Linee guida alla continuità operativa nella Pubblica ... - DigitPA

A SPETTIMETODOLOGICIPer ogni servizio da proteggere, l’amministrazione deve identificare l’insieme delle risorse(umane, tecnologiche, procedurali e gli spazi di lavoro) necessarie alla sua erogazione.Tale insieme viene, in alcune metodologie, definito “isola”. Nel seguito, per comodità,useremo ancora questa definizione, rappresentata graficamente nella figura seguente.Figura 4Un esempio di “isola” potrebbe essere l’insieme costituito da un sistema server, un apparatodi stampa, una porzione di LAN, alcune postazioni di lavoro, i dipendenti di una specificaunità organizzativa, i locali di un ufficio.Nell’identificare le risorse da proteggere, si deve tener conto anche di alcune tipologie dioggetti che non è intuitivo collegare direttamente a uno specifico servizio. Ad esempio:• documenti di tipo contrattuale (con fornitori, assicurazioni, partner, ecc.);• documentazione operativa (manuali, agende, guide, mappe, schemi tecnici, liste dipassword, configurazioni di sistema);• materiale minuto vario (carte di credito, contante, assegni, timbri e sigilli amministrativi).Da quali eventiNell’identificazione degli eventi da prendere in considerazione, va posta particolare attenzioneagli eventi “non pianificati”, perché sono generalmente la causa principale di interruzionedella continuità operativa.Può essere utile suddividere gli eventi non pianificati in due tipologie:• “eventi fisici”, cioè problemi su risorse infrastrutturali e tecnologiche; spaziano daimalfunzionamenti hardware (problematiche di componente) fino all’indisponibilitàprolungata della sede che ospita l’ambiente considerato;• “eventi logici”, cioè problemi causati dal software, quali errori applicativi, virusinformatici o attacchi da parte di hacker.Gli eventi del primo tipo ricadono propriamente nel tema della continuità operativa.Viceversa, gli eventi logici sono quasi sempre affrontati e risolti tramite soluzioni di altrotipo, quali, ad esempio, politiche di application management o di security management.Con quali livelli di servizioPer ogni servizio da proteggere, è necessario determinare in che misura esso deve esseremantenuto in operatività. Tale misura viene in genere data attraverso i due indicatori19N. 28 I QUADERNI - Centro Nazionale per l’Informatica nella Pubblica Amministrazione - GIUGNO 2006