DRP e BCP

Come testare un DRP?

Un DRP si testa provando a lavorare sull’infrastruttura di emergenza, non rileggendo il documento. Il test più debole è una riunione, il più forte uno switch reale con gli utenti, seguito dal ritorno alla situazione normale; tra i due, una serie di livelli consente di progredire senza fermare l’azienda ogni volta.

Aggiornato a ottobre 20264 min di lettura6 fonti citate

In sintesi

Livello A, test a tavolino: il documento è ancora valido? Da due a tre ore, senza toccare la parte tecnica.
Livello B, ripristino isolato: l’infrastruttura di emergenza si avvia e l’applicazione si apre, senza interrompere la produzione?
Livello C, switch reale: l’unico che misura l’RTO e verifica il ritorno alla situazione normale.
Un controllo automatico dell’avvio è utile, ma non dimostra che l’attività possa lavorare.
Ogni test produce un resoconto datato: orari, scostamenti, decisioni.

Cosa dicono i riferimenti

Il SGDSN, il Segretariato generale della difesa e della sicurezza nazionale francese, raccomanda tre approcci complementari: far verificare i documenti, idealmente da una terza parte di fiducia; testare l’attuazione dei dispositivi, ad esempio lo switch di alcune funzioni su un sito di emergenza; verificare infine, con esercitazioni, che le procedure siano conosciute, comprese e applicabili nei tempi previsti. L’ANSSI, l’agenzia nazionale francese per la cybersicurezza, chiede nella sua guida sul backup che una procedura di ripristino del sistema informativo sia redatta e messa in pratica regolarmente.

Il NIST distingue due forme di esercitazione. L’esercitazione a tavolino è una discussione in cui ciascuno descrive il proprio ruolo di fronte a uno scenario. L’esercitazione funzionale fa eseguire le operazioni reali in un ambiente simulato. I tre livelli descritti di seguito seguono questa progressione.

Livello A. Test a tavolino

Le persone indicate nel piano ripercorrono le fasi ad alta voce, con il telefono davanti. Si verifica che i numeri rispondano, che la chiave sia reperibile, che l’ordine dei server sia ancora corretto. Durata: per un’esercitazione a tavolino di crisi cyber l’ANSSI calcola da due a tre ore, briefing e debriefing compresi, e circa sei settimane di preparazione; il NIST indica da due a otto ore a seconda degli obiettivi. Frequenza minima: dopo ogni uscita di una persona chiave. Questo livello non dimostra nulla sulla parte tecnica. Dimostra che il documento è ancora valido.

Livello B. Ripristino tecnico isolato

Si ripristina o si avvia l’infrastruttura di emergenza senza interrompere la produzione. Ci si connette. Si apre l’applicazione. Si annota il tempo trascorso dalla decisione fino alla schermata operativa. Gli utenti reali non vengono trasferiti. È il test che rivela un disco mancante, una licenza, una password, una rete chiusa.

Limite: poiché la produzione non è stata interrotta, non si è dimostrata l’operazione di switch (DNS, IP, agente) né il ritorno.

Livello C. Switch reale, in una finestra annunciata

Una sera o una domenica, la produzione viene fermata o il traffico viene inviato all’infrastruttura di emergenza. Alcuni utenti eseguono un’operazione reale: emettere un documento, registrare un ordine, consultare una pratica. Poi si torna indietro e si verifica che i dati inseriti sull’infrastruttura di emergenza non siano andati persi.

È l’unico livello che misura l’RTO e verifica il ritorno. Va pianificato, comunicato e dotato di un criterio di interruzione («se alle 23:00 l’infrastruttura di emergenza non è operativa, si annulla»).

Livello	Cosa dimostra	Cosa non dimostra	Impatto sulla produzione
A. A tavolino	Il documento, i contatti, i ruoli	Che la parte tecnica funzioni	Nessuno
B. Ripristino isolato	Che l’emergenza si avvii e l’applicazione si apra	Lo switch di rete e il ritorno	Nessuno
C. Switch reale	L’RTO reale, il lavoro operativo, il ritorno	—	Finestra annunciata

Checklist prima del livello C

Data e finestra approvate dalla direzione, utenti avvisati.
Ultimo backup riuscito verificato, chiave di cifratura a portata di mano.
Criterio di interruzione scritto, con l’orario limite e la persona che decide.
Un utente operativo per ogni applicazione testata, con un’operazione precisa da eseguire.
Procedura di ritorno riletta e backup della produzione eseguito subito prima.
Una persona incaricata di annotare orari e scostamenti man mano.

