Cosa proteggere davvero: l'inventario che viene prima degli strumenti
Prima di scegliere backup, firewall o antivirus conviene scrivere l'elenco di ciò che l'azienda non può perdere. Da quell'elenco dipendono la spesa, le priorità e la qualità del ripristino.
La domanda arriva quasi sempre nell'ordine sbagliato: prima quale antivirus, quale firewall, quale soluzione di copia, e solo dopo, se avanza tempo, cosa proteggere davvero. L'ordine inverso costa meno e funziona meglio. Un elenco di ciò che l'azienda non può permettersi di perdere si scrive in poche ore, anche su un foglio di calcolo, e da lì si capisce quali strumenti servono e quali erano soltanto una riga in preventivo. Senza quell'elenco si compra protezione a caso: molta dove non serve, poca dove serve.
Cosa proteggere davvero: la risposta in poche righe
Vanno protetti i dati che l'azienda non può ricostruire, le configurazioni che tengono in piedi i sistemi e i servizi senza cui il lavoro si ferma entro la giornata. Tutto il resto è secondario, o almeno rinviabile. Si classifica per impatto sull'operatività e per possibilità di ricostruzione, poi si sceglie lo strumento e la spesa.
Sembra banale detto così. Nella pratica quasi nessuno lo fa, perché richiede di parlare con l'amministrazione, con il magazzino e con chi risponde ai clienti, e non con un fornitore. È lavoro di inventario, non di tecnologia.
Quali informazioni è necessario proteggere
Il criterio più onesto è uno solo: se domani mattina questo file, questa tabella, questo archivio non esistesse più, quanto tempo servirebbe a ricostruirlo e da dove? Le risposte si dividono da sole.
- Dati che l'azienda produce e che esistono solo lì dentro: registrazioni contabili, anagrafiche clienti e fornitori, distinte, disegni, preventivi, corrispondenza. Non si ricostruiscono. Se spariscono, si riparte da zero o si chiede una copia ai terzi, sperando che ce l'abbiano.
- Dati di altre persone affidati all'azienda: dipendenti, clienti, candidati. Qui non conta solo perderli, conta anche che finiscano dove non devono. La protezione riguarda tanto la copia quanto l'accesso.
- Credenziali, chiavi e certificati: accessi ai gestionali, chiavi SSH, certificati dei siti, credenziali dei servizi bancari e dei portali della pubblica amministrazione. Spesso stanno nella testa di una persona sola, o in un file sul desktop di quella persona.
- Quello che spiega come funziona il resto: schemi, contratti, riferimenti dei fornitori, scadenze. È la categoria che nessuno mette nel backup e che serve esattamente nel momento peggiore.
Un errore ricorrente è proteggere solo ciò che sta nel gestionale. Il gestionale di solito qualcuno lo copia. Il problema è la cartella condivisa cresciuta in dieci anni, quella dove ogni ufficio ha messo le sue cose senza che nessuno decidesse mai una regola.
Le configurazioni, cioè la parte che manca il giorno del ripristino
Immagina la scena. Il server ha ceduto, la copia dei dati c'è ed è recente, il nuovo sistema è in piedi. Poi si prova a far ripartire il servizio e il gestionale non risponde. Mancano i virtual host di Nginx, che qualcuno aveva sistemato a mano due anni fa. Mancano le regole del firewall che permettono alla filiale di raggiungere il database. Mancano i permessi sulle cartelle, quindi tutti vedono tutto o nessuno vede niente. Manca il processo notturno che genera il file per la banca, e nessuno ricorda a che ora girava.
I dati erano salvi. L'azienda era ferma lo stesso.
Le configurazioni sono piccole, cambiano di rado e si dimenticano sempre. Vanno trattate come dati a tutti gli effetti: esportate, versionate, conservate fuori dalla macchina che descrivono. Vale per le regole di rete, per i parametri di PostgreSQL o MySQL, per i file di servizio di Apache, per la definizione dei container, per le utenze e i gruppi. Se una configurazione esiste solo dentro una macchina virtuale, il giorno in cui quella macchina non c'è più la configurazione non c'è più.
Servizi critici: si parte dalla giornata lavorativa, non dal rack
La criticità di un servizio non si decide guardando l'infrastruttura. Si decide chiedendo a chi lavora: se questo si ferma, tu cosa non riesci più a fare, e per quanto puoi andare avanti lo stesso? La risposta a volte sorprende. Capita che un sistema considerato secondario blocchi le spedizioni, e che un sistema considerato vitale possa stare fermo mezza giornata senza che nessuno se ne accorga.
