Smau 2010 Milano: Seminario AIPSI Business Continuity e Disaster Recovery

Alessio L.R. Pennasilico
mayhem@aipsi.org
twitter: mayhemspp
FaceBook: alessio.pennasilico
Business Continuity
Disaster Recovery
l'infrastruttura adatta permette di correre meno rischi
Thursday, 21 October, 2010

BC/DR mayhem@aipsi.org
$ whois mayhem
Board of Directors:
CLUSIT, Associazione Informatici Professionisti,
Associazione Italiana Professionisti Sicurezza Informatica,
Italian Linux Society, OpenBSD Italian User Group,
Hacker’s Profiling Project
2
Security Evangelist @

Strategia

BC/DR
Un buon piano utilizza la tecnologia
come supporto di una strategia
4

Don’t do it at home!
5

Cosa ottenere?
Classificare
le informazioni ed i servizi
per criticità
6

Disservizio accettabile
RPO, Recovery Point Objective
the acceptable latency of data that will be recovered
RTO, Recovery Time Objective
the acceptable amount of time to restore the function
MTDL: The RPO must ensure that the Maximum
Tolerable Data Loss for each activity is not
exceeded.
MTPD: The RTO must ensure that the Maximum
Tolerable Period of Disruption for each activity is
not exceeded.
7

Rischi
Elencare i rischi
dai quali ci si vuole proteggere
Classificarli per frequenza e gravità
guasti, perdite d’acqua, incendi, terremoti
8

FRAP - Qualitative RA matrix
9

Quanto denaro investire
Definire il costo di ogni disservizio
Definire un budget da dedicare alle
contromisure per i diversi rischi
costo(incidente) > costo(contromisure) ?
10

Cosa fare?
• Avoidance (evitare completamente)
• Reduction (mitigare)
• Sharing (transferire il rischio)
• Retention (accettare e mettere in conto)
11

Composite Risk Index
CRI
=
Impact of Risk event
x
Probability of Occurrence
12

Business Continuity
Prevenzione
Monitoraggio
Correzione
13

Gli elementi di una crisi
Una minaccia per l’organizzazione
Un evento imprevisto
Tempi di decisione brevissimi
14

Crisi / tempo
15
0
12.5
25
37.5
50
Untitled 4 2008 2010 Untitled 2
Crisi Gestione
Tempo
Gravità

ERT
16

BC vs DR
17

Seven Tiers of DR
Tier 0: No off-site data – Possibly no recovery
Tier 1: Data backup with no hot site
Tier 2: Data backup with a hot site
Tier 3: Electronic vaulting
Tier 4: Point-in-time copies
Tier 5: Transaction integrity
Tier 6: Zero or near-Zero data loss
Tier 7: Highly automated, business integrated solution
18

Balance effectiveness
19

Effetto Domino
20

Gestione pervasiva
21

Soluzioni

Soluzioni / Costi
23

Cluster / Array
Ridondare le risorse (HW/SW)
aiuta la Business Continuity
non preserva dalla perdita di dati
ma aiuta a prevenirla
24

Backup
Nastro? Disco? Storage?
Criptato? Off-Site?
Tempi di ripristino?
25

Replica di dati
Utilizzo di banda?
Se fosse il server a non essere disponibile?
26

Replica di VM
Necessari banda e spazi adeguati
Basata su servizi di terze parti
27

Replica di Storage
Ogni vendor ha la sua tecnologia
Grande resa a fronte di costi non banali
28

Deduplication
I dati ridondanti vengono eliminati
Una sola copia di ogni dato,
utilizzo razionale degli storage
Viene mantenuto un indice completo
29

Continuous data protection
CDP salva automaticamente le modifiche dei
dati, mantenendo diverse versioni del dato,
permettendo di ripristinare la situazione in
un particolare Point in Time (PiT).
30

Documentazione
Indispensabile averla
Deve essere aggiornata
Richiede un impegno in termini
di tempo e denaro
31

Test
Un piano non testato
non funzionerà quando necessario
32

Come accedere ai dati?
Ho un sito di Disaster Recovery remoto
In caso di terremoto i miei dati saranno
ancora disponibili
Come faranno gli utenti ad accedere?
33

Conclusioni

Gestione = Processo
35

Conclusioni
Un buon piano di BC/DR
può minimizzare l’impatto di un “danno”
sia in termini di tempo che di denaro
anche con investimenti “banali”
36

Standard
ISO/IEC 27001:2005 (formerly BS 7799-2:2002)
Information Security Management System
ISO/IEC 27002:2005 (remunerated ISO17999:2005)
Information Security Management - Code of Practice
ISO/IEC 22399:2007
Guideline for incident preparedness and operational continuity
management
ISO/IEC 24762:2008
Guidelines for information and communications technology disaster
recovery services
37

http://en.wikipedia.org/wiki/Risk_analysis_%28Business%29
http://en.wikipedia.org/wiki/Risk_management
http://en.wikipedia.org/wiki/Optimism_bias
http://en.wikipedia.org/wiki/List_of_cognitive_biases
http://en.wikipedia.org/wiki/Business_continuity
http://en.wikipedia.org/wiki/Business_continuity_planning
http://en.wikipedia.org/wiki/Seven_tiers_of_disaster_recovery
http://en.wikipedia.org/wiki/Data_deduplication
http://en.wikipedia.org/wiki/Disaster_recovery
http://en.wikipedia.org/wiki/Continuous_data_protection
http://en.wikipedia.org/wiki/Cluster_%28computing%29
Web-o-grafia
38

Alessio L.R. Pennasilico
mayhem@aipsi.org
twitter: mayhemspp
FaceBook: alessio.pennasilico
Domande?
These slides are written by Alessio L.R. Pennasilico aka mayhem. They are subjected to Creative Commons Attribution-
ShareAlike 2.5 version; you can copy, modify or sell them. “Please” cite your source and use the same licence :)
Grazie per l’attenzione!

Smau 2010 Milano: Seminario AIPSI Business Continuity e Disaster Recovery

Recommended

Recommended

More Related Content

Similar to Smau 2010 Milano: Seminario AIPSI Business Continuity e Disaster Recovery

Similar to Smau 2010 Milano: Seminario AIPSI Business Continuity e Disaster Recovery (9)

More from Alessio Pennasilico

More from Alessio Pennasilico (20)

Smau 2010 Milano: Seminario AIPSI Business Continuity e Disaster Recovery