Nell’analisi della resilienza di un processo critico, le dipendenze più evidenti sono solitamente facili da identificare. Elettricità, telecomunicazioni, applicazioni IT, impianti, personale e fornitori compaiono quasi sempre in un’analisi dell’impatto sul business (BIA) o in una valutazione della resilienza. Il problema sorge quando l’analisi si limita a questo primo livello. Una dipendenza apparentemente ridondante può in realtà basarsi sulla stessa infrastruttura fisica. Due operatori possono utilizzare lo stesso tratto di fibra ottica, due centri dati possono dipendere dalla stessa sottostazione elettrica, un generatore di emergenza può dipendere da una catena di approvvigionamento di carburante che, a sua volta, richiede energia e mezzi di trasporto. In questi casi, sebbene dal punto di vista formale esista ridondanza, ciò non elimina il vero punto debole.

CISA (Cybersecurity and Infrastructure Security Agency, un’agenzia federale statunitense che fa parte del Department of Homeland Security (DHS)) definisce le infrastrutture critiche come sistemi fortemente interconnessi e sottolinea che le dipendenze possono essere unidirezionali o reciproche. L’energia e le telecomunicazioni ne sono l’esempio classico: i sistemi di comunicazione necessitano di elettricità per funzionare, mentre le reti elettriche utilizzano i sistemi di telecomunicazione per monitorare e controllare il trasporto di energia. Se una dipendenza viene compromessa, l’effetto può quindi propagarsi da un sistema all’altro.

Non tutte le dipendenze sono di natura fisica

Uno dei contributi più utili dell’«Infrastructure Dependency Primer» della CISA è la distinzione tra quattro tipi di dipendenze: fisiche, cibernetiche, geografiche e logiche. (La classificazione in dipendenze fisiche, cibernetiche, geografiche e logiche risale al lavoro di Rinaldi, Peerenboom e Kelly (2001) ed è ripresa dal Dependency Primer della CISA.) La dipendenza fisica è solitamente la più intuitiva. Un impianto necessita di energia, acqua, carburante o materie prime per funzionare. La dipendenza cibernetica, invece, riguarda i dati, le reti e i sistemi informativi necessari per il controllo o la gestione delle operazioni. Una stazione di servizio, ad esempio, può disporre fisicamente del prodotto, ma potrebbe non essere in grado di erogarlo se i sistemi informatici, contabili o di comunicazione non funzionano. La dipendenza geografica è più insidiosa. Due sistemi apparentemente indipendenti possono condividere lo stesso ‘corridoio’ fisico o la stessa area geografica e sono quindi potenzialmente esposti allo stesso incendio, alla stessa alluvione, alla stessa frana o allo stesso incidente. Due cavi in fibra ottica di operatori diversi possono attraversare lo stesso tunnel tecnico; una linea elettrica e una rete di telecomunicazioni possono attraversare lo stesso ponte; diversi centri di elaborazione dati possono trovarsi nello stesso bacino idrografico. Infine, esistono dipendenze logiche determinate da regole, decisioni, condizioni economiche o dalla disponibilità di personale. Un servizio può essere tecnicamente operativo, ma non utilizzabile a causa della mancanza di autorizzazioni, di competenze tecniche specifiche o della possibilità di trasferire personale e attrezzature. Per una valutazione completa della resilienza non è quindi sufficiente chiedersi semplicemente da quali infrastrutture dipenda un processo. È necessario comprendere in che modo da esse dipenda.

Dalle dipendenze di primo livello a quelle di secondo livello

Un errore comune nell’analisi dell’impatto sul business (BIA) consiste nell’accontentarsi della prima risposta. Se un processo indica di dipendere da un’applicazione cloud, questa viene identificata come risorsa critica e l’analisi può terminare a questo punto. Tuttavia, tale applicazione dipende a sua volta dal fornitore di servizi cloud, dalle telecomunicazioni, dal fornitore di identità, dall’alimentazione elettrica dei data center, dal DNS e da una serie di servizi esterni. La stessa logica vale per le infrastrutture fisiche. Se un processo dipende dall’energia elettrica e dispone di un generatore, la dipendenza sembra attenuata. In realtà, però, occorre chiedersi quanta quantità di carburante sia disponibile, come venga rifornito, da dove provenga, quali infrastrutture siano necessarie per la sua fornitura e in che misura il fornitore sia in grado di garantire il servizio in caso di emergenza regionale. Il passo metodologico consiste quindi nel trasformare un semplice elenco di dipendenze in una catena di dipendenze. Per ogni risorsa critica, occorre chiedersi da cosa dipenda per continuare a funzionare. La stessa domanda deve essere posta ad almeno uno o due livelli successivi, fino a quando non emergono infrastrutture comuni, punti di concentrazione o elementi per i quali non esistono alternative realistiche.

La differenza tra ridondanza e indipendenza

Disporre di due risorse non significa necessariamente che vi sia ridondanza. La ridondanza ha senso solo se entrambe le risorse non vengono messe fuori servizio dallo stesso evento. È quindi necessario distinguere tra ridondanza e indipendenza. Due connessioni Internet possono essere ridondanti dal punto di vista contrattuale, ma non sono indipendenti se condividono la stessa linea in fibra ottica. Due UPS possono essere ridondanti, ma dipendere dallo stesso quadro elettrico. Due data center possono trovarsi in città diverse, ma utilizzare lo stesso provider di identità o la stessa piattaforma cloud. È qui che entra in gioco il concetto di guasto per causa comune: un’unica causa compromette contemporaneamente più componenti che in precedenza erano considerati alternativi tra loro. Da un punto di vista tecnico, la domanda giusta non è quindi «Abbiamo una soluzione alternativa?», ma «La soluzione alternativa può essere colpita dallo stesso evento che rende inaccessibile la soluzione principale?».

