienza di team building incentrata su di esso, non sarai preparato. 

A posteriori, ciò che abbiamo constatato più volte è che le persone cercano sinceramente di fare del loro meglio. 

Ci sarà un amministratore di sistema Windows che vuole solo dare una mano e rimettere in
gestisce i propri server, e quindi agirà in parte di propria iniziativa, ricorrendo all’IT ombra e mettendo in piedi le proprie 

sistemi. 

E abbiamo visto più e più volte che, quando fanno questo genere di cose, finiscono semplicemente
per infettare nuovamente un’area in cui l’autore dell’attacco non era presente, 

A quel punto bisogna intervenire e occuparsene di nuovo. 

E così il problema continua, pur cercando di fare del proprio meglio. 

E senza quella pratica, senza fare prove in condizioni di caos come quelle di cui parlavi,
non riusciranno a comprendere il vero livello di complessità e sofisticazione che questi 

che i malintenzionati mettono in atto contro di noi. 

E hai sollevato una questione davvero importante riguardo alle persone che cercano semplicemente di dare una mano, ma
a volte… 

Sai, si lasciano prendere la mano, vero? 

Avviare le operazioni di Recovery prima di essere effettivamente pronti a farlo. 

E così, sia per la mia esperienza che per la tua, ci siamo ritrovati in molte di queste situazioni di Recovery
. 

A volte si lavora 60, 70, 80 ore alla settimana. 

Il momento peggiore per fare qualcosa che non porta a un buon risultato finale è proprio quando sei già
Sei al limite e stai andando a tutto gas, giusto? 

Quindi, per la mia prossima domanda, vorrei parlare di alcune delle false credenze che… 

sai, quelle in cui pensiamo di essere al sicuro, ma in realtà, sai, sono solo
illusioni e alla fine non ci aiutano davvero. 

Potresti farmi qualche esempio di queste idee sbagliate? 

Sì, penso che la prima e più importante sia che tutti abbiano un piano di ripristino di emergenza. 

Ce l’hanno da anni. 

Li hanno testati per anni. 

E gli attacchi informatici sono solo un altro tipo di disastro, o almeno così credono. 

Il problema è che nel Recovery ciò che conta sono la velocità e l’efficienza. 

Giusto. 

Che si tratti di una calamità naturale, 

un tornado, un uragano, qualunque cosa possa essere. 

E non c’è alcun intento malevolo. 

E quando si entra nel mondo del cyber, la velocità e l’intensità significano semplicemente che si finirà per essere nuovamente infettati
l’ambiente. 

Bisogna procedere con calma, bisogna essere metodici, bisogna tenere conto di quella malizia,
del malintenzionato che si trova lì dentro. 

E quindi, utilizzare un piano studiato appositamente per ripristinare l’operatività del
più Il più rapidamente possibile causerà solo problemi. 

Quindi bisogna rallentare, prendere fiato. 

È necessario disporre di un piano di Recovery informatico, che forse, nella sua essenza, riprende gran parte di quanto previsto nel piano
di Recovery di emergenza, ma l’obiettivo finale è: come tornare a un sistema pulito, non come tornare 

il più rapidamente possibile. 

Questo è davvero l’aspetto più importante. 

Ma ci sono tantissimi altri aspetti che ne derivano. 

Sapete, innanzitutto, ho effettivamente visto distruggere praticamente tutto ciò che si potesse immaginare in un
attacco informatico. 

E uno dei fattori che lo rendono possibile è che oggi tutti hanno 

oggi tutto è collegato a un sistema di gestione delle identità, come ad esempio Active Directory. 

Secondo le ultime statistiche, Active Directory è presente nel 98% di tutte le aziende ed è oggetto del
Il 92% di tutti gli attacchi informatici. 

È ovvio, no? 

Una volta entrati in Active Directory, è possibile accedere ovunque. 

È la chiave del regno. 

