Warning: Undefined variable $p in /web/htdocs/www.tsiouras.it/home/wp-content/plugins/efficient-related-posts/efficient-related-posts.php on line 317
Nell’ambito del Business Continuity Management (BCM) e in modo particolare nel Disaster Recovery (DR) sono importanti i seguenti tre parametri:
- MAO – Maximun Acceptable Outage, termine equivalente al MTPD – Maximun Tolerable Period of Disruption: oltre questo periodo l’esistenza dell’organizzazione sarà minacciata irrevocabilmente se le sue attività critiche per il business non possono essere ripristinati.
- RTO – Recovery Time Objective: massimo periodo di indisponibilità delle attività critiche per il business, ovvero tempo entro il quale le attività critiche per il business devono essere ripristinate.
- RPO – Recovery Point Objective: perdita dati sostenibile, in termini di distanza temporale tra il verificarsi dell’emergenza e l’ultimo salvataggio utile e ripristinabile dei dati (full back up e aggiornamenti successivi).
È utile pensare, allo scopo di salvaguardare il business, che RTO deve essere minore del MAO.
RTO ed RPO sono due concetti che riguardano il BCM, ma interessano soprattutto il Disaster Recovery (DR) e hanno un impatto enorme sul business dell’organizzazione.
Consideriamo la linea del tempo e supponiamo che all’istante To avviene un incidente catastrofico (ad esempio, un incendio, allagamento, terremoto, ecc.), incidente che interrompe improvvisamente il business (le attività critiche passano da pieno regime 100% a 0%).
Assumiamo che l’RTO sia stabilito pari a 24 ore, quindi i servizi critici devono essere ripristinati entro 24 ore dall’istante To.
Se l’incidente catastrofico avviene alle 08:00, con RTO=24 ore, le attività critiche devono essere ripristinate entro le 08.00 del giorno dopo. Le attività critiche rimangono interrotte per 24 ore. Entro 24 ore l’azienda, seguendo il BC Plan e il DR Plan, deve ripristinare le attività critiche per non perdere il business.
L’RTO dunque deve essere stabilito dopo un’attenta valutazione da parte del management e deve essere basato sulla base del rischio residuo che l’organizzazione può accettare nel vedere le sue attività critiche ferme.
L’RPO invece è legato all’ultimo full back up (e relativi aggiornamenti, per esempio back up incrementali) effettuato. La maggior parte delle aziende effettuano il full back up ogni venerdì sera e il back up giornaliero incrementale. In caso di incidente l’impatto della perdita di dati sul business è pari alla distanza temporale dell’istante dell’incidente all’istante dell’ultimo full back up e ultimo aggiornamento.
Supponiamo, invece, allo scopo di ridurre ancora di più il rischio, che un’azienda effettui un full back up ogni notte, per esempio alle ore 20.00. Se l’incidente catastrofico avviene alle 08.00 di mattina, si perderanno i dati del lavoro svolto durante la notte, fino alle 08.00. Se invece l’incidente avviene alle 17.00, si perderanno i dati prodotti nell’ultime 21 ore.
Pertanto l’approccio dei back up deve essere deciso sulla base del rischio residuo che l’organizzazione può accettare nel perdere un certo quantitativo e qualitativo di dati e quindi deve essere impostato sulla base dell’importanza dei dati stessi. Anche per l’RPO come per l’RTO, il rischio residuo accettabile ha un enorme impatto sul business; quindi RTO ed RPO devono essere stabiliti dal management.
Join the Forum discussion on this post
