RPO e RTO: quanti dati e quanto tempo potete permettervi di perdere
Ogni piano di backup e di ripristino di emergenza (disaster recovery, DR) parte da due numeri. L’RPO (Recovery Point Objective) indica quanti dati potete perdere al massimo, misurati nel tempo. Se l’RPO è di 4 ore e il sistema si guasta alle 15:00, dovete disporre di un punto di ripristino risalente al più tardi alle 11:00. L’RTO (Recovery Time Objective) indica entro quanto tempo il sistema deve tornare a funzionare dopo un incidente.
L’RPO determina quindi con quale frequenza eseguite backup o repliche, l’RTO invece come ripristinate: con un ripristino classico dalla copia, con l’avvio immediato di una macchina virtuale direttamente dal backup (Instant Recovery) o con il passaggio a una replica in un altro data center. Entrambi i numeri devono essere stabiliti dal business, perché la risposta alla domanda «quanto ci costa un’ora di fermo» è di natura aziendale e non tecnica.
| Gruppo di sistemi | Esempio | RPO tipico | RTO tipico | Approccio abituale |
|---|---|---|---|---|
| Critici | ERP, e-commerce, sistemi di produzione, identità | da 15 min a 1 h | 1–4 h | Replica o CDP e backup |
| Importanti | E-mail, file server, CRM | 4–12 h | 8–24 h | Più backup al giorno, ripristino immediato |
| Altri | Archivi, ambienti di sviluppo e di test | 24 h | 72 h o più | Backup giornalieri |
I valori in tabella sono solo un punto di partenza. RPO e RTO più brevi comportano un costo più alto, quindi suddividete i sistemi in gruppi e non fissate gli stessi obiettivi per tutti. Per verificare con quale rapidità potreste ripristinare i singoli gruppi e se la vostra frequenza di backup è sufficiente, usate il calcolatore in questa pagina.
La regola 3-2-1-1-0
La classica regola 3-2-1 richiede tre copie dei dati su due supporti diversi, di cui una in un’altra sede. Poiché oggi i ransomware attaccano per prime proprio le copie di backup, la regola è stata estesa a 3-2-1-1-0.
| Numero | Requisito | Da che cosa protegge |
|---|---|---|
| 3 | Almeno tre copie dei dati (produzione e due backup) | Guasto di una singola copia |
| 2 | Due tipi diversi di supporti o di storage | Errore o guasto di un tipo di storage |
| 1 | Una copia in un’altra sede (offsite) | Incendio, alluvione, indisponibilità della sede |
| 1 | Una copia immutabile o fisicamente isolata | Ransomware, amministratore malevolo, errore di cancellazione |
| 0 | Zero errori nei controlli automatici e nelle prove di ripristino | Copie da cui il ripristino non funziona |
Ogni copia aggiuntiva richiede spazio. Quanto ne serve dipende dalla quantità di dati, dal tasso di variazione giornaliero, dalla conservazione e dal rapporto di compressione. Il calcolatore stima lo spazio per una copia e per tutte le copie insieme.
Copie immutabili e isolate contro i ransomware
Un attaccante che ottiene l’accesso amministrativo al dominio di norma cerca per prima cosa il server di backup e cancella o cifra le copie. Solo dopo avvia la cifratura della produzione. Se non avete una copia che l’attaccante non può distruggere, restano solo il pagamento del riscatto o la ricostruzione dei sistemi da zero.
- Copie immutabili (immutable). Per un determinato periodo non possono essere modificate né cancellate, nemmeno con privilegi amministrativi. Si realizzano con un repository Linux hardened, con uno storage a oggetti con blocco degli oggetti (S3 Object Lock) o presso un fornitore di servizi.
- Copie fisicamente isolate (air gap). Copie su nastro o su supporti scollegati, non raggiungibili via rete.
- Credenziali separate. Il sistema di backup non deve trovarsi nel dominio di produzione e il suo accesso va protetto con l’autenticazione a più fattori (MFA).
- Periodo di immutabilità sufficiente. Gli attaccanti restano spesso nella rete per giorni o settimane prima di manifestarsi. Il periodo di immutabilità deve quindi coprire almeno la conservazione giornaliera.
Per saperne di più sulla preparazione a un attacco e sulle prime ore successive, leggete la guida attacco informatico: valutazione della preparazione.
Backup, replica e disaster recovery
I termini vengono spesso confusi, ma coprono esigenze diverse. Il backup conserva la cronologia dei punti di ripristino e consente di tornare allo stato precedente a un errore, a una cancellazione o a un attacco. La replica mantiene una copia quasi in tempo reale del sistema in un’altra sede, per cui consente RPO e RTO brevi, ma trasferisce rapidamente alla copia anche errori e cifratura. La protezione continua dei dati (CDP) riduce l’RPO a pochi secondi.