Quindi una delle cose che consiglio sempre è… ehm… rimuovere la vostra ultima linea di difesa, estrarre
il vostro sistema di protezione dei dati di Active Directory, 

perché una delle mosse più comuni dei malintenzionati, sapendo che se il sistema di protezione
Se il sistema di protezione dei dati resiste all’attacco, è probabile che non pagherete. 

È così che si evita di pagare. 

Assolutamente. 

Una delle cose che consigliamo è di separare il sistema di protezione dei dati da Active Directory, rendendolo
autonomo, separarlo e isolarlo il più possibile. 

In questo modo, per quanto la vostra azienda possa essere distrutta, quella parte continuerà comunque a sopravvivere. 

Una breve nota: Michael ha sollevato una

Ottima osservazione riguardo a un piano di Recovery informatico. 

In alcune delle sessioni che ho tenuto, ho scoperto che molte persone non disponevano di piani di Recovery
informatico. 

Beh, noi di Commvault abbiamo la soluzione che fa al caso vostro. 

Se accedete alla nostra piattaforma di Readiness e cercate “piano di Recovery informatico”, potete scaricare
il nostro modello e personalizzarlo in base alle vostre esigenze. 

E, come ha detto Michael, alcuni elementi saranno già presenti nel vostro piano di DR. 

Prendete pure in prestito quegli elementi, va bene? 

Copiate e incollate. 

Ma avere un piano di Recovery informatico è proprio ciò che vi aiuterà a tirarvi fuori dai guai quando vi troverete
in uno di questi scenari. 

Michael, in che modo sono cambiate le aspettative relative a Recovery, passando dal semplice recupero dei dati al ripristino dell’attività?
aziendale? 

Ottima domanda. 

Sai, la maggior parte delle persone pianifica ripristini del tipo “una Z” o “due Z”. 

Ho un paio di file qui. 

Ho un server qui. 

E puoi organizzarlo, vero? 

È una questione molto matematica, vero? 

Per un D.R. 

Ho un piano. 

Ho un server. 

Ho un edificio. 

Devo sapere quanti dati ci sono e quanta larghezza di banda ho a disposizione per la 

sede, una sede geograficamente lontana, e potrei simulare scenari su questo argomento tutto il giorno. 

Il problema di un incidente informatico è che non ne conosco la portata, giusto? 

Quanti server sono stati colpiti in questa organizzazione? 

Quante sedi sono state colpite? 

Ho avuto un cliente che è stato colpito. 

Avevano 99 sedi in tutto il mondo e il malintenzionato le ha distrutte tutte. 

Pertanto, ogni copia dei dati in loro possesso, ovunque si trovasse, è stata completamente distrutta. 

Analizzare la situazione, elaborare le contromisure, testarle e metterle in pratica sono davvero alcune delle
Le cose più importanti in questo contesto, quindi bisogna assicurarsi di affrontarle in modo diverso 

che la si guardi da una prospettiva diversa e che i risultati saranno sempre diversi. 

E qui hai sollevato una questione davvero importante. 

Esistono tre tipi distinti di operazioni di Recovery che pianifichiamo in modo adeguato: 

Recovery operativo, ripristino in caso di disastri e recupero dei dati. 

Potresti spiegarci un po’ meglio ciascuna di queste, in che modo si differenziano e in che
modo 

impedisce effettivamente ai clienti di non riuscire a riprendersi in caso di incidente informatico? 

Certo. 

Il Recovery operativo è quello standard: ho cancellato un file, ne hai una copia locale da cui
puoi ripristinarlo: è rapidissimo, facile da eseguire e, nella maggior parte dei casi, automatizzato; basta semplicemente

e… 

Stavo per dire che qui a Commvault abbiamo tutti la possibilità di eseguire autonomamente le Recovery sui
i nostri portatili. 

Sono sicuro che per la maggior parte delle organizzazioni sia semplice, vero? 

Una procedura semplice. 

Assolutamente. 

Recovery, in caso di calamità naturali, 

ed è molto avanzato. 

Lo facciamo da oltre 30 anni, effettuando test trimestrali nella maggior parte delle sedi. 

In effetti, l’abbiamo fatto così tante volte che la gente si è abituata al DR. 

