Il piano di continuità operativa, o PCA, descrive come mantenere i servizi prioritari quando persone, locali, sistemi o fornitori non sono disponibili. Il documento parte dall’attività da proteggere e arriva alle decisioni di emergenza. Una copia di sicurezza è una risorsa importante, ma non risponde da sola a domande come chi accetta gli ordini, chi comunica ai clienti e come si registrano le operazioni durante l’interruzione.
Il percorso operativo comprende: perimetro, analisi degli impatti, scenari, strategie, esercitazione e riesame. Per il trattamento di dati personali, l’articolo 32 GDPR comprende disponibilità, resilienza e capacità di ripristino. Gli eventuali obblighi settoriali devono essere identificati separatamente: il titolo «PCA» non rende automaticamente un documento idoneo a ogni disciplina.
Distinguere continuità e ripristino tecnico
Il PCA organizza il servizio durante una crisi. Il piano di disaster recovery descrive invece il ripristino delle componenti informatiche. I due documenti devono essere compatibili: se l’attività tollera una breve interruzione ma la procedura tecnica richiede tempi molto più lunghi, occorre una soluzione alternativa oppure un diverso obiettivo approvato.
Un piano può riguardare un singolo servizio o l’intera organizzazione. Scrivete esplicitamente il perimetro, i referenti e le dipendenze escluse. Una prova limitata alla sede principale non dimostra che le filiali sappiano operare, né che il fornitore esterno sia disponibile nello stesso scenario. Questi limiti devono comparire nelle decisioni, non restare soltanto nella memoria di chi ha organizzato l’esercitazione.
Eseguire l’analisi degli impatti sull’attività
Intervistate chi eroga il servizio e chiedete cosa accade dopo un’interruzione crescente. Considerate persone assistite, obblighi contrattuali, operazioni non eseguite, integrità dei dati e possibilità di recuperare il lavoro arretrato. Il tempo tollerabile dipende dal processo: un adempimento vicino alla scadenza può avere una criticità diversa rispetto allo stesso servizio in un periodo ordinario.
Distinguete tempo massimo tollerabile, obiettivo di ripresa e perdita di dati tollerabile. Sono decisioni organizzative da motivare, non numeri da copiare dal contratto cloud. Il responsabile tecnico può spiegare cosa è possibile; il responsabile del servizio deve confermare se il risultato soddisfa il bisogno. Registrate eventuali scostamenti e il soggetto che li assume.
| Elemento della BIA | Informazione da ottenere |
|---|---|
| Servizio | Risultato che deve essere garantito agli utenti |
| Impatto nel tempo | Conseguenze dell’interruzione per finestre temporali |
| Risorse minime | Persone, documenti, strumenti e accessi necessari |
| Dipendenze | Servizi interni ed esterni indispensabili |
| Modalità degradata | Attività possibile con capacità o funzioni ridotte |
| Recupero arretrato | Metodo per reinserire e verificare le operazioni |
Collegate questa analisi alla mappatura dei sistemi informativi. Un’applicazione apparentemente secondaria può custodire contatti, credenziali o configurazioni necessari per ripristinare tutto il resto. Anche i sistemi di identità, la connettività e le persone con competenze rare sono dipendenze da esplicitare.
Per un grossista ipotetico, la scheda BIA del servizio ordini può registrare: interruzione massima tollerabile di otto ore, obiettivo di ripresa del gestionale di quattro ore e perdita massima accettabile di quindici minuti di registrazioni. Sono scelte dell’esempio, non termini normativi. La responsabile commerciale conferma che due addetti possono ricevere telefonicamente soltanto gli ordini urgenti, numerandoli su moduli custoditi in ufficio. La prova tecnica impiega invece sei ore: il PCA deve registrare lo scostamento rispetto alle quattro ore, assegnare la correzione e verificare se la modalità manuale regge davvero; restare entro otto ore non rende raggiunto l’obiettivo di ripresa.
Selezionare scenari che mettano alla prova le dipendenze
Considerate indisponibilità dei locali, assenza di personale chiave, guasto prolungato di un fornitore, perdita di connettività e compromissione informatica. Non occorre inventare ogni catastrofe possibile: cercate scenari capaci di interrompere risorse diverse e di rivelare concentrazioni. Due fornitori commercialmente distinti potrebbero dipendere dalla stessa infrastruttura o dalla medesima rete.
Per gli incidenti informatici, valutate se l’ambiente di produzione possa essere considerato attendibile. Ripartire velocemente su un sistema ancora compromesso può riprodurre l’incidente. Il piano deve prevedere chi autorizza il riutilizzo, quali controlli precedono la riapertura e come vengono protette le informazioni raccolte durante le attività manuali.
