Esistono rischi sui quali un’organizzazione può intervenire direttamente. Può proteggere un edificio, duplicare un server, istituire un centro di backup, installare gruppi elettrogeni, definire procedure di emergenza o selezionare fornitori alternativi. D’altra parte, esistono altre dipendenze altrettanto critiche, ma molto meno controllabili: l’energia, le telecomunicazioni, l’acqua, i trasporti, i servizi cloud, i data center e i sistemi di pagamento. Ed è proprio qui che risiede probabilmente l’aspetto più delicato del lavoro di un responsabile della resilienza. Il problema non sta solo nel sapere che queste infrastrutture possono subire un’interruzione. Si tratta di comprendere con quale velocità un’interruzione esterna possa propagarsi all’interno dell’organizzazione e per quanto tempo l’azienda sia realmente in grado di proseguire le proprie attività.

L’interruzione di corrente non è il vero problema

Un’interruzione di corrente è uno scenario relativamente facile da immaginare. Le organizzazioni meglio strutturate dispongono di gruppi di continuità (UPS), generatori e procedure di emergenza. In molti casi, è stata persino calcolata l’autonomia. Tuttavia, la questione davvero rilevante è un’altra: per quanto tempo questa soluzione continuerà a funzionare? Un generatore può disporre di carburante per 12, 24 o 48 ore. Trascorso quel tempo, però, bisogna rifornirlo. A quel punto, il problema non è più solo tecnico, ma logistico. Il fornitore dispone di mezzi sufficienti? Le strade sono percorribili? Le stazioni di servizio funzionano? Esistono priorità contrattuali rispetto ad altri clienti? L’area colpita dall’interruzione è la stessa da cui dipende il rifornimento? La continuità, in altre parole, non si ferma quando entra in funzione il sistema di emergenza. Spesso, inizia proprio in quel momento.

La ridondanza può essere solo apparente

Lo stesso vale per le telecomunicazioni. Un’organizzazione può disporre di due connessioni, due operatori e diversi sistemi di comunicazione, ma ciò non significa necessariamente che disponga di infrastrutture realmente indipendenti. Due collegamenti possono condividere lo stesso tracciato fisico, lo stesso punto di presenza o lo stesso operatore all’ingrosso. Pertanto, un’interruzione apparentemente limitata può influire contemporaneamente su servizi che, sulla carta, sembravano ridondanti. In un’analisi dell’impatto sulle attività (BIA), la voce «telecomunicazioni» figura solitamente come un’unica dipendenza. In realtà, si tratta di una catena di infrastrutture, nodi, servizi e fornitori che raramente viene tracciata nella sua interezza. È proprio lì che una ridondanza logica può trasformarsi, in caso di incidente, in un unico punto di guasto fisico.

Il cloud non elimina l’infrastruttura: la trasferisce

Un altro malinteso molto comune riguarda il cloud. Il trasferimento di applicazioni e dati verso infrastrutture esterne può ridurre la necessità di gestire direttamente server, archiviazione e data center, ma non elimina la dipendenza dall’infrastruttura. La trasferisce. L’organizzazione dipende dal fornitore del cloud, dalle telecomunicazioni, dai sistemi di autenticazione, dal DNS, dai servizi di sicurezza, dall’alimentazione elettrica dei data center e da una lunga catena di componenti tecnologici che spesso sfuggono al controllo diretto dell’azienda. Una strategia multiregionale o con più fornitori può, senza dubbio, aumentare la resilienza, ma solo se progettata realmente a tale scopo. È necessario verificare che le regioni siano realmente indipendenti, che i dati vengano replicati, che le applicazioni possano essere trasferite e che il personale sia in grado di utilizzare l’ambiente di backup. Un’alternativa non costituisce una strategia di continuità semplicemente per il fatto di esistere sulla carta. Lo è solo quando viene mantenuta, verificata e testata.

Per le banche e gli altri soggetti DORA questo punto non è solo buona pratica: il regolamento chiede di valutare il rischio di concentrazione sui fornitori ICT e di definire strategie di uscita per i servizi che supportano funzioni critiche o importanti.

Il vero problema risiede nelle dipendenze che non vediamo

Per un responsabile della resilienza, una delle questioni più difficili consiste nel determinare se siano state effettivamente identificate tutte le dipendenze critiche. Una funzione può dichiarare di dipendere da una determinata applicazione. L’applicazione dipende da un fornitore di servizi cloud. Il fornitore di servizi cloud dipende da specifiche infrastrutture di rete. L’accesso dipende da un sistema di gestione delle identità. La comunicazione di emergenza utilizza la stessa rete mobile che potrebbe essere colpita dall’incidente. La dipendenza reale non è il primo anello della catena. È la catena nella sua interezza. Ciò significa che un’analisi dell’impatto sul business (BIA) può essere corretta al primo livello e, tuttavia, incompleta. Il rischio emerge quando una dipendenza di secondo o terzo livello diventa il vero punto di rottura.