In realtà non lo testano più. 

Quello che fanno di solito adesso è trasferire il loro data center da una sede all’altra
ogni sei mesi e dire: «Ehi, siamo in produzione». 

È un buon test. 

Ma poi, per quanto riguarda quest’ultimo aspetto, ovvero la sicurezza informatica, sono necessarie alcune misure specifiche. 

La prima, e credo la più importante, è una copia terziaria dei dati. 

Una terza copia dei dati che si trova all’interno dell’infrastruttura di qualcun altro perché, come sapete, i
i malintenzionati avranno accesso ad AD, avranno il controllo dell’intero ambiente, 

avranno tutte le tue credenziali cloud. 

Quindi, avere solo quella seconda copia dei dati, che normalmente verrebbe distribuita
Dal punto di vista geografico, non si tratta di una protezione sufficiente. 

Dovete quindi assicurarvi che si trovi all’interno dell’infrastruttura di qualcun altro, che sia
immutabile e indelebile. 

Il fatto che sia indelebile garantisce quella governance necessaria per assicurarsi che 

nessuno, nemmeno chi possiede credenziali con privilegi elevati ottenute da AD, possa modificare
per cancellare quei dati. 

Sono quei dati che ci salveranno quando saremo sotto attacco. 

Sappiamo che saranno lì al momento giusto, perché non possono essere cancellati, come hai detto, non possono
devono essere modificati e devono soddisfare requisiti rigorosi. 

E poi, affinché un malintenzionato possa entrarne in possesso, non dovrebbe solo violare la tua
organizzazione, ma dovrebbe violare anche la nostra, giusto? 

Quindi si tratterebbe davvero di un attacco su due fronti che dovrebbe riuscire a portare a termine. 

Detto questo, quindi… 

sappiamo di poter disporre di una copia dei dati sicura e protetta. 

Dove dovremmo ripristinare quei dati in caso di attacco informatico? 

Questo è proprio il punto a cui nessuno pensa mai, vero? 

Circa il 17% di tutti gli attacchi sono attacchi distruttivi, in cui gli hacker penetrano nel firmware e
nel BIOS dei server, e non è possibile ripristinarli. 

Ma questo fa parte del piano di tutti. 

Tornerò esattamente al punto di partenza. 

E al giorno d’oggi, anche se quel 17% è una percentuale piuttosto bassa, la maggior parte dei CISO 

visto che non si sa se si sia trattato di un attacco distruttivo, ragionano così: «Devo presumere che sia
“distruttivo”. 

Pertanto, la maggior parte delle aziende non dispone di un piano che preveda 50 server pronti all’uso nel proprio magazzino.
 

E quindi, nel contesto attuale, è necessario disporre di un ambiente di Recovery isolato. 

In primo luogo, è un luogo sicuro in cui posso effettuare il ripristino e, in secondo luogo, è un luogo che posso promuovere
in produzione e in cui so che il malintenzionato non è presente. 

Pertanto, proprio come una di quelle aree chiave di cui parlavi prima, 

Un ambiente di Recovery isolato, che chiamiamo “clean room”, è essenziale per la resilienza informatica
. 

Certo, quindi ora abbiamo una buona base: sappiamo di avere copie dei nostri dati, al sicuro e protette, e ora
abbiamo un posto dove trasferire quei dati e, come hai sottolineato prima, possiamo ripulirli 

e pulirli prima di trasferirli in produzione. 

E una delle caratteristiche che, secondo me, qui a Commvault non riceve abbastanza attenzione è la nostra
portabilità “any-to-any”, giusto? 

Perché, come hai detto tu, potrebbe verificarsi un attacco distruttivo a livello locale; a quel punto devi cambiare
strategia, giusto? 

Devi… 

bisogna andare da qualche altra parte; quanto tempo ci vuole per procurarsi nuovo hardware? 

Forse sei settimane? 

Non puoi restare fermo per sei settimane senza un server di produzione. 

