Dalla teoria all’RTO: garantire continuità reale

La NIS2 definisce un set di obblighi trasversali e puntuali. Le organizzazioni devono adottare misure tecniche, organizzative e operative adeguate per ridurre i rischi informatici; attivare processi di gestione degli incidenti con obbligo di notifica tempestiva degli eventi significativi; esercitare due diligence sulla supply chain, estendendo i controlli ai fornitori; e promuovere formazione continua del personale, con attenzione specifica a phishing, social engineering e gestione delle credenziali. L’impianto di governance attribuisce responsabilità dirette agli organi amministrativi e direttivi: approvazione e supervisione delle misure di sicurezza, aggiornamento formativo specifico e responsabilità per eventuali violazioni. Il quadro sanzionatorio è rilevante: fino a 10 milioni di euro o il 2% del fatturato annuo per i soggetti essenziali, e fino a 7 milioni o l’1,4% del fatturato per i soggetti importanti, con possibili sanzioni accessorie per i dirigenti.

L’adeguamento alla NIS 2 non deve essere visto come un mero esercizio di compliance formale. Concentrarsi solo sulla documentazione e sulle procedure potrebbe distogliere risorse dalla gestione efficace dei rischi, se le misure vengono implementate in modo puramente burocratico. Per un buon 80 per cento delle organizzazioni italiane si tratterà di fare in 18 mesi quello che non è stato fatto in 18 anni.

Alessandro Curioni, Fondatore di DI. GI Academy, su Agenda Digitale^{[Agenda Digitale]}

È richiesta la presenza di piani di Business Continuity per assicurare la continuità operativa in caso di incidenti, con mappatura dei processi critici, test regolari e valutazione dei rischi lungo la catena di fornitura. Le imprese devono strutturare un approccio proattivo per la gestione della sicurezza, in linea con l’articolo 21 della direttiva (misure tecniche e organizzative), includendo elementi come autenticazione a più fattori, controllo degli accessi, protezione dei sistemi e dei dati, business continuity, cifratura, protezione della supply chain e capacità di risposta agli incidenti. Alcune stime interne al mercato collocano i costi medi di adeguamento intorno a 280.000 euro, raffrontati ai potenziali costi di data breach, indicando la necessità di un risk-based budgeting capace di valorizzare benefici operativi e di compliance nel medio periodo.

Per i soggetti che hanno già intrapreso percorsi strutturati di cybersecurity, le azioni immediate includono la verifica dei requisiti e l’allineamento alle determinazioni dell’ACN; per le realtà con un livello di protezione minimo, è raccomandata l’adozione rapida di misure prioritarie e l’attivazione di Security Assessment per identificare vulnerabilità e definire un piano di remediation. In questo contesto, WIIT Group opera come partner qualificato per ambienti mission-critical, con servizi gestiti in area cloud, multicloud e cybersecurity integrata, abilitando controlli di resilienza e conformità su piattaforme premium per applicazioni enterprise.

Cyber-resilienza in tre passi: valutare, implementare, migliorare

La crescita esponenziale delle minacce informatiche impone un cambio di paradigma: non si tratta più di chiedersi se avverrà un incidente, ma quando e con quali effetti dirompenti su processi, sistemi e dati strategici. Un approccio di cyber-resilienza efficace si articola lungo tre fasi operative. Nella fase di assessment si avvia una ricognizione puntuale su persone, processi e tecnologie che consenta di ottenere risposte misurabili a domande critiche: quanto è alta la consapevolezza dei dipendenti sui temi di sicurezza? Quali strumenti hanno gli amministratori di sistema per individuare attività sospette? Quali endpoint e applicazioni possono essere sfruttati come vettori d’attacco? In quanto tempo il team IT è in grado di rilevare una minaccia? Quali capacità di reazione sono disponibili, e con quali impatti sui processi aziendali?

Per trasformare i quesiti in metriche azionabili è necessario raccogliere informazioni dai responsabili interni, inventariare piattaforme e processi critici, analizzare incidenti storici e errori ricorrenti. In molte realtà la collaborazione con un partner esterno qualificato risulta determinante per ottenere una mappa dei rischi realistica, individuare vulnerabilità e definire misure di mitigazione coerenti con le specificità operative. La fase di roll-out traduce la strategia in pratica, con l’introduzione di tool ad hoc, la definizione di procedure e l’abilitazione di una user experience trasparente e intuitiva: dalla security by design (segmentazione, identità, vulnerability management) alle politiche di standardizzazione tecnologica, il tutto calibrato sulle esigenze delle diverse unità organizzative.