Cosa deve contenere il resoconto

Data, livello, persone, ora di inizio, ora in cui l’operazione è riuscita, scostamenti, decisioni. Una frase del tipo «test OK» non serve a nulla sei mesi dopo. Il NIST chiama questo documento rapporto post-esercitazione: registra le osservazioni e le raccomandazioni per migliorare il piano. L’ANSSI fa dell’analisi post-esercitazione una fase a sé stante di ogni esercitazione.

Cosa dimostra un test di avvio automatico, e cosa no

Alcuni servizi avviano le copie ogni mese e verificano che partano. È utile: un’immagine che non si avvia più viene individuata senza disturbare la produzione. Ma non è un livello C. L’applicazione può essere danneggiata, il database incoerente, la rete di switch non testata, il ritorno alla situazione normale sconosciuto. Presentare questo controllo come «il DRP è testato» è inesatto. Occorre dire: «l’avvio delle immagini è controllato; lo switch operativo non ancora».

Con WeDoBack

Il test mensile incluso nel DRP rientra in quest’ultima categoria: una procedura automatica avvia le istanze conservate e legge la loro schermata di avvio, senza toccare la produzione. Il test in condizioni reali, che corrisponde al livello C o a un livello B approfondito, è proposto fino a dieci ore ed è oggetto di un preventivo. Entrambi hanno un ruolo. Non si sostituiscono a vicenda. L’assistenza umana è raggiungibile dalle 9:00 alle 13:00 e dalle 14:00 alle 17:30 (ora di Parigi), al +33 9 72 50 78 28: una prova reale si colloca in questi orari, oppure si pianifica esplicitamente al di fuori.

Scopri l’offerta DRP Richiedi un preventivo

Domande frequenti

Si può testare un DRP senza fermare la produzione?

Sì, per i livelli A e B: il test a tavolino e il ripristino in un ambiente isolato non toccano la produzione. Solo lo switch reale (livello C) richiede una finestra annunciata, una sera o un fine settimana, con un criterio di interruzione definito in anticipo.

Chi deve partecipare al test?

Le persone indicate nel piano: chi decide lo switch, chi amministra i sistemi, chi detiene la chiave di cifratura e almeno un utente operativo in grado di verificare di poter davvero lavorare. Senza un utente operativo si testa l’informatica, non la ripresa dell’attività.

Cosa fare se il test fallisce?

È lo scopo stesso di un test: scoprire ciò che non funziona prima del disastro. Annotate lo scostamento, correggetelo e pianificate una nuova prova su quel punto. Sia il NIST sia l’ANSSI insistono sull’analisi post-esercitazione, che trasforma il fallimento in un miglioramento del piano.

Per approfondire

Fonti

Documenti consultati a ottobre 2026.

SP 800-84, Guide to Test, Training, and Exercise Programs for IT Plans and Capabilities (settembre 2006) — NIST
SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems — NIST
Organizzare un’esercitazione di gestione di crisi cyber (in francese) — ANSSI (agenzia francese)
Guida per realizzare un piano di continuità operativa (edizione 2013, in francese) — SGDSN (Francia)
Backup dei sistemi informativi – I fondamentali (ANSSI-BP-100, v1.1, 27 novembre 2025, in francese) — ANSSI (agenzia francese)
Offerta DRP: ripresa dell’attività dopo un disastro — WeDoBack

Un progetto di backup, DRP o BCP?

Oltre 20 anni di esperienza nella protezione dei dati aziendali.

Richiedi un preventivo +33 9 72 50 78 28

Protegga i Suoi dati con WeDoBack

Backup cifrato fuori sede, storage immutabile, DRP e BCP: ci descriva i Suoi server e Le proporremo la combinazione più adatta.

Richiedi un preventivo Scopri offerte e prezzi