Puoi trasferire i tuoi carichi di lavoro sul tuo fornitore di servizi cloud preferito o su un hypervisor diverso, e
Questo ti offre davvero la flessibilità necessaria per riprenderti dopo uno di questi attacchi. 

In realtà, uno dei punti di forza di
Commvault rispetto ai concorrenti, di cui non si parla mai, è il fatto che da anni offriamo soluzioni “any-to-any”. 

Quindi, se voleste… 

avere un ambiente VMware on-premise e poi trasferirlo su un ambiente AWS EC2, il tutto
avviene in modo automatico. 

Succede durante il ripristino, non devo preoccuparmi di nulla. 

E la gamma di variabili “da qualsiasi piattaforma a
“qualsiasi altra” che offriamo, da una piattaforma all’altra, È assolutamente incredibile e supera di gran lunga quella di chiunque altro nel settore. 

Sì, offriamo davvero ai nostri clienti tutte le opzioni che potrebbero mai desiderare, proprio quando si
Si tratta di questo? 

Assolutamente. 

Va bene, allora cambiamo argomento. 

Quali sono le sfide che riscontri più spesso in questo momento in relazione a questi attacchi informatici? 

La prima è la mancanza di preparazione. 

Bisogna affrontarlo come se fosse una catastrofe. 

Quando si parla di Recovery di emergenza e di come riprendersi da un evento del genere, in genere si ricorre a
Un amministratore addetto ai backup, giusto? 

E questa persona, in quel caso, 

Io li chiamo sempre così: sono considerati una sorta di divinità, giusto? 

Quando si arriva alla fase del Recovery, è come se si dicesse: «Non avvicinatevi a questa persona,
«Non statele troppo addosso, limitatevi a portarle qualcosa da mangiare e da bere ogni tanto e lasciatela fare», 

perché ha elaborato il piano fin dall’inizio. 

Ed era tutta colpa sua. 

Il problema è che quella persona non ha praticamente alcuna responsabilità in caso di attacco informatico. 

Non può semplicemente iniziare a ripristinare i sistemi perché ciò provocherebbe una fase di reinfezione. 

Devi collaborare con i tuoi team di sicurezza, i team IT, l’ufficio legale e i team di comunicazione:
Tutte queste persone devono lavorare insieme, ma non l’hanno mai fatto prima. 

E mi piace sempre scherzare dicendo che probabilmente l’ultima volta che il team di sicurezza e quello
Si sono incontrati quando hanno giocato l’uno contro l’altro in una partita di baseball durante un 

evento. 

Sono sempre l’uno contro l’altro, mai nella stessa squadra. 

Ma quando si verifica un incidente informatico, se sono io il sostituto, io… 

Non ho l’autorità per eseguire una Recovery finché qualcuno del reparto sicurezza non mi dia l’autorizzazione a farlo
farlo. 

E il personale addetto alla sicurezza non può svolgere il proprio lavoro finché qualcuno del reparto IT non
interviene. 

Si tratta quindi di questo principio di controlli e contrappesi, che è un concetto del tutto estraneo a qualsiasi Recovery dati
prima che si verifichino incidenti informatici. 

Sì, e sai, la cosa che mi fa ridere è che, pensa all’ultima volta che hai interagito
con un amministratore di backup, giusto? 

Probabilmente è stato: “Ehi, ho perso un’e-mail o un foglio di calcolo”, e cosa hanno fatto? 

L’ha ripristinato in pochi minuti, giusto? 

Ora, per tornare al tuo punto, non possono farlo. 

Non possono farlo perché non si sa cosa sia stato compromesso. 

Non sai se hanno colpito una dozzina di server, se hanno colpito l’intera farm ESX, e non puoi
semplicemente iniziare a ripristinare le cose perché questo ti riporterebbe esattamente al punto di partenza. 

Deve davvero essere un lavoro di squadra, giusto? 

Alla fine tutti devono unirsi, lavorare insieme, collaborare per rimettere in piedi l’organizzazione
. 

Sono d’accordo. 

Quali sono quindi alcune delle lezioni più importanti che le organizzazioni hanno imparato dopo aver subito un
attacco informatico? 