Una semplice tabella può rivelarsi più utile di uno schema complesso

Innanzitutto, non è assolutamente necessario un software sofisticato. Una matrice può essere sufficiente. Nelle righe si possono indicare i processi o i servizi critici, mentre nelle colonne si elencano le infrastrutture da cui dipendono: energia, telecomunicazioni, acqua, cloud, centri dati, trasporti, fornitori di servizi logistici, sistemi di pagamento e altre risorse rilevanti. Il primo passo consiste nell’individuare le dipendenze dirette. Il secondo passo consiste nello specificare il tempo massimo di interruzione tollerabile (MTPD) e l’obiettivo di ripristino (RTO). Il terzo passo consiste nell’elencare le alternative disponibili e verificare se queste siano effettivamente indipendenti. A questo punto emergono due elementi molto utili: le infrastrutture da cui dipendono contemporaneamente numerosi processi critici e le alternative che, dopo un’analisi più approfondita, presentano lo stesso punto debole. È proprio qui che una classica matrice delle dipendenze si trasforma in uno strumento per rafforzare la resilienza.

Ricerca di nodi ad alta concentrazione

L’obiettivo successivo consiste nell’identificare i nodi verso cui convergono numerose dipendenze. Un provider di identità, una sottostazione elettrica, un unico operatore di telecomunicazioni, un centro dati, un terminal logistico o un unico fornitore di carburante possono supportare contemporaneamente innumerevoli processi. Questi nodi meritano una priorità maggiore rispetto alle risorse che supportano un solo servizio, anche se la loro probabilità di guasto non sembra particolarmente elevata. Ciò è in linea con l’approccio proposto dalla CISA, che raccomanda di identificare le dipendenze tra i sistemi e di utilizzare tali informazioni per definire le misure di resilienza più efficaci. Tali misure possono includere fornitori secondari realmente indipendenti, collegamenti a sistemi alternativi, alimentazione elettrica di emergenza e procedure operative volte a mantenere le funzioni essenziali in caso di interruzione.

Il tempo è una variabile tecnica

Una dipendenza non è di per sé necessariamente critica. Diventa critica solo in funzione del tempo. Un’interruzione di corrente di dieci minuti può essere completamente compensata da UPS e generatori. Un’interruzione di 48 ore può causare problemi di approvvigionamento. Una settimana può compromettere la disponibilità di personale, logistica e manutenzione. Pertanto, ogni dipendenza deve essere considerata non solo in relazione alla presenza di una soluzione alternativa, ma anche alla sua effettiva autonomia. L’analisi deve determinare per quanto tempo la soluzione principale possa rimanere inattiva prima che il processo ne risenta e per quanto tempo il sistema di backup possa effettivamente mantenere l’operatività. La differenza tra questi due valori rende spesso il deficit di resilienza molto più evidente rispetto a una semplice indicazione del tipo «riserva disponibile: sì/no».

Dallo schema al test

Un’analisi delle dipendenze è utile solo se viene verificata. Se due gestori vengono dichiarati indipendenti, devono essere disponibili prove relative ai percorsi fisici o almeno una conferma plausibile della separazione. Se un generatore garantisce un’autonomia di 48 ore, occorre verificare se tale autonomia sia stata calcolata sulla base del carico effettivo. Se esiste un fornitore alternativo, è necessario sapere entro quale lasso di tempo questi possa effettivamente intervenire in caso di evento regionale. Il test più utile consiste spesso nel partire da un’unica infrastruttura ed esaminare quali servizi verrebbero gradualmente interrotti nel corso del tempo. Questo approccio consente di osservare le reazioni a catena e di identificare i momenti in cui le soluzioni previste raggiungono i propri limiti. La questione non è affatto puramente teorica. Il NIST ha ribadito che le infrastrutture critiche – tra cui energia, acqua, carburanti, comunicazioni e trasporti – sono interconnesse e interdipendenti, proprio perché ciascuna di esse necessita dei servizi delle altre, sia per il funzionamento che per il ripristino a seguito di un incidente.

Da un elenco di risorse alla mappatura della resilienza

Una tradizionale analisi dell’impatto sul business (BIA) identifica le risorse necessarie per l’esecuzione di un processo critico. Un’analisi delle dipendenze più avanzata deve andare oltre e mostrare come queste risorse dipendano a loro volta da altre infrastrutture, dove si trovano le concentrazioni e dove le alternative presentano lo stesso punto debole. Il valore dell’analisi non risiede quindi nel numero di dipendenze identificate, ma nella capacità di riconoscere quelle che possono mettere a rischio contemporaneamente più servizi e rendere inefficaci le strategie di emergenza. Se la mappatura delle dipendenze riesce a evidenziare non solo da cosa dipendiamo noi, ma anche da cosa dipendono le nostre alternative, diventa uno degli strumenti più utili per compiere il passaggio da una continuità operativa basata sulla documentazione a una vera e propria capacità di resilienza.