Backup e continuità operativa per PMI svizzere: come impostare il piano

Perché backup e continuità operativa sono la stessa rete di sicurezza

Lunedì mattina, ore 7.30: la produzione è a pieno ritmo. Poi le macchine si fermano: impianto senza corrente, server fuori uso, sistemi di raffreddamento fermi. MTF Solutions usa questo scenario per spiegare a cosa serve la gestione della continuità operativa.

Gli scenari di minaccia sono sempre più diversificati: attacchi informatici mirati, disastri naturali, interruzioni improvvise della catena di approvvigionamento. Un singolo attacco ransomware può paralizzare un'intera azienda.

Backup e continuità operativa non sono la stessa cosa, ma formano un'unica rete di sicurezza. Il backup protegge i dati. La continuità operativa è la capacità di continuare a fornire i propri servizi anche con guasti ai server, blackout, attacchi informatici o disastri naturali.

Zurich ricorda che, quando l'IT si blocca, la maggior parte delle imprese si ferma. Secondo lo studio Sophos «The State of Ransomware 2023» citato da Zurich, un'interruzione di esercizio costa in media 1,85 milioni di dollari.

A questa cifra si aggiungono perdita di reputazione e di fiducia. Tempi di inattività prolungati possono mettere a rischio l'esistenza di una PMI.

Per la PMI svizzera c'è anche una dimensione commerciale. Clienti e partner si aspettano capacità di consegna anche in situazioni di crisi, scrive MTF Solutions. Un piano di continuità ben congegnato diventa così una caratteristica di qualità.

Molte PMI rimandano le misure di continuità necessarie e non dispongono di approcci strutturati. Le grandi aziende hanno di norma strategie BCM complete.

Il piano si costruisce in un ordine preciso: inventario, analisi dei rischi, misure di backup, strategia di ripristino, ruoli, documentazione, test, checklist. Zurich descrive il Business Continuity Plan come un percorso in sei passi; il primo è identificare e valutare i rischi.

Passi fondamentali per il Business Continuity Plan (BCP)

Costi e impatto di un'interruzione per le PMI svizzere

Inventario IT e processi critici: da dove iniziare

Il primo passo è l'inventario dell'infrastruttura IT. Individua i punti deboli e costituisce la base per una strategia orientata al futuro.

La direttiva NIS2 pone anche le PMI svizzere di fronte alla sfida di adeguare le loro strategie di sicurezza informatica. L'occasione è quella di rendere il sistema informatico più resiliente ed efficiente, non solo di soddisfare i nuovi requisiti.

Un inventario professionale va oltre la semplice inventariazione: considera l'architettura di rete, le configurazioni di sistema e i processi aziendali. La direttiva NIS2, ricorda MTF Solutions, definisce dieci aree principali e interconnesse per un inventario conforme, tra cui l'analisi del rischio e i concetti di sicurezza. L'analisi non è un processo una tantum, ma la base per miglioramenti continui.

Le dieci aree sono interconnesse e complementari: la struttura aiuta a non trascurare aspetti importanti e a sfruttare le sinergie tra le singole aree. Tra le aree richiamate figurano la revisione delle policy di sicurezza esistenti, per aggiornarle, e l'integrazione dei nuovi rischi.

L'inventario va collegato all'elenco dei processi critici, cioè quelli cruciali per la sopravvivenza dell'azienda, dalla catena di fornitura al servizio clienti. La loro identificazione è il primo dei quattro componenti fondamentali di un piano di continuità indicati da Zurich, insieme a valutazione dei rischi, strategia di ripristino e sicurezza informatica.

MTF Solutions fa un esempio settoriale. Le aziende manifatturiere devono garantire catene di fornitura stabili; i fornitori di servizi finanziari devono proteggere l'infrastruttura IT dagli attacchi informatici.

Se i sistemi trattano dati personali, l'inventario deve mappare anche questi ultimi. La nuova legge federale sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, copre solo i dati delle persone fisiche e non più quelli delle persone giuridiche.

La nLPD include i dati genetici e biometrici tra quelli sensibili e introduce i principi di «Privacy by Design» e «Privacy by Default». In pratica, significa configurare software, materiale e servizi in modo che proteggano i dati e rispettino la vita privata degli utenti già dalla messa in circolazione, con le misure attivate automaticamente.

Applicato al backup, questo principio riguarda la scelta dei sistemi, la crittografia e le impostazioni di accesso predefinite.

La nLPD è entrata in vigore il 1° settembre 2023 insieme alla nuova ordinanza sulla protezione dei dati (OPDa) e alla nuova ordinanza sulle certificazioni in materia di protezione dei dati (OCPD). Per le imprese introduce otto cambiamenti principali.

Con decisione del 17 aprile 2026, definitiva dopo la scadenza del termine di ricorso, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha sanzionato Cream della Cream e Philipp Plein per il marketing diretto e il diritto di opposizione.

