Test di ripristino del backup su nastro per la conformità DORA

La normativa DORA (Digital Operational Resilience Act) impone a molte entità regolamentate (banche, assicurazioni, gestori patrimoniali, ma anche fornitori di servizi IT critici) di dimostrare la propria capacità di ripristinare i dati critici in modo rapido ed efficiente. Questo requisito non si limita alla presenza di back-up: impone la prova concreta che questi siano accessibili, verificati e utilizzabili in uno scenario di crisi.

Mentre i backup di primo livello, spesso archiviati su disco o nel cloud, sono regolarmente sottoposti a test di ripristino, i backup “definitivi” su nastro, archiviati a freddo, restano molto spesso al di fuori dell’ambito di validazione. Eppure sono proprio questi set di dati che speriamo di recuperare come ultima risorsa, quando gli altri sono stati compromessi.

Test di resilienza: soddisfare le aspettative della DORA

Il DORA cambia tutto questo: richiede esplicitamente che tutti i supporti, compresi i nastri offline, siano testati regolarmente. Il feedback che abbiamo raccolto dimostra che, in caso di disastro, questi ripristini di backup sono spesso ostacolati da una serie di fattori:

• Indisponibilità o obsolescenza delle apparecchiature di lettura (lettori LTO (Linear Tape-Open) non mantenuti),
• Nessun catalogo di backup, spesso ospitato in produzione e distrutto durante l’attacco,
• Difficoltà nel riassemblare rapidamente una macchina virtuale per ripristinare i dati (VEEAM).

È in questo contesto che DATABACK viene regolarmente chiamato a svolgere operazioni di test di ripristino dei nastri, con un duplice obiettivo: verificare l’effettiva utilizzabilità dei dati conservati a freddo e produrre risultati che possano essere utilizzati direttamente in un audit di conformità DORA.

Obiettivo: verificare l’effettiva capacità di ripristino dei backup.

Nell “ambito del nostro supporto, assistiamo regolarmente le organizzazioni che desiderano convalidare la loro capacità di ripristinare dati critici da backup a nastro archiviati, spesso considerati il ‘backup definitivo’. Questi test vengono generalmente effettuati ai fini dellaconformità al DORA, dell”aggiornamento del DRP (Disaster Recovery Plan) o della verifica indipendente della loro resilienza.

L’obiettivo è chiaro: dimostrare che in caso di perdita totale del sistema informativo è possibile un ripristino affidabile, anche in assenza degli strumenti abituali (infrastruttura di produzione, catalogo di backup, ambiente virtualizzato originale).

A tal fine, applichiamo un metodo standardizzato:

Ogni fase viene misurata, cronometrata e documentata per fornire un rapporto completo e alimentare l “aggiornamento dell” ARP.

Questo test di ripristino non solo verifica l’utilizzabilità dei dati freddi, ma fornisce anche elementi concreti per rivedere il DRP e stabilire tempi di ripristino realistici. È anche una leva per la conformità diretta ai requisiti DORA, che richiedono test di resilienza regolari su tutti i supporti, compresi gli archivi offline.

Feedback: tra contingenze operative e un metodo rigoroso

I test di recupero su nastro spesso riservano sorprese, anche in ambienti apparentemente sotto controllo. Il nostro lavoro ha rivelato una serie di problemi ricorrenti che, se non previsti, possono allungare i tempi di recupero.

Una delle difficoltà più frequenti è la mobilitazione dei nastri. Il coordinamento con i team IT e con gli archiviatori di terze parti è quindi un fattore chiave di successo.

Senza un catalogo di backup aggiornato ed esternalizzato, qualsiasi esercizio di ripristino diventa un esercizio alla cieca. La sua assenza o indisponibilità in una situazione di crisi allunga notevolmente i tempi di ripristino e aumenta il rischio di errori, indipendentemente dal contesto dell’esercizio.

Metodologia di test di restauro

In risposta a questi vincoli, DATABACK ha messo in atto un approccio metodico in tre fasi:

1- Fase di costruzione e configurazione

Prima di tutto analizziamo il contesto tecnico del cliente: formato dei backup, strumenti utilizzati, vincoli logistici, tipo di giochi da testare. Oltre alle meccaniche di ripristino, forniamo anche consigli generali sul processo. Questa fase ci consente di preparare l “infrastruttura di test e di definire con precisione l” ambito del prossimo test.

2- Esecuzione del test di restauro

Una volta raccolti, i nastri vengono ripristinati in un ambiente isolato, senza interferire con l’IS del cliente. Questo processo è completamente strumentato: ogni fase è cronometrata e ogni anomalia è documentata.