La tabella si compila in una riunione, con le persone giuste nella stanza. Ecco un esempio di come si riempie.
| Servizio | Chi si ferma | Quanto si regge senza | Da cosa dipende |
|---|---|---|---|
| Gestionale | Amministrazione, magazzino | Poco, si blocca la fatturazione | Database, server applicativo, VPN filiale |
| Posta elettronica | Tutti | Poco, ma esistono alternative temporanee | DNS, servizio esterno, credenziali |
| Cartelle condivise | Ufficio tecnico | Qualche ora | File server, permessi, rete interna |
| Sito o portale clienti | Clienti e commerciali | Dipende dal periodo | Web server, certificato, DNS, database |
La colonna che conta più di tutte è l'ultima. Quasi nessun servizio dipende da una sola cosa, e l'anello che salta è quasi sempre quello che nessuno aveva scritto: un certificato scaduto, un record DNS puntato su un indirizzo vecchio, una VPN che si autentica contro un sistema spento per manutenzione.
Cosa posso fare per proteggere quello che conta, in ordine
Nell'ordine, e senza saltare i primi passi per arrivare prima al software.
- Scrivi l'inventario: sistemi, servizi, dove girano, chi li usa, chi è il fornitore, dove sono le credenziali. Anche incompleto, vale più del nulla che c'è adesso.
- Assegna un proprietario a ogni voce: una persona interna, non un ruolo generico. Se non c'è un nome, quella voce non verrà mai verificata.
- Separa il recuperabile dall'irrecuperabile: un sistema operativo si reinstalla, una configurazione si riscrive con fatica, i dati prodotti in azienda non tornano indietro. Le protezioni più costose vanno sull'ultima categoria.
- Verifica che le copie coprano davvero quell'elenco, e soprattutto che si riescano a rimettere in piedi. Una copia mai riprovata è un'ipotesi, e sul tema abbiamo scritto come verificare un ripristino prima del guasto.
- Metti le scadenze in un calendario condiviso: certificati, domini, contratti di licenza, garanzie hardware. Sono guasti annunciati con mesi di anticipo, che diventano emergenze solo perché nessuno guardava.
- Rivedi l'elenco quando cambia qualcosa: un nuovo applicativo, una migrazione, una persona che se ne va. Un inventario fermo a due anni fa descrive un'azienda che non esiste più.
Come proteggersi in rete senza partire dagli strumenti
Sulla rete la posizione è netta: prima si riducono le strade aperte, poi si comprano prodotti che sorvegliano le strade rimaste. Un firewall serio davanti a un sistema esposto su internet con accesso amministrativo aperto a chiunque non risolve granché.
In concreto significa pubblicare verso l'esterno solo ciò che deve esserlo davvero, far passare gli accessi remoti da una VPN invece che da porte aperte, dare a ogni persona un'utenza propria e togliere gli account condivisi, separare le reti in modo che la stampante e il gestionale non si vedano l'un l'altro senza motivo, e applicare gli aggiornamenti con una finestra concordata invece che quando capita. Sono misure noiose. Coprono la maggior parte dei casi reali, molto più di qualunque strumento aggiunto in fretta.
Cosa proteggere davvero quando il budget non basta per tutto
Non basta mai, ed è normale. Allora si accetta che i livelli siano diversi: qualcosa va protetto con copie frequenti, conservate in più posti e riprovate con regolarità; qualcosa con una copia periodica e nulla più; qualcosa si può perdere senza conseguenze, e va detto esplicitamente, per iscritto, perché sia una decisione e non una dimenticanza.
La differenza tra un'azienda preparata e una che se la cava è tutta qui. Non nella tecnologia adottata, ma nel fatto che qualcuno, a mente fredda, abbia deciso cosa si è disposti a perdere e lo abbia scritto.
Da dove partire lunedì mattina
Apri un foglio e scrivi le cinque cose che fermerebbero l'azienda se sparissero oggi. Accanto a ciascuna metti tre informazioni: dove si trova, chi la gestisce, se esiste una copia e quando è stata riprovata l'ultima volta. Le caselle vuote sono il piano di lavoro dei prossimi mesi, in ordine di gravità. Se poi serve un confronto su come tradurre quell'elenco in interventi concreti su server, reti e copie, in Forgiant è il punto da cui partiamo prima di proporre qualsiasi cosa.
Domande frequenti
Come proteggersi dai virus in una piccola azienda?
L'antivirus serve, ma da solo copre poco. Contano di più gli aggiornamenti applicati con regolarità, le utenze senza privilegi amministrativi per l'uso quotidiano e copie dei dati conservate in modo che un sistema compromesso non possa raggiungerle e cifrarle.
Come disattivare l'avvio protetto e conviene farlo?
L'avvio protetto si disattiva dalle impostazioni UEFI della macchina, ma è una protezione contro l'avvio di componenti non firmati e toglierla abbassa la difesa. Conviene farlo solo se un sistema o un driver lo richiede esplicitamente, valutando prima l'alternativa con chi gestisce i sistemi.
Come proteggere i propri dati se non si ha un reparto IT interno?
Si parte dall'inventario di cosa esiste e dove sta, assegnando a ogni voce una persona interna di riferimento anche se le attività tecniche le svolge un fornitore. Poi si concordano per iscritto copie, prove di recupero e gestione degli accessi, così che il perimetro sia chiaro a entrambe le parti.