Le lezioni apprese variano. 

Sono di ogni tipo. 

Penso che la cosa più importante sia – e in genere si capisce dopo il secondo attacco, dato che
è molto comune subire fino a quattro attacchi all’anno – che non si tratta di qualcosa di veramente pianificabile. 

Non si riescono a prevedere scenari che si verifichino esattamente come li si
immagina quando si verifica quell’evento informatico. 

Ci sono tantissime variabili diverse. 

Il punto è questo: nel disaster recovery, è molto facile pianificare le misure da adottare in caso di tornado. 

Un tornado probabilmente distruggerà un edificio. 

Un’alluvione può distruggere… 

forse i piani inferiori di un edificio, ma è pianificabile, è simulabile, posso intervenire e farlo
. 

Nel caso degli attacchi informatici, ci sono tantissimi modi diversi in cui possono attaccare. 

Tanti modi diversi in cui possono entrare, tanti modi in cui possono distruggere le informazioni. 

Diamine, al giorno d’oggi non si tratta nemmeno più tanto di ransomware, giusto? 

Ci sono attacchi che avvengono semplicemente perché qualcuno vuole eliminare un concorrente, o perché un
governo vuole eliminare un altro governo. 

Si tratta semplicemente di puro intento malevolo senza alcun ritorno economico, se non quello di distruggere
il proprio nemico. 

È difficile prepararsi a questo. 

Certo. 

Quindi quello che dobbiamo fare è davvero applicare quella teoria del caos quando effettuiamo i nostri test. 

Una delle cose che mi piace sempre fare quando mi occupo di questi test è che
hanno sempre un elenco predefinito di ciò che è stato attaccato, giusto? 

Sanno sempre esattamente quali server sono coinvolti e, cosa fantastica, alle riunioni con noi sono sempre presenti tutti i
responsabili di quei server. 

Assolutamente. 

E una delle cose che mi piace sempre fare è scrivere i nomi dei server sul retro
delle carte da gioco, 

poi le lancio contro il muro e quelle che cadono a faccia in su sono proprio quelle
che sono state colpite. 

Quindi questo è un ottimo modo per introdurre qui la metodologia del caos in modo da poter effettuare i test. 

E una volta che avete effettuato i test in tanti modi caotici diversi, non dirò che siete
preparati per quell’attacco, ma avete un’idea e una comprensione di quale sarà l’impatto 

e di come potrete riprendervi al meglio. 

Sì, e conosci il tuo punto di svolta, giusto? 

Ehi, se so che se succede X, passerò a Y, giusto? 

Se so che se faccio Y e non funziona, passerò a Z. 

E penso che non si possa essere preparati a tutti questi scenari, ma più si è
preparati quando ciò accade davvero, più si tratta di quella memoria muscolare, giusto? 

Del tipo: «Ehi, so che saremo in grado di farlo perché mi sono preparato, mi sono
preparato per tutte queste situazioni». 

So che qualche anno fa l’FBI diceva: “Ehi, se subisci un attacco informatico,
devi seguire questa serie di procedure”. 

E poi, un anno dopo, hanno cambiato il messaggio in: 

quando subisci un attacco informatico, devi fare questo. 

E quest’anno dicono: “Considerando il numero di volte in cui sarete colpiti da un attacco informatico
, dovete essere pronti, dovete essere preparati”. 

Puoi approfondire un po’ di più su come si concretizza questa preparazione? 

Sì, quindi è una cosa frequente, e per questo penso che la cosa più importante nella preparazione sia cambiare
mentalità. 

E la mentalità non cambia in base a “se”, “quando” o “con quale frequenza”, ma consiste piuttosto nel dover
partire dal presupposto di essere già stati violati. 

Sai, ci piace sempre scherzare dicendo che al mondo esistono due tipi di aziende. 

Quelle che sanno di aver subito una violazione e quelle che non sanno di averla subita. 

E anche se questo non è del tutto vero, voglio dire, siamo onesti, l’anno scorso in America solo il 60% delle aziende ha subito
una violazione, giusto? 