3- Presentazione della relazione di conformità

Al cliente viene fornito un rapporto completo che include le metriche RTO/RPO osservate, i volumi ripristinati, eventuali guasti osservati e raccomandazioni concrete per migliorare gli scenari di ripristino. Questo rapporto viene prodotto con una frequenza definita con il cliente (annuale o trimestrale) a seconda del livello di requisiti normativi o aziendali.

Approccio DATABACK: ciò che non vedrete mai nei vostri strumenti di monitoraggio

I test di ripristino iniziali che abbiamo effettuato sui nastri a freddo hanno rivelato discrepanze significative tra le ipotesi teoriche di ripristino e la realtà sul campo. Queste discrepanze, sebbene raramente visibili nei dashboard degli strumenti di backup, possono avere conseguenze dirette in caso di disastro.

Logistica e RTO: un gap spesso sottovalutato

Una delle principali lezioni apprese riguarda l “adeguamento del RTO (Recovery Time Objective), spesso sottovalutato. Oltre al tempo tecnico di ripristino, l” obiettivo del tempo di ripristino deve ora includere :

• Il tempo necessario per attivare la richiesta di ripristino (coordinamento con i team interni e/o con l’archivista terzo),
• I ritardi logistici legati alla disponibilità fisica dei nastri,
• Il tempo necessario per preparare l’ambiente di test o di ripristino.

Questo concatenamento logistico, che raramente viene preso in considerazione negli scenari iniziali, può raddoppiare o addirittura triplicare i tempi previsti, soprattutto se i mezzi di comunicazione vengono esternalizzati o se l’infrastruttura di ripristino deve essere ricostruita con urgenza.

Incremento corrotto: un caso tipico osservato nei test di restauro

Un altro caso concreto osservato durante un test: il rilevamento di un incremento di backup parzialmente corrotto. Questa anomalia, non segnalata dagli strumenti di backup utilizzati, sarebbe potuta passare inosservata fino a un effettivo tentativo di ripristino. La sua scoperta durante il test ha fatto sì che questo set non potesse essere utilizzato come base per il ripristino e che si potesse modificare la portata dei dati considerati affidabili.

Catalogo di backup: un collegamento spesso trascurato

Infine, un altro punto spesso sottovalutato, ma centrale per il successo di un test di ripristino, è lo stato e la disponibilità del catalogo dei backup. Questo archivio, che permette di identificare con precisione il contenuto dei nastri, la loro data, la loro struttura e la loro utilità commerciale, condiziona direttamente la velocità e l’affidabilità di qualsiasi operazione di ripristino.

Affinché i test siano realistici e utilizzabili, è indispensabile che il catalogo sia completo, aggiornato e accessibile al di fuori degli ambienti di produzione. In molti casi, tuttavia, il catalogo è ospitato sulla stessa infrastruttura dell’IS principale. In una situazione di crisi reale, in particolare dopo una compromissione o una perdita di accesso, la ricostruzione del catalogo diventa una fase preliminare essenziale e una fonte di ritardo.

Un catalogo inutilizzabile costringe i team a navigare alla cieca tra decine di nastri, moltiplicando il numero di manipolazioni manuali. Ecco perché includiamo sistematicamente un controllo del catalogo nella nostra fase di preparazione e incoraggiamo i nostri clienti a esternalizzare o replicare questo componente chiave in uno spazio sicuro, indipendente dalla produzione e dai back-up convenzionali.

Questo feedback illustra l’utilità operativa del test di ripristino: non solo convalida la catena tecnica, ma evidenzia anche i punti ciechi del piano di ripristino, quelli che non appaiono né nelle politiche né nei dashboard, ma solo nel mondo reale.

Conclusione: il restauro è una prova

Come ci ricorda regolarmente Samuel Durand, Direttore Tecnico di DATABACK, ” Un backup senza un test di ripristino è solo un’illusione di sicurezza “. Bisogna comunque essere in grado di trovarli, leggerli, capirli e, soprattutto, ripristinarli in tempo.

Testare i ripristini significa fare il punto sui punti ciechi, rivelando le lacune nascoste dietro le procedure teoriche. È anche un esercizio di governance, all’incrocio tra IT, conformità e business.

Questo approccio deve diventare un riflesso: non può essere improvvisato al momento di un disastro. Ecco perché supportiamo i nostri clienti con test di resilienza ricorrenti, documentati e convalidati dagli utenti finali.

Sebbene il nastro rimanga uno dei supporti più affidabili per il backup definitivo, deve essere veramente offline. Siamo stati coinvolti in casi in cui l’aggressore, dopo aver compromesso l’ambiente di supervisione, ha preso metodicamente il controllo del robot a nastro per cancellare ogni cartuccia, una per una. La disconnessione fisica dei supporti rimane un requisito minimo per garantirne l’integrità.

Quando si parla di backup, l’unica prova valida è il successo del ripristino.