La formazione sistematica costituisce un pilastro trasversale. La percezione del rischio, la prontezza nel riconoscere segnali d’allarme e la capacità di attivare i canali corretti di segnalazione accorciano i tempi di rilevazione e risposta. È essenziale anticipare trend futuri con soluzioni flessibili e scalabili, mantenendo la coerenza fra i livelli di protezione e l’evoluzione dei carichi di lavoro. Non esiste una “ricetta universale”: per questo le organizzazioni più mature convergono su un approccio su misura, facendo leva sul know-how di partner con esperienza su settori regolamentati e piattaforme mission-critical.

La terza fase, di miglioramento continuo, chiude e riapre il ciclo di resilienza: una volta implementate soluzioni e best practice, la loro efficacia va misurata regolarmente e aggiornata in modo iterativo. Il contesto tecnologico e gli attori della minaccia evolvono costantemente: gli strumenti, le applicazioni e le competenze devono rimanere allo stato dell’arte per garantire la resilienza del sistema organizzativo. È in questo scenario che si inserisce la proposta Secure Cloud di WIIT: un modello che integra performance, resilienza e sicurezza nei servizi cloud di base, consentendo alle imprese di focalizzarsi sui processi di business, sapendo che alta disponibilità, protezione e conformità sono garantite a livello infrastrutturale e operativo. Per estendere le azioni concrete, sono disponibili approfondimenti e materiali di supporto direttamente dal magazine di WIIT, inclusi contenuti di approfondimento raggiungibili tramite questa risorsa e la relativa call-to-action.

Hybrid cloud e Secure Cloud: architetture, zone di servizio e governance

L’adozione di un cloud ibrido consente di collocare i carichi di lavoro nel contesto più idoneo, massimizzando performance e sicurezza e contenendo i costi. La combinazione di cloud privato in-house, cloud privato ospitato presso provider specializzati e cloud pubblico evita sia il sovradimensionamento dell’infrastruttura interna sia l’esposizione di dati sensibili e architetture critiche a modalità non adeguate. I benefici si articolano su tre assi: sicurezza (sommatoria di misure dei diversi ambienti, con distribuzione e replica dei dati su più domini), flessibilità (bilanciamento dinamico delle risorse tra ambienti pubblici e privati) e governance (controllo su dati sensibili all’interno del perimetro privato e centralizzazione delle policy di sicurezza). Alcune evidenze di mercato riportano una stima del valore globale del mercato hybrid cloud a 262 miliardi di dollari entro il 2027 e una crescita del 22% del mercato italiano del public & hybrid cloud nel 2022, con modelli integrati in grado di sostenere uptime 24/7 (fonte).

Su questa traiettoria si posiziona il paradigma Secure Cloud di WIIT, progettato per offrire una foundation robusta su cui poggiare workload critici e costruire soluzioni innovative, anche in ambiti che richiedono livelli elevati di resilienza e conformità. L’architettura si sviluppa su un network europeo di data center proprietari raggruppati in 7 Region (tra Germania, Italia e Svizzera), con garanzia di territorialità del dato e massimi livelli di compliance. Il modello introduce tre Zone di servizio attivabili per Region: Standard, Premium e DR. La Zona Standard integra security by design di alto livello (incluso vulnerability management e segmentazione delle reti), alta disponibilità grazie ad architetture ridondanti e scalabilità coerente con i principi del cloud. La Zona Premium, disponibile nelle Region con data center ad altissima resilienza (inclusi siti Tier IV), estende ulteriormente i servizi, coprendo i macro-processi della cybersecurity con un SOC 24/7 nativamente integrato per protezione e risposta in tempo reale. Le Zone DR attivano backup e disaster recovery configurabili in funzione di obiettivi RTO/RPO e scenari di ripristino, facilitando la pianificazione della continuità e l’allineamento ai requisiti regolamentari più stringenti.

Questa impostazione consente una governance centralizzata dell’ecosistema IT come entità unica, semplificando il governo delle policy, il controllo granulare delle risorse e l’ottimizzazione delle spese. La capacità di distribuire e replicare i dati su più ambienti riduce il rischio di perdita e innalza la resilienza operativa. Per approfondire i vantaggi e gli aspetti strategici del cloud ibrido secondo l’impostazione WIIT, è disponibile un approfondimento dedicato.

