Backup e disaster recovery: come definire RPO e RTO

I due numeri che contano: RPO e RTO

L'RPO, recovery point objective, indica quanti dati si è disposti a perdere, misurati in tempo. Un RPO di ventiquattro ore significa accettare di rifare il lavoro di una giornata. Determina la frequenza delle copie.

L'RTO, recovery time objective, indica quanto tempo si è disposti a restare fermi. Determina l'architettura: un RTO di una settimana si soddisfa con copie su supporto esterno, un RTO di due ore richiede sistemi già pronti a sostituire quelli guasti.

Questi due numeri non sono una scelta tecnica ma una decisione di direzione, perché sono un compromesso tra costo e rischio. Il compito del fornitore è rendere espliciti i termini del compromesso: quanto costa scendere da ventiquattro ore a quattro, e cosa comporta in termini di infrastruttura e gestione.

Un errore ricorrente è definire un unico RPO e RTO per tutta l'azienda. Nella realtà i sistemi non hanno lo stesso peso: il gestionale che governa la produzione e l'archivio delle vecchie offerte non meritano la stessa protezione, e trattarli allo stesso modo significa spendere troppo su uno o troppo poco sull'altro.

La regola delle tre copie e i suoi limiti

L'indicazione più diffusa prescrive almeno tre copie dei dati, su due tipi di supporto diversi, con una copia conservata in un luogo separato. È un buon punto di partenza, ma da sola non basta più: un attacco che cifra i dati raggiunge anche le copie accessibili dalla rete, e diverse aziende hanno scoperto in quel momento che le tre copie erano tutte raggiungibili con le stesse credenziali.

Per questo conta l'isolamento: almeno una copia deve essere non modificabile o non raggiungibile dai sistemi che protegge. Non è una sottigliezza tecnica, è la differenza tra avere una via di uscita e non averla.

Perché un backup non verificato non conta

L'esito positivo di un salvataggio dice che il processo di copia è terminato. Non dice che il dato sia integro, che sia completo, che il ripristino funzioni sull'hardware disponibile né che qualcuno sappia eseguirlo. Sono quattro cose diverse, e si accertano solo provando.

Una prova di ripristino periodica su un ambiente separato risponde a tutte e quattro. È l'attività che viene rimandata più spesso, perché richiede tempo e non produce nulla di visibile quando va bene — e per lo stesso motivo è quella che distingue una protezione reale da una dichiarata.

La prova serve anche a misurare l'RTO effettivo invece di stimarlo. Quasi sempre il tempo reale è più lungo della previsione, e scoprirlo durante un'esercitazione consente di correggere il piano; scoprirlo durante un guasto no.

Come impostare il lavoro in un'azienda già operativa

Si parte dall'elenco dei sistemi e dal loro peso sull'operatività, non dalla tecnologia. Per ciascuno si stabiliscono RPO e RTO con chi ha l'autorità per decidere, e solo a quel punto si sceglie come realizzarli: la sequenza inversa porta a comprare soluzioni che proteggono bene ciò che non serve.

Successivamente si documenta la procedura di ripristino in modo che sia eseguibile da qualcuno che non l'ha scritta, si fissa un calendario di prove e si definisce chi verifica gli esiti. Un piano che dipende dalla memoria di una singola persona ha un punto di rottura evidente.