Analisi dei rischi e scenari di minaccia

L'analisi della situazione delle minacce risponde a una domanda semplice: quali fattori potrebbero mettere a repentaglio l'attività aziendale? MTF Solutions elenca le influenze esterne, dagli attacchi informatici alle calamità naturali fino ai rischi geopolitici.

Zurich aggiunge i problemi tecnici, cioè i guasti non dolosi. Ricorda che la valutazione dei rischi serve ad analizzare le possibili minacce e le loro conseguenze.

Per una PMI il metodo utile è partire dai processi critici, non dalla tecnologia. Per ciascuno si elencano gli scenari che lo possono interrompere. Si valuta l'impatto di un fermo di durata crescente (un'ora, un giorno, una settimana) e si assegnano le priorità.

Da qui derivano le misure di prevenzione. Misure mirate consentono di identificare e ridurre al minimo le minacce in una fase iniziale. La diagnosi precoce è la chiave per evitare che un rischio diventi una crisi.

L'analisi va rifatta quando cambiano infrastruttura, fornitori, processi o contesto esterno, perché ciò che era un rischio trascurabile può diventare critico. Un attacco andato a buon fine presso un fornitore o un cliente importante è, per la PMI, un rischio di continuità tanto quanto un guasto interno.

Backup a prova di ransomware: regole organizzative e tecniche

Il catalogo di misure elaborato da Swiss Cyber Defence DNA, presentato dall'associazione SVV, dedica la prima misura alla protezione dei dati non modificabile, cioè al backup in sola lettura. Distingue tra misure organizzative e tecniche.

Nel catalogo SVV la voce è la Misura n. 1: «Protezione dei dati aggiornata e non modificabile / backup in sola lettura». Si tratta della prima delle sei misure.

Sul piano organizzativo vanno definiti la persona responsabile dell'implementazione e quella responsabile della revisione. Vanno stabiliti anche chi può accedere ai dati, l'archiviazione esterna del backup e il periodo di conservazione, nel rispetto delle normative legali. Va garantito che nessuna terza parte abbia accesso ai propri dati.

Sul piano tecnico, il catalogo indica di stabilire un processo di backup automatizzato e di sola lettura. Il backup va assolutamente crittografato. Il supporto di backup va scollegato dalla rete e archiviato offline. Occorre affidarsi ad aziende specializzate con molti anni di esperienza e verificare quali programmi software possono essere utilizzati per recuperare i propri dati.

La combinazione di automazione e supporto offline rende il backup inutilizzabile per un attaccante che abbia compromesso la rete. Il test di recupero è parte integrante della misura: Swiss Cyber Defence DNA raccomanda di testare regolarmente il recupero dati due volte all'anno. Una copia mai ripristinata è solo un'ipotesi. Il test verifica i tempi, le competenze necessarie e l'effettiva integrità dei dati.

Strategia di ripristino: ridondanza, cloud e sede alternativa

La strategia di ripristino stabilisce come riprendere l'attività operativa il più rapidamente possibile. Zurich indica due esempi concreti: un sistema IT ridondante oppure una seconda sede. La scelta dipende da quali processi critici vanno riattivati per primi e da quanto a lungo l'azienda può sostenere un fermo.

Sul piano tecnico, le soluzioni di continuità combinano sistemi di backup automatici con tecnologie di ripristino rapido, backup on-premise e su cloud, server cloud ridondanti, firewall e monitoraggio costante dell'infrastruttura. Il monitoraggio in tempo reale serve a individuare le anomalie prima che diventino guasti. A questo si aggiungono assistenza proattiva, supporto remoto e soluzioni cloud scalabili, secondo l'approccio descritto dal fornitore IT svizzero dpstudio.

Per ogni processo critico conviene fissare per iscritto due obiettivi: entro quanto tempo deve tornare disponibile e quanti dati si può accettare di perdere. Da questi obiettivi derivano la frequenza dei backup, la scelta tra ridondanza interna e sede alternativa, e il ricorso a un supporto specializzato esterno quando l'azienda non dispone delle competenze interne.

Backup on-premise vs cloud: vantaggi e svantaggi

Sicurezza informatica di base dentro il piano

Zurich include la sicurezza informatica tra i componenti del piano di continuità. Cita come misure preventive i backup regolari, le patch e gli aggiornamenti software e la formazione dei collaboratori e delle collaboratrici.

Le sei misure di Swiss Cyber Defence DNA presentate da SVV coprono la stessa area in modo più dettagliato. Tengono conto in egual misura dell'organizzazione e della tecnologia. Sono considerate una best practice per raggiungere un buon grado di maturità cyber.

La misura sui software dannosi è la Misura n. 2 del catalogo. Segue la Misura n. 1, dedicata alla protezione dei dati non modificabile e al backup in sola lettura.

La misura dedicata alla protezione dai software dannosi richiede, sul piano organizzativo, di designare una persona responsabile dell'aggiornamento continuo dell'antivirus. Occorre definire nel programma di posta elettronica quali dati potenzialmente pericolosi verranno bloccati. I dipendenti vanno sensibilizzati e formati, con formazioni dedicate alla gestione di e-mail, pagine web e password. Il controllo degli accessi, cioè la definizione di chi può accedere ai dati, rientra tra le misure organizzative del catalogo.