Quindi avevate una possibilità, avevate il 40% di probabilità di non aver subito una violazione, ma quello era solo un
anno. 

Sì, che fortuna. 

Ma se adotti la mentalità secondo cui presumo che ci sia stata una violazione, 

quando domani andrò al lavoro, prenderò decisioni diverse. 

Guarderei le cose in modo diverso, le analizzerei in modo diverso e, si spera, darei
il via a quell’esperienza di team building, coinvolgendo l’IT e l’ufficio legale e 

discutendo di cose di cui normalmente non avrei parlato con loro. 

Quindi, sai, è curioso: hai detto che il 60% delle organizzazioni ha subito una violazione. 

Il punto è questo: l’altro giorno ho letto una statistica secondo cui nel 2025 si verificherà un attacco informatico ogni
14 secondi. 

Quel numero mi sembra pazzesco. 

Un altro dato davvero sbalorditivo è che si prevede che il crimine informatico raggiunga i 10,5
trilioni di dollari quest’anno. 

Quindi, anche se si trattasse solo del 60% delle organizzazioni negli Stati Uniti, non si arriva
a 10 trilioni di dollari senza prendere di mira tutti, giusto? 

Non è che prendano di mira solo l’1% delle grandi aziende, giusto? 

Prendono di mira tutti. 

Per mettere le cose in prospettiva: 10 trilioni di dollari, se li si considerasse dal punto di vista del PIL dei
paesi di tutto il mondo, rappresenterebbero il terzo paese più grande del mondo. 

È incredibile. 

Il crimine informatico: il terzo paese più grande del mondo. 

È incredibile. 

Ok, penso sia ora di cambiare argomento, giusto? 

Abbiamo parlato molto degli aspetti negativi e delle difficoltà. 

Parliamo di come ridurre questa tempistica di 24 giorni. 

Parliamo di cosa possono fare i clienti non solo per riprendersi da questi attacchi, ma anche per reagire
e magari uscirne addirittura rafforzati. 

Li chiamiamo i nostri quattro pilastri. 

È molto importante. 

Quindi, prima di tutto, è necessario disporre di una copia terziaria dei dati ospitata sull’infrastruttura di
un altro soggetto. 

Ora si dispone di una copia valida e pulita, immutabile e indelebile. 

È necessario disporre di un luogo in cui ripristinarli, ovvero un ambiente di Recovery isolato. 

Noi lo chiamiamo “clean room”. 

Questo vi permette di, ehm, effettuare i test, che sono la priorità assoluta. 

Non riusciremo a ridurre i 24 giorni, nemmeno applicando questi metodi, se non effettuiamo i
test con essi. 

Quindi devi avere un luogo dove andare a testare, perché non puoi interrompere la produzione. 

Lì si possono anche effettuare analisi forensi. 

Spesso, ad esempio, non si è nemmeno sotto attacco, ma si introduce un nuovo
strumento di sicurezza informatica e si vuole testarlo all’interno della propria organizzazione. 

Non si vuole semplicemente rilasciare del malware all’interno della propria organizzazione per vedere come lo rileva. 

E non si vuole nemmeno andare in un ambiente sterile che non assomigli in alcun
modo alla propria produzione. 

Quindi, con Commvault Cleanroom, posso ripristinare il mio ambiente in una posizione sicura, 

e posso rilasciare un malware al suo interno per verificare l’efficacia di quel sistema di sicurezza informatica. 

D’altra parte, se venite colpiti – come mi è successo una volta in cui non si è trattato di un
attacco distruttivo – una volta ottenuto il via libera, potremmo procedere al ripristino dei dati, ma il governo degli 

Stati Uniti è intervenuto dicendo: “Non potete ripristinare i dati in questo momento”. 

Non avevamo mai visto questo malintenzionato né questo tipo di attacco. 

Quindi hanno voluto condurre la propria analisi forense. 

Una domanda veloce: qual era il loro SLA in quel caso? 