Quanto dura realmente la nostra autonomia?

La questione può essere sintetizzata in una domanda molto concreta: per quanto tempo l’organizzazione può continuare a funzionare senza una determinata infrastruttura? Non senza un server o un singolo fornitore, ma senza alimentazione elettrica, connessione a Internet, rete mobile, accesso al cloud, sistemi di pagamento, acqua o trasporti pubblici. La risposta non dovrebbe limitarsi a «abbiamo un piano». Dovrebbe essere espressa in ore o in giorni. Questa è la vera misura della resilienza. Un’organizzazione che sa cosa fare, ma ignora per quanto tempo può continuare a farlo, conosce solo metà del problema.

Anche le persone dipendono dalle infrastrutture

Inoltre, c’è una dimensione che spesso non viene presa sufficientemente in considerazione nei piani: la disponibilità delle persone. Durante una grave crisi infrastrutturale, l’elettricità, l’acqua, le telecomunicazioni e i trasporti non servono solo all’organizzazione. Servono anche ai dipendenti e alle loro famiglie. Una persona può essere formalmente disponibile a lavorare, ma non essere in grado di recarsi sul posto di lavoro, non avere connessione da casa, dover accudire i familiari o, semplicemente, non poter comunicare. Pertanto, un centro di emergenza perfettamente operativo può rivelarsi inutile se le persone che dovrebbero utilizzarlo non riescono a raggiungerlo. Questo è uno dei motivi per cui le crisi infrastrutturali richiedono di tenere conto contemporaneamente delle risorse, della tecnologia, delle persone e del territorio.

Il rischio principale è la propagazione

Lo scenario critico reale raramente è un semplice guasto isolato. Si tratta piuttosto di una catena di guasti. Un’interruzione di corrente può essere inizialmente gestita tramite i sistemi di emergenza. Successivamente, alcune infrastrutture di telecomunicazione iniziano a perdere la propria autonomia, la connettività si deteriora, i sistemi di pagamento diventano intermittenti, i trasporti iniziano ad avere problemi, i dipendenti faticano a raggiungere il proprio posto di lavoro e l’approvvigionamento dei generatori diventa più complesso. Nessuno di questi eventi, preso singolarmente, è necessariamente catastrofico. È la loro combinazione a generare una crisi. E sono proprio queste combinazioni che risultano difficili da tenere in considerazione nei piani tradizionali, progettati per scenari diversi.

La telefonata delle 6:30

Probabilmente, il momento più difficile per un responsabile della resilienza non è quello in cui riceve la notizia dell’incidente, ma quello che segue immediatamente dopo. Sono le 6:30 del mattino. Una parte significativa della città è senza elettricità, mentre le telecomunicazioni funzionano a intermittenza. La direzione chiama e pone una domanda apparentemente semplice: possiamo operare normalmente? Per rispondere, servono informazioni provenienti da diversi reparti. Il reparto impianti conosce l’autonomia dei generatori, il reparto informatico conosce lo stato dei sistemi, il reparto acquisti conosce i fornitori, quello delle risorse umane conosce la disponibilità del personale e quello della sicurezza conosce l’accessibilità delle strutture. La continuità operativa dovrebbe essere il punto in cui tutte queste informazioni vengono rapidamente raggruppate in un’unica visione operativa. Se il primo passo consiste nel capire chi dispone di tali informazioni, l’organizzazione sta già perdendo tempo prezioso.

Il punto debole può trovarsi completamente al di fuori del perimetro

Un’organizzazione può disporre di un’analisi dell’impatto sulle attività (BIA) aggiornata, di piani collaudati, di sedi di backup, di sistemi ridondanti e di fornitori qualificati. Potrebbe aver fatto quasi tutto nel modo giusto e, nonostante ciò, una singola infrastruttura esterna può rendere contemporaneamente inutilizzabili molte delle soluzioni implementate. È qui che risiede il paradosso della resilienza moderna: più le organizzazioni diventano digitali, distribuite e interconnesse, più una parte significativa della loro capacità operativa dipende da sistemi di proprietà di terzi. Per questo motivo, la questione che dovrebbe tenere sveglio un responsabile della resilienza non è solo sapere cosa potrebbe andare storto all’interno dell’organizzazione, ma, soprattutto, quali infrastrutture esterne potrebbero fallire e paralizzarla nonostante tutto.