Queste misure hanno anche una ricaduta pratica: secondo SVV alcune di esse sono di norma un requisito per la stipula di un'assicurazione cyber. La lista, precisa la fonte, non rappresenta requisiti minimi contrattuali, ma una lista di controllo. Va discussa con assicuratori, agenti, intermediari o fornitori di servizi IT e attuata in misura adeguata alle proprie esigenze.

Documentare ruoli, procedure e contatti di crisi

Il piano di continuità operativa (Business Continuity Planning, BCP) contiene, secondo il Controllo federale delle finanze (EFK), le regolamentazioni e i documenti necessari per ripristinare rapidamente la normalità. Senza questa documentazione, le decisioni in emergenza dipendono dalla memoria e dalla disponibilità delle singole persone. MTF Solutions sottolinea che un BCP ben congegnato garantisce che tutti i soggetti coinvolti sappiano esattamente cosa fare.

Il contenuto minimo comprende i processi critici con il loro ordine di riattivazione e le procedure di ripristino passo per passo, compreso chi le esegue e con quali strumenti. Comprende anche i nomi e i recapiti dei responsabili interni e i contatti dei partner esterni: fornitore IT, assicuratore, eventuale consulente. Deve indicare l'elenco delle persone autorizzate a prendere decisioni.

Swiss Cyber Defence DNA chiede esplicitamente di designare sia la persona responsabile dell'implementazione sia quella responsabile della revisione, con i relativi compiti formalizzati. Il documento va tenuto disponibile anche senza accesso alla rete aziendale. Se l'infrastruttura è compromessa, un piano salvato soltanto sul server non è raggiungibile.

Test, esercitazioni e aggiornamento continuo

Un piano non testato è una dichiarazione di intenti. Swiss Cyber Defence DNA raccomanda di testare regolarmente il recupero dei dati due volte all'anno e di affidare a una persona designata la revisione.

Al test di ripristino tecnico si affiancano le esercitazioni su scenario. Simulare un blackout prolungato, un guasto del server o un attacco ransomware permette di verificare i tempi effettivi, la catena di comunicazione e i punti in cui il piano si blocca.

Anche l'analisi del panorama IT non è un processo una tantum, ma la base per miglioramenti continui. È il principio che MTF Solutions applica all'inventario IT conforme alla direttiva NIS2.

Lo stesso vale per il BCP: le lacune emerse dai test vanno corrette e tracciate. Occorre indicare chi ha il compito di chiudere ciascuna lacuna.

L'aggiornamento del piano va collegato a eventi concreti. Tra questi: nuove applicazioni o servizi cloud, cambio di fornitore IT, nuovi processi o sedi, mutamenti del personale chiave, nuove forme di minaccia.

Un piano datato rispetto all'infrastruttura reale è peggio di nessun piano. Genera aspettative di recupero che non corrispondono alla realtà.

Checklist operativa per la PMI svizzera

Inventario IT completo su rete, sistemi, applicazioni e processi aziendali. Deve seguire le dieci aree indicate per un inventario conforme alla direttiva NIS2. Va indicato dove risiedono i dati personali, nel rispetto della nLPD e dei principi di Privacy by Design e Privacy by Default.

Per l'inventario, le dieci aree NIS2 sono interconnesse e complementari. Tra quelle richiamate figurano la revisione delle policy di sicurezza esistenti e l'integrazione dei nuovi rischi.

Elenco dei processi critici, dalla catena di fornitura al servizio clienti. Analisi dei rischi per processo, con scenari interni (guasti tecnici) ed esterni (attacchi informatici, calamità naturali, rischi geopolitici, interruzioni della catena di approvvigionamento) e relativo impatto.

Backup automatizzato, crittografato, in sola lettura, con supporto scollegato dalla rete e archiviato offline. Responsabili di implementazione e revisione designati, accessi limitati e periodo di conservazione definito nel rispetto delle normative legali. Test del recupero dati almeno due volte all'anno.

Strategia di ripristino scritta, con sistema IT ridondante o seconda sede, backup on-premise e cloud, monitoraggio continuo e supporto specializzato. Misure di sicurezza di base: antimalware aggiornato, patch e aggiornamenti, blocco dei contenuti pericolosi in posta elettronica, formazione dei collaboratori su e-mail, pagine web e password, controllo degli accessi.

Documentazione del piano: procedure di ripristino, ruoli, contatti interni ed esterni, disponibilità del piano anche offline. Revisione periodica con esercitazioni, correzione delle lacune e aggiornamento in occasione di cambi infrastrutturali, nuove minacce o modifiche dei processi. Verifica preliminare, con il proprio assicuratore o intermediario, di quali misure sono richieste per una copertura cyber.

Checklist operativa per la PMI svizzera