Sì, hanno superato di gran lunga il… 

Sì, certo, giusto? 

Non c’è alcuno SLA quando è il governo a occuparsene. 

No, per niente. 

Ci sono volute due settimane. 

Due settimane perché il governo facesse le sue ricerche. 

Quindi non sarebbe stato fantastico se avessi avuto Commvault Cleanroom e avessi potuto ripristinare
quelle macchine in quell’ambiente e dire: «Ehi, prendetevi tutto il tempo che volete. 

“Procedete pure con le vostre valutazioni, chiaritevi le idee. 

Noi torniamo al lavoro». 

Sì, fantastico. 

Davvero fantastico. 

Quindi, ho dei dati validi. 

Ho un ambiente pulito dove posso trasferire i dati. 

La prossima cosa, e la più importante, è il piano di Recovery informatico, di cui abbiamo già parlato, il che
è fantastico. 

Il piano descriverà tutto nei dettagli, ma ci sono alcuni elementi che devono essere inclusi in quel piano di Recovery informatico
che, di per sé, sono molto difficili da ottenere. 

Quindi si tratta di un’analisi completa della mappatura di tutte le vostre applicazioni. 

Se devo ripristinare solo un paio di file da un file server, non mi interessa granché. 

Se devo ripristinare, ad esempio, Epic per un ambiente sanitario, e questo sistema ha 32
server diversi che interagiscono tra loro, 

devo ripristinarli tutti. 

Devo ripristinarli tutti in uno stato coerente. 

E spero che abbiate effettuato l’analisi per scoprirlo, per realizzare la mappatura delle applicazioni. 

Esistono alcuni strumenti che ti aiutano a farlo, ma, ad essere onesti, è un processo molto difficile
. 

Sì, come fai a capire che 32 server alimentano una macchina, giusto? 

E la maggior parte delle persone dice: “Beh, lo sappiamo perché stiamo per ripristinare i nostri server di livello uno
“. 

Beh, il problema è che un server di livello uno è funzionante solo se si dispone di un gruppo di server di livello tre
e quattro che gli forniscono effettivamente i dati

di cui ha bisogno. 

E quindi l’unico modo per farlo è con questo quarto passo, ovvero il test con il caos. 

Devo entrare nella camera bianca. 

Devo assicurarmi di eseguire le Recovery, renderle casuali, vedere cosa succede, vedere cosa funziona
e cosa non funziona dopo quella randomizzazione. 

Va bene, forse sono state colpite solo 32 macchine, ma dovrò ripristinarne 142
a causa di tutte le dipendenze presenti. 

Queste sono davvero le quattro cose fondamentali: l’air gap, la camera bianca o l’ambiente di Recovery
isolato, 

un piano di recupero informatico e infine testare tutto questo, perché un piano di recupero informatico è solo un
pezzo di carta finché non lo si mette effettivamente alla prova. 

Assolutamente, esatto. 

È solo un documento finché non lo si mette alla prova. 

E alcuni dei test che consiglierei sono quelli che i clienti dovrebbero fare, sai, esercitazioni teoriche
, cioè riunirsi in sala riunioni e discutere: se venissimo colpiti da un ransomware, cosa 

faremo per prima, seconda e terza cosa? 

Quando dovremo addirittura attivare il nostro piano di Recovery informatico? 

Ma io farei anche un passo in più, giusto? 

In realtà bisognerebbe effettuare un’esercitazione pratica di Recovery informatico. 

Assolutamente. 

Ehi, ho questo strumento chiamato AirGap Protect, ho questo strumento chiamato Cleanroom, ora
mettiamoli alla prova: è il risultato che conta, giusto? 

Assicuriamoci di poter ripristinare questi carichi di lavoro da questa copia terziaria dei dati in Cleanroom, perché quella
è la vera prova, giusto? 

Posso rimettere in piedi la mia azienda. 

E questo mi porta alla mia prossima domanda: come fanno le aziende a determinare cosa ripristineranno
per secondo e terzo? 

Ho sentito usare spesso questo termine, “minima fattibilità”. 

