Nel campo della gestione dei disastri informatici e del recupero dati, due termini fondamentali sono il Recovery Time Objective (RTO) e il Recovery Point Objective (RPO). Questi concetti sono essenziali per capire come un’organizzazione pianifica la ripresa delle attività dopo un’interruzione

Analizziamo in dettaglio cosa significano e come si differenziano, aiutando le aziende a sviluppare strategie di recupero dati efficaci.

Il Recovery Time Objective (RTO) è il tempo massimo accettabile che un’applicazione, un sistema o una rete può rimanere non operativa dopo un disastro prima che il danno causato dall’interruzione diventi inaccettabile. In sostanza, l’RTO definisce il “tempo di fermo” tollerabile in una situazione di emergenza, e varia a seconda della criticità delle operazioni aziendali impattate. Per esempio, un sistema di pagamento online di un’azienda e-commerce potrebbe avere un RTO di poche ore, perché ogni minuto di inattività comporta perdite finanziarie significative.

Il Recovery Point Objective (RPO), d’altra parte, indica la quantità massima di dati che l’organizzazione può permettersi di perdere in caso di disastro, misurata in tempo. L’RPO si focalizza quindi sulla frequenza dei backup dei dati; un RPO basso significa che i backup devono essere eseguiti più frequentemente. Ad esempio, se un RPO è impostato a 30 minuti, i dati devono essere salvati almeno ogni mezz’ora per assicurare che, in caso di guasto, la perdita di dati non superi i 30 minuti.

Mentre l’RTO si concentra sul tempo necessario per ripristinare la funzionalità dopo un’interruzione, l’RPO si concentra sulla quantità di dati che possono essere persi durante questo periodo senza causare danni significativi all’azienda. Entrambi sono cruciali per la pianificazione della continuità aziendale e del recupero di emergenza, ma servono a scopi leggermente diversi.

L’RTO è orientato alla ripresa delle operazioni, mentre l’RPO alla conservazione dei dati.

Esempi di Recovery Time Objective (RTO)

Un sistema di e-commerce: per un’azienda che dipende fortemente dalle vendite online, un sistema di e-commerce inattivo potrebbe risultare in perdite significative di entrate e danni alla reputazione del brand. Supponiamo che l’azienda abbia calcolato che le perdite economiche diventano gravi dopo solo 4 ore di inattività. Di conseguenza, l’RTO per il sistema di e-commerce potrebbe essere fissato a 2 ore, il che significa che il sistema deve essere ripristinato e funzionante entro quel tempo per evitare impatti finanziari e operativi significativi.

Un sistema di email aziendale: anche se critico, potrebbe tollerare un tempo di inattività maggiore rispetto al sistema di e-commerce. Se l’analisi dei rischi rivela che l’azienda può continuare a operare efficacemente per 24 ore senza accesso alle email, l’RTO potrebbe essere impostato a 24 ore.

Esempi di Recovery Point Objective (RPO)

Database finanziari: per un’azienda che gestisce transazioni finanziarie, la perdita di anche solo pochi minuti di dati potrebbe comportare complicazioni legali e finanziarie significative. Pertanto, l’RPO per i database finanziari potrebbe essere fissato a 15 minuti, il che significa che i backup dei dati devono essere eseguiti almeno ogni 15 minuti per garantire che, in caso di disastro, la perdita di dati non superi questo intervallo.

Archivi documentali: documenti meno critici, come quelli utilizzati internamente per riferimento o archiviazione a lungo termine, potrebbero avere un RPO di 24 ore o più. Ciò indica che l’organizzazione può tollerare la perdita di un intero giorno di dati di questi sistemi senza subire impatti operativi o finanziari significativi.

Considerazioni Strategiche

Per le aziende, definire gli scenari adeguati non è solo una questione tecnica ma anche strategica. Ciò include la scelta delle tecnologie di backup e di recupero più adatte, la formazione del personale su procedure specifiche di recupero dati, e la creazione di un piano di risposta agli incidenti che integri queste metriche. Inoltre, la revisione periodica e l’aggiornamento di RTO e RPO sono essenziali per rimanere allineati con le nuove tecnologie e le mutevoli esigenze aziendali.