Business continuity e disaster recovery “sul campo”: il caso Palazzoli

Un esempio concreto dell’approccio integrato a business continuity e disaster recovery arriva dal Gruppo Palazzoli, realtà italiana con una lunga storia nello sviluppo di sistemi elettrici e di illuminazione per settori come industria, ATEX, infrastrutture e navale. In risposta alle sfide post-pandemiche e alla crescita delle minacce in Italia e nel mondo, l’organizzazione ha deciso di implementare una soluzione di continuità e ripristino in modalità campus per garantire la non-stop operation dei sistemi informativi e, in particolare, dei servizi più critici come il gestionale SAP. Il progetto è stato strutturato con due sale server interconnesse nello stabilimento di Brescia, ognuna dotata di due macchine che ospitano i servizi aziendali; i carichi sono distribuiti in modo uniforme per assicurare affidabilità, prestazioni e alta disponibilità.

La soluzione prevede un backup immutabile di dati, macchine virtuali e applicativi, e soprattutto una replica dei dati ogni cinque minuti verso la sede di Londra, predisposta come sito di ripristino operativo in caso di disastro. Il disegno di rete è stato rivisto per garantire l’interconnessione tra ambiente di produzione e macchine virtuali, con l’introduzione di tecnologie quali firewall, VPN e protezioni a livello di endpoint, oltre a un sistema multi-amministrativo per il controllo degli accessi e l’uso di tecniche di Intelligenza Artificiale per l’anticipazione e la mitigazione delle minacce. L’infrastruttura è stata aggiornata con server e switch di ultima generazione e storage NetApp, a seguito di un’analisi condotta tra maggio e aprile e di un’installazione avviata ad agosto 2024.

L’attività di testing e validazione si è svolta tra settembre e ottobre 2024, con prove rigorose per verificare prestazioni, stabilità e affidabilità di ogni componente, in vista del go live di SAP HANA on-premise programmato a ottobre. Il progetto è coerente con i principi della NIS2, interpretata non come mero adempimento ma come leva per innalzare gli standard di sicurezza e resilienza. Nel racconto operativo emerge anche la dimensione culturale della direttiva: la responsabilizzazione diretta dell’alta direzione (accountability) determina un cambio di passo, promuovendo una cultura della sicurezza che attraversa tutte le linee di business. La sinergia tra partner tecnologici specializzati ha consentito la definizione di un piano di fattibilità concreto e l’esecuzione nei tempi previsti, con un riconoscimento pubblico all’impegno progettuale.

Dal punto di vista organizzativo, il caso Palazzoli mette in luce tre principi chiave con immediata trasferibilità: 1) la ridondanza geografica e la replica frequente dei dati abbattono il rischio di perdita e accelerano il time-to-recovery; 2) la modernizzazione dell’infrastruttura (server, rete, storage) e il ripensamento della connettività orientano l’architettura verso la resilience by design; 3) l’integrazione di controlli di accesso multi-admin e funzionalità AI anticipa e riduce la superficie d’attacco. Per aziende che intendono strutturare un modello analogo in un contesto cloud e multiregion, le Zone DR del Secure Cloud di WIIT offrono un ventaglio di configurazioni in linea con obiettivi RTO/RPO stringenti, integrabili con monitoring e incident response continuativi. Il racconto completo del progetto e il contesto di riferimento sono disponibili nel case study pubblicato, che illustra ruoli, fasi e scelte tecniche adottate (link).

Smart working, sicurezza e continuità: lezioni dal 2020 per i modelli digitali

Il 2020 ha reso evidente la centralità dello smart working per la continuità del business. In Italia, secondo i materiali raccolti, il 42% delle grandi aziende non aveva iniziative strutturate in materia e un 30% non ne aveva ancora pianificato l’attivazione. Oggi, lo smart working non è più un’opzione: è la prima mossa strategica per assicurare l’operatività e la sopravvivenza delle imprese, e richiede un set integrato di abilitatori tecnologici e organizzativi. I numeri riferiti agli effetti della fase pandemica segnalano l’ingresso di migliaia di nuovi smart worker (indicazione “+554”), un aumento del 20–50% del traffico dati proveniente dalle abitazioni e una platea di circa 8,2 milioni di dipendenti potenzialmente abilitabili al lavoro da remoto.