Il disaster recovery (DR) non è una tecnologia, ma un piano: quali sistemi si ripristinano per primi, dove funzioneranno, chi decide il passaggio, come si reindirizza la rete e come si collegano gli utenti. Un buon piano DR per i sistemi critici combina la replica per un passaggio rapido e i backup immutabili per il caso in cui sia infetta anche la replica.
Se un livello di DR più alto convenga è una decisione di business. Il calcolatore determina il costo di un’ora di fermo e la perdita annua attesa e li confronta con il costo annuo di un livello di DR migliore. Se pensate anche alla sostituzione dei server o al passaggio al cloud, consultate il calcolatore acquisto, noleggio o cloud.
Prove di ripristino
Un backup da cui non avete ancora provato a ripristinare è solo un’ipotesi. Negli incidenti emerge spesso che le copie non contenevano tutti i dati, che il ripristino richiede molto più tempo del previsto o che mancano password, licenze e documentazione.
- Verifica automatica. Software come Veeam può controllare a ogni job l’integrità delle copie e avviare una macchina virtuale in un ambiente isolato per verificare che i servizi rispondano.
- Prove di ripristino regolari. Ripristinate i sistemi critici completi almeno ogni trimestre e misurate il tempo effettivo. Confrontate il risultato con l’RTO obiettivo.
- Esercitazione DR annuale. Provate almeno una volta all’anno l’intero piano, compresi l’ordine di ripristino, la rete, le identità e la comunicazione.
- Documentazione. Istruzioni di ripristino, contatti e credenziali devono essere raggiungibili anche quando i sistemi di produzione non funzionano.
Nella stima dell’RTO non dimenticate che il ripristino non inizia al momento del fermo. Prima bisogna rilevare l’incidente, prendere una decisione e preparare l’ambiente. In caso di ransomware occorre innanzitutto trovare un punto di ripristino pulito, il che può richiedere più tempo del trasferimento dei dati stesso.
Cloud e copia esterna: Veeam Cloud Connect
La seconda sede è per molte aziende l’ostacolo principale nella regola 3-2-1. Un secondo data center proprio significa hardware, spazi, collegamenti e manutenzione. L’alternativa è una copia esterna presso un fornitore di servizi.
Veeam Cloud Connect consente a un’installazione esistente di Veeam Backup & Replication di inviare backup o repliche al data center di un fornitore tramite un collegamento cifrato. Le copie possono essere immutabili e il fornitore le conserva separatamente dal vostro dominio, per cui soddisfano insieme il requisito della seconda sede e quello della copia immutabile. Con le repliche nel cloud, in caso di disastro potete avviare i sistemi critici direttamente nel data center del fornitore.
Nella scelta del fornitore verificate l’ubicazione del data center e la conformità al GDPR, il livello del data center (per esempio TIER III), la velocità del collegamento per il trasferimento iniziale e il ripristino, il periodo di immutabilità e l’assistenza nel ripristino. Con grandi quantità di dati il ripristino dal cloud può essere più lento di quello locale, quindi includete nella stima dell’RTO la velocità di ripristino dalla copia esterna.
Humanfrog è un fornitore Veeam Silver Cloud Service Provider con data center TIER III in Slovenia, nell’UE. Offriamo backup come servizio, copie esterne e immutabili, replica e pianificazione del disaster recovery.
Checklist per backup e DR
- Censite i sistemi e suddivideteli in gruppi in base all’importanza per il business.
- Per ogni gruppo stabilite con la direzione RPO, RTO e costo di un’ora di fermo.
- Verificate che la frequenza dei backup raggiunga l’RPO; per un RPO inferiore a un’ora usate la replica o la CDP.
- Garantite tre copie su due supporti, una in un’altra sede e una immutabile.
- Separate il sistema di backup dal dominio di produzione e proteggetelo con la MFA.
- Stimate lo spazio per tutte le copie e la conservazione e prevedete un margine di crescita.
- Definite l’ordine di ripristino: identità, rete, applicazioni critiche, comunicazione.
- Verificate automaticamente le copie e provate il ripristino dei sistemi critici almeno ogni trimestre.
- Eseguite un’esercitazione DR almeno una volta all’anno e aggiornate la documentazione.
Se volete verificare i risultati del calcolatore con un esperto o avete bisogno di una copia esterna e immutabile in un data center TIER III nell’UE, scriveteci.