Immagino che sia diverso per ogni organizzazione. 

Come si inserisce questo concetto nei quattro pilastri? 

È diverso per ogni organizzazione, giusto, a seconda del settore in cui si
opera. 

E l’unico modo per scoprirlo è attraverso la sperimentazione. 

Senza di essi, non si può sapere. 

Molto spesso le persone pensano di sapere cosa va fatto, dove e come. 

E senza quella fase di test, che abbiamo condotto per anni per il ripristino di emergenza, quindi il
processo ce l’abbiamo. 

semplicemente non l’abbiamo applicato. 

Voglio dire, ecco la cosa assurda. 

Per anni, 30 anni, abbiamo effettuato test trimestrali per il ripristino di emergenza e i piani di ripristino di emergenza
, eppure meno dell’1% di tutte le aziende mai esistite ha mai dichiarato un 

disastro e, come abbiamo detto prima, il 60% di tutte le aziende americane ha subito una violazione dei dati l’anno
scorso e nessuno sta effettuando test in merito. 

Nessuno effettua test perché è una questione complessa, giusto? 

Ci vuole un dottorato di ricerca per capire la differenza tra il recupero informatico e il ripristino di emergenza, cosa che oggi chiunque è
in grado di fare. 

Certo. 

Sì, ed è quasi come dire: «Ehi, ma come faccio a sapere cosa sto testando in un evento di cyber-Recovery
, giusto?». 

E penso che, sapete, i nostri clienti qui a Commvault siano davvero fortunati. 

Abbiamo appena lanciato questo nuovo servizio, il servizio Guardian, e, ehi, capiamo bene che non è una
cosa che si fa dall’oggi al domani, giusto? 

Se volessimo essere resilienti alle minacce informatiche già da domani, lo saremmo, ma non è così semplice,
vero? 

È un percorso. 

Ci vuole tempo. 

In molti casi, molto spesso avrete bisogno di aiuto. 

E penso che questo nuovo servizio sia pensato proprio per aiutare i clienti 

a compiere il passo successivo nel loro percorso verso la resilienza informatica. 

Beh, e grazie al nostro “readi verse”, dato che molte persone non sanno come condurre correttamente un’esercitazione
teorica, ora disponiamo sia di un percorso per dirigenti che di uno tecnico per 

simulazione da tavolo incentrata sugli eventi informatici. 

Ma, come hai detto tu, questo è solo il primo passo. 

Ora bisogna metterlo in pratica davvero. 

In ambito militare, lo chiamavamo ciclo OODA: Osservare, Orientarsi, Decidere e Agire. 

Si tratta di un processo ripetitivo in cui si

in cui si prova costantemente qualcosa, la si valuta, la si modifica e la si prova di nuovo. 

E in questo modo si è più preparati quando succede davvero qualcosa. 

Beh, hai attraversato così tanti cicli di test, modifiche e modi di fare le cose
che per te è quasi solo un altro test. 

Certo. 

Ed è così che ci si rialza davvero, giusto? 

Quindi con questi quattro pilastri: la protezione tramite air gap, la camera bianca, il piano di Recovery informatico e poi i test in condizioni di caos,
giusto? 

E noi… 

ci allineiamo perfettamente a questi, come hai detto tu. 

Abbiamo copie sicure e protette dei nostri dati. 

Abbiamo il luogo in cui i nostri dati vengono ripristinati. 

Diamine, se hai bisogno di un piano di Recovery informatico, scaricalo da Readiverse, come ho
detto, e adattalo alle tue esigenze. 

E infine, ma non meno importante, se hai bisogno di aiuto lungo il percorso, ci pensiamo
noi con il Guardian Service. 

Michael, grazie per il tempo che ci hai dedicato oggi. 

È stato davvero illuminante. 

Grazie, Chris. 

E con questo concludiamo la nostra conversazione sul Phoenix Protocol e su come i quattro
pilastri della resilienza informatica di Commvault aiutino davvero i clienti a risorgere dalle ceneri dopo un 

attacco informatico.