Cosa succede dopo un attacco: dalla Cyber Security alla resilienza digitale

Gestendo controlli quali i firewall, la protezione degli endpoint e la sicurezza delle e-mail, la Cyber Security svolge un ruolo fondamentale nel prevenire gli attacchi. Ma, nonostante gli investimenti, le violazioni accadono. L'87% degli intervistati per un'indagine del World Economic Forum individua nelle vulnerabilità legate all'intelligenza artificiale il rischio informatico a maggior crescita dell'ultimo anno.

Quando accadono, la domanda non è più: "Come possiamo fermarle?" ma diventa: "Quanto velocemente possiamo riprenderci e tornare alla normalità?" È qui che la resilienza digitale diventa essenziale, perché si focalizza sulla resistenza alle interruzioni e sul ripristino dell'operatività in modo rapido e pulito.

Infografica

Oltre la Cyber Security: costruire la resilienza digitale per la continuità operativa

La Cyber Security è prevenzione, perché rileva e blocca le attività malevole per mantenere al sicuro sistemi e dati. La resilienza digitale presuppone il verificarsi degli incidenti, ed è la capacità di anticipare, resistere, recuperare e adattarsi alle interruzioni operative digitali, in modo che l'azienda continui a svolgere le proprie funzioni durante e dopo un incidente informatico. I due fattori non vanno considerati come due priorità in competizione, ma come due metà di un'unica strategia.

Le tattiche di continuità esistenti sono state concepite per le interruzioni accidentali, non per contrastare eventuali attacchi. Ad esempio, l'hardware ridondante o i siti con mirroring sono un valido aiuto in caso di un'interruzione dell'alimentazione e di difetti dei componenti. Da soli però non bloccano la diffusione del ransomware. Una replica può trasferire un'infezione dall'ambiente primario a quello di standby. Nell'odierno contesto delle minacce, un approccio basato solo sulla prevenzione o un modello basato esclusivamente sulla ridondanza non sono più sufficienti.

Quando un attacco riesce a superare le misure di difesa, i sistemi possono diventare inaccessibili, i dati vengono crittografati e i servizi critici arrestati. Durante l'interruzione operativa, diventano evidenti i limiti di un approccio puramente preventivo ed emerge l'esigenza di un percorso collaudato che garantisca la continuità.

I team devono tornare rapidamente operativi e verificare che l'ambiente ripristinato sia privo di malware prima di riavviare la produzione. La resilienza rende questo processo ripetibile e prevedibile, senza improvvisazioni.

Deduplicare i sistemi non garantisce il ripristino. Una replica che non riconosce le modifiche pericolose può, al contrario, ampliare il raggio d'azione dell'attacco. La presenza di tecnologie frammentarie per il backup, il disaster recovery e la sicurezza genera anche la proliferazione di strumenti e zone d'ombra che rallentano la risposta e aumentano i costi.

Adottando approcci consolidati alla protezione e al ripristino, i team saranno in grado di passare in breve tempo dal rilevamento al ripristino pulito, in un unico flusso di lavoro.

La velocità ha senso solo se consente anche di verificare che il ripristino sia pulito e in linea con le esigenze dell'azienda. Per rendere la resilienza misurabile e ripetibile, è necessario definire un insieme conciso di obiettivi di ripristino che saranno i parametri di base per la pianificazione, gli investimenti e le attività di test.

Queste metriche traducono il rischio aziendale in obiettivi operativi e forniscono una base trasparente per le verifiche e le migliorie da apportare.

• Recovery Time Objective (RTO): periodo di tempo massimo accettabile entro il quale ripristinare le operazioni.
• Recovery Point Objective (RPO): massima perdita di dati accettabile.
• Periodo massimo di interruzione operativa tollerabile (MTD): periodo superato il quale l'interruzione si trasforma in fallimento aziendale.
• Tempo medio per il ripristino pulito (MTCR): il tempo necessario per ripristinare un ambiente verificato e privo di malware. Il parametro MTCR è fondamentale per la risposta a un attacco ransomware.

Per definire questi obiettivi, è necessario disporre di un'analisi dell'impatto sull'azienda e della classificazione delle risorse. Infine, occorre indirizzare la maggiore protezione ai workload su cui si fondano fatturato e reputazione.

Acronis unifica sicurezza degli endpoint, backup, disaster recovery e gestione degli endpoint in un'unica piattaforma, che opera tramite un'unica console e un unico agente. L'approccio unificato riduce la complessità per i team IT e abbrevia il percorso dal rilevamento dell'incidente al ripristino verificato.

I backup immutabili a livello di file e di immagine completa archiviati in modalità di governance impediscono agli aggressori di eliminare o modificare i dati di backup. Il rilevamento comportamentale basato su AI contrasta le minacce zero-day analizzando i processi attivi e bloccando la crittografia dannosa in tempo reale.

Nel caso in cui la misura di mitigazione venga elusa, Acronis Disaster Recovery avvia il failover su Acronis Cloud, che è realizzato, gestito e mantenuto dalla stessa Acronis. I clienti possono controllare il failover e il failback direttamente dalla console, eseguire test senza rischi utilizzando lo storage ad accesso frequente incluso e verificare i punti di ripristino per garantire una condizione pulita prima di tornare alla produttività. La fatturazione delle risorse di elaborazione è basata sul consumo e si attiva solo durante il failover, per contenere i costi di standby.

Le aziende e i clienti VAR che si occupano di server e macchine virtuali strategici dovranno concentrarsi su quattro passaggi:

1. Classificare le risorse in base al valore che hanno per l'azienda. Sarà necessario etichettare i sistemi come riservati, sensibili, privati o pubblici; collegare le etichette a piani di protezione automatizzati; applicare disaster recovery e obiettivi RTO e RPO stringenti ai workload più critici.
2. Quantificare il rischio e allineare di conseguenza gli investimenti. L'analisi dell'impatto sull'azienda e la perdita annua prevista possono giustificare i livelli di protezione. Occorre quindi indirizzare le capacità di resilienza di livello più elevato verso i sistemi la cui eventuale interruzione operativa può causare i maggiori danni operativi e finanziari.
3. Rafforzare i backup e convalidare il ripristino. È necessario archiviare i backup in modo immutabile, eseguire regolarmente failover di prova e analizzare i punti di ripristino per evitare le reinfezioni. Il parametro MTCR va considerato come una metrica prioritaria e occorre progettare le procedure necessarie a rispettarlo.
4. Semplificare lo stack tecnologico. Il primo passo è ridurre la proliferazione degli strumenti. Una piattaforma unificata migliora la visibilità, ottimizza le capacità di risposta e riduce il costo totale di proprietà.

La prevenzione resta fondamentale, ma è la resilienza a determinare se un evento informatico sarà un inconveniente di breve durata o una crisi prolungata. Integrando la difesa basata su AI con un ripristino orchestrato e pulito, Acronis aiuta le organizzazioni a proteggere server e macchine virtuali strategici prima di un attacco, e a riportarli rapidamente alla produttività dopo. Per i leader IT aziendali e i VAR, una piattaforma unificata sostituisce le difese frammentarie con la continuità operativa e il controllo.

Infografica

Oltre la Cyber Security: costruire la resilienza digitale per la continuità operativa