Una matrice può associare ciascuno scenario alle risorse indisponibili e alle strategie utilizzabili. Se tutte le strategie richiedono la stessa persona o la stessa credenziale, la diversificazione è soltanto apparente. Verificate queste dipendenze prima dell’esercitazione e registrate i punti che non possono ancora essere risolti.
Scegliere modalità operative alternative
Le strategie possono comprendere lavoro da altra sede, personale sostitutivo, elaborazione differita, canali alternativi o procedure manuali. Per ogni scelta definite capacità, durata sostenibile, condizioni di attivazione e limiti. Un modulo cartaceo può mantenere temporaneamente una funzione, ma richiede istruzioni su custodia, consegna e successivo inserimento dei dati.
Per esempio, in uno scenario ipotetico di indisponibilità del gestionale ordini, il servizio può registrare soltanto i dati strettamente necessari in un modulo numerato. Il referente conserva i moduli in un luogo protetto; una seconda persona riconcilia i numeri al ripristino. L’esempio deve essere adattato: non autorizza l’uso di account personali o strumenti esterni non valutati.
Le regole della politica di sicurezza informatica restano rilevanti durante la crisi. Stabilite in anticipo le deroghe possibili, chi le approva e come terminano. Un’emergenza non dovrebbe trasformare una soluzione temporanea in un canale parallelo permanente, invisibile alle normali verifiche.
Organizzare attivazione e comunicazione
Indicate chi può dichiarare la crisi e chi lo sostituisce. Definite condizioni osservabili, evitando formule che richiedano una certezza irrealistica prima di agire. La decisione può essere riesaminata alla luce di nuove informazioni, purché la cronologia permetta di capire quali elementi erano disponibili in ciascun momento.
Preparate una rubrica accessibile anche quando i sistemi ordinari non funzionano. Verificate periodicamente numeri, canali e disponibilità dei sostituti, limitando l’accesso ai dati personali contenuti. Una copia offline può essere utile, ma richiede protezione e aggiornamento: un elenco vecchio può creare ritardi proprio durante la fase più delicata.
La comunicazione deve distinguere messaggi interni, utenti, partner e autorità. Per un incidente che coinvolge dati personali, il PCA si collega alla valutazione della violazione e della notifica; non sostituisce la relativa decisione giuridica. Le persone incaricate dei messaggi devono ricevere fatti verificati e conoscere ciò che rimane incerto.
Esercitare il piano e raccogliere risultati utilizzabili
Cominciate con un’esercitazione da tavolo: presentate lo scenario, rendete indisponibile una risorsa e chiedete ai partecipanti di applicare il piano. Annotate decisioni, informazioni mancanti e dipendenze inattese. Successivamente, quando appropriato, eseguite prove tecniche controllate senza esporre inutilmente dati reali o compromettere servizi essenziali.
Gli obiettivi della prova devono essere definiti prima. Potete verificare contatti raggiungibili, avvio della modalità degradata, ripristino di un componente e riconciliazione delle operazioni. Una prova non è riuscita soltanto perché il servizio torna disponibile: deve anche produrre dati corretti e permettere agli utenti autorizzati di svolgere l’attività prevista.
Per il ripristino di archivi personali considerate la verifica della cancellazione nei backup. Una copia recuperata può contenere dati cancellati o preferenze non più attuali. Stabilite come applicare le modifiche successive alla copia prima di riportare il servizio all’uso ordinario.
Chiudere le azioni e mantenere il piano
Il verbale dell’esercitazione dovrebbe riportare perimetro, partecipanti, tempi osservati, esiti e azioni correttive. Assegnate ciascuna azione a un referente con una scadenza interna e una modalità di verifica. «Aggiornare il piano» è troppo vago se il problema concreto era l’assenza delle credenziali di recupero o l’impossibilità di contattare il fornitore.
Riesaminate il PCA quando cambiano servizi, sedi, persone chiave o fornitori. Le funzioni di acquisto e gestione delle modifiche devono sapere quali cambiamenti possono invalidare le strategie. Una nuova dipendenza esterna può rendere irrealistica la capacità di ripresa pur senza modificare il documento principale.
Il percorso CNIL per la sicurezza dei dati offre un ulteriore riferimento per collegare disponibilità e misure organizzative. Il fascicolo operativo finale riunisce analisi degli impatti, scenari, strategie, contatti, istruzioni di crisi ed evidenze delle prove. La sua qualità si valuta chiedendo a un sostituto di utilizzarlo: se riesce a individuare priorità, decisioni e limiti senza affidarsi a conoscenze informali, il piano ha una concreta utilità.