L'incendio al datacenter di OVHcloud ha sollevato una serie di problemi di cyber security. Il primo è che quando il CEO e fondatore di OVHcloud, Octave Klaba, ha esortato i clienti ad attivare i propri piani di disaster recovery, è emerso che la maggior parte non ne aveva uno. Il secondo si riallaccia al modello di responsabilità condivisa che evidentemente non è stato recepito da tutti.

Per fare chiarezza abbiamo intervistato Rodolfo Rotondo, Principal Business Solution Strategist (EMEA) di VMware. Per prima ha chiarito in che cosa consiste un piano di disaster recovery: un insieme di procedure tecnico organizzative atte ad analizzare e ripristinare i dati nel momento del bisogno. Dal punto di vista organizzativo implica un’analisi delle applicazioni critiche, che sostanzialmente sostengono il business.

A fronte di questa analisi è necessaria poi una componente tecnica atta a verificare che le infrastrutture siano effettivamente disponibili, con un allineamento dei dati sincrono o asincrono a seconda della necessità, ossia di quanto tempo si è disposti a perdere prima di tornare operativi. L’obiettivo è fare in modo che il piano di disaster recovery sia il più automatizzato possibile e che sia poi periodicamente testato al di fuori di una situazione di emergenza reale.

Per quanto riguarda la responsabilità del dato, sono da verificare le clausole contrattuali. Se oltre alla residenza del dato l’azienda ha acquisito dal service provider servizi aggiuntivi quali il backup o il disaster recovery, è lecito aspettarsi che il service provider se ne occupi. Tuttavia il concetto di sicurezza del dato va oltre al contesto del disaster recovery, rientra nella più ampia visione della sicurezza. Il provider si ferma a una sicurezza fisica delle infrastrutture, al cliente spetta la gestione della cybersecurity, che include anche la configurazione degli asset in cloud e le relative policy di cybersecurity. Per esempio, oltre il 90% dei data breach ai danni di dati residenti in cloud è conseguenza di configurazioni errate da parte del cliente, quindi non è addebitabile al cloud provider.

Il cloud tuttavia è una risorsa resiliente e versatile, che con soluzioni appropriate può diventare anche una risorsa per il disaster recovery stesso, con costi accessibili grazie alla virtualizzazione e al multicloud.