Ma smart working non equivale a collaboration tout court. Si tratta di un modello di lavoro digitale che impone security interna ed esterna, backup e gestione dei dati aziendali, oltre a un’adozione mirata del cloud. La declinazione “secure by design” va dal rafforzamento delle identità e degli accessi fino alla protezione degli endpoint, alla segmentazione di rete e all’immutabilità dei backup, valorizzando la scalabilità e la ridondanza tipiche dei modelli cloud ibridi. Per sostenere organizzazioni con processi mission-critical e alti requisiti di disponibilità, WIIT Group propone il Secure Cloud come piattaforma strutturale: nelle Zone Standard mette a disposizione security by design, architetture ad alta disponibilità e scalabilità piena; nelle Zone Premium estende i controlli fino a coprire i macro-processi della cybersecurity con SOC 24/7; nelle Zone DR attiva servizi di backup e disaster recovery configurabili rispetto agli obiettivi RTO/RPO stabiliti.

L’esperienza maturata negli ultimi anni indica che il fattore abilitante non è solo tecnologico. Le aziende che hanno evoluto i loro modelli remote-first con maggiore rapidità hanno investito nella formazione continuativa di dipendenti e manager, nella ridefinizione dei processi e nella standardizzazione degli strumenti, integrando policy di governance coerenti con l’esposizione ai rischi (interni ed esterni). La documentazione e i runbook che esplicitano ruoli, escalation e passaggi operativi si rivelano decisivi anche in smart working: accorciano i tempi di reazione, infragiliscono i single point of failure organizzativi e allineano la risposta pratica alle expectation normative come quelle della NIS2.

Per le imprese che intendono approfondire architetture e percorsi di adozione, sono disponibili materiali dedicati con focus su mindset organizzativo, cloud architecture per lo smart working e integrazione della cybersecurity by design, con possibilità di fruire dei relativi contenuti scaricabili (link).

KPI, test ed esercizio della governance: come misurare la resilienza

La resilienza non è un concetto astratto: va misurata, testata e migliorata nel tempo. La prima leva consiste nell’allineare la sicurezza e la continuità operativa alle esigenze del business con una Business Impact Analysis (BIA), che consente di identificare processi e asset critici, dipendenze e punti di vulnerabilità. Da questa matrice discendono obiettivi come RTO (Recovery Time Objective) e RPO (Recovery Point Objective), da bilanciare in rapporto a costi e rischi. La definizione di RTO/RPO guida la scelta di tecnologie (per esempio, replica sincrona vs asincrona, backup immutabili) e di architetture (active-active multi-region, geo-redundancy), oltre a dimensionare il runbook di ripristino.

Un secondo asse riguarda i test periodici e le esercitazioni di failover, che simulano scenari reali e consentono di verificare scelte architetturali, procedure, responsabilità e tempi di intervento. Ogni esercitazione dovrebbe culminare in una revisione post-incident per recepire spunti di miglioramento e aggiornare la documentazione operativa. Sotto il profilo delle metriche, l’adozione di indicatori come la disponibilità del servizio, i tempi medi di rilevazione e di ripristino (MTTD, MTTR) consente di oggettivare la resilienza e tracciare i benefici delle ottimizzazioni nel tempo. Questi KPI diventano il linguaggio comune fra IT, sicurezza, operations e vertici aziendali.

NIS2 rafforza la dimensione di governance: richiede gestione degli incidenti, notifica tempestiva, formazione e controlli sulla supply chain. In quest’ottica, l’adozione di piani di Business Continuity testati e aggiornati è un requisito sostanziale, insieme a politiche di accesso, autenticazione e cifratura allineate ai rischi. Strutturalmente, la centralizzazione della governance in ambienti hybrid e multicloud riduce complessità e migliora il presidio delle policy; l’integrazione di Zone Premium con SOC 24/7 amplifica la capacità di monitoring e response in tempo reale. Il modello Secure Cloud di WIIT nasce per incorporare tali capacità sin dalle fondamenta, con region e zone disegnate per la continuità e la sicurezza by design.

Infine, il budgeting della resilienza deve riflettere un approccio risk-based e value-driven: riconoscere il valore economico del downtime evitato, il costo potenziale delle sanzioni e dell’erosione reputazionale, i benefici di una compliance dimostrabile. Le evidenze riportate sulle stime dei costi medi di adeguamento alla NIS2 (circa 280.000 euro) offrono un benchmark di riferimento da contestualizzare per settore, dimensione e maturità. La collaborazione con partner specializzati facilita la misurazione (assessment), l’esecuzione (roll-out) e il miglioramento continuo, valorizzando i Service Level concordati e la trasparenza della reportistica. Per contestualizzare gli obblighi e le scadenze, la risorsa informativa aggiornata è consultabile qui, mentre sul fronte architetturale gli approfondimenti sul cloud ibrido e sulla trasformazione digitale sono disponibili tramite qui.