Business Continuity e Disaster Recovery nella PA

Il 18 novembre scorso l’Agenzia per l’Italia Digitale (DigitPA) ha pubblicato una serie di indicazioni sulla continuità operativa dei propri processi di business.

Colgo l’occasione per fare qualche considerazione che, ahimé, vedo che sfgge ai più, e tutto sommato credo anche alla DigitPA: pur accennando che “La sfera di interesse della continuità operativa va oltre il solo ambito informatico, interessando l’intera funzionalità di un’organizzazione”, si concentra essenzialmente sui soli aspetti informatici.

Inoltre produce una quantità di documenti, modelli e procedure che vanno ampiamente al di là delle competenze e delle disponibilità di tempo e di risorse degli enti coinvolti e dei relativi referenti.

La scadenza prefissata di 15 mesi dall’emissione del decreto è stata ampiamente superata senza che le PA possano garantire ai cittadini una reale continuità dei propri servizi.

Come ai tempi del DPS ci si concentrava sulla sicurezza delle informazioni limitandosi soltanto all’aspetto informatico, oggi si pensa alla continuità operativa (ed al disaster recovery come suo processo di supporto) limitandosi agli aspetti informatici.

Certamente al giorno d’oggi non è possibile pensare alla continuità operativa di qualunque processo o servizio pubblico senza includere come elemento essenziale l’IT (altrettanto vale, naturalmente, per la sicurezza delle informazioni).

Tuttavia noto che ci sta concentrando da anni praticamente esclusivamente sull’IT, dimenticando che questo è soltanto uno strumento di supporto ai processi di business.

Purtroppo si progettano sistemi ed architetture a prova di qualsiasi cosa, senza considerare che, in caso di disastro, l’unica cosa che rimarrebbe in piedi sarebbe probabilmente proprio l’IT.

Certamente ci si dimentica che i disastri possono essere anche non distruttivi, ma biologici: un’importante epidemia di influenza potrebbe mettere in ginocchio molti processi di business, così come potrebbero farlo seri rischi di attentato.

Ogni tanto provo a chiedere cosa accadrebbe un qualunque lunedì mattina se durante il week-end il palazzo di Giustizia dovesse crollare, o semplicemente divenire completamente inagibile per una qualsiasi ragione (rischio epidemico, rischio bomba, o altro).

Tutto il personale operativo non potrebbe accedere ai propri uffici ed alle proprie postazioni di lavoro; ci si troverebbe quindi nella situazione in cui l’informatica sarebbe perfettamente efficiente, ma non potrebbe essere utilizzata da nessuno.

E nel frattempo ci si troverebbe con code di cittadini ed avvocati che attandono le proprie udienze, persone che attendono di essere scarcerate entro i termini di legge, ed altre per cui devono essere convalidati per tempo i relativi fermi, pena la loro liberazione.
Altre persone potrebbero avere la necessità di ottenere certificati per poter essere assunti, o per convalidare un permesso di soggiorno.

Cosa accadrebbe in caso di indisponibilità degli uffici del Comune, della Regione, e così via?

Già un giorno di chiusura potrebbe procurare danni seri, ma se invece di un giorno si dovesse trattare di una o più settimane, il disastro sarebbe probabilmene irreparabile.

In sostanza, nessuno pensa alla continuità operativa legata al processo, una continuità che potrebbe essere assicurata anche con semplici ed economici accordi con altri enti pubbliici (ad esempio, quelli del Comune), e con i Vigili Urbani, per informare ed instradare gli utenti verso le nuove modalità operative.

Troppo spesso manca purtroppo una visione d’insieme, e si lascia l’onere di gestire la continuità ai responsabili dei vari servizi, che per forza di cose hanno visibilità soltanto sulle aree di propria competenza.

Tra le cause occorre certamente annoverare:

• la mancanza di una visione d’insieme da parte delle istituzioni, che non affrontando concretamente il problema, non riescono a fare sistema, sfruttando le opportunità di collaborazione tra i diversi enti;
• la mancanza di risorse specifiche per la progettazione e la gestione dei piani di continuità (occorrono dei professionisti del settore, e non la buona volontà dei referenti che si rimboccano le maniche per imparare una materia che esula completamente dai propri compiti istituzionali);
• la mancanza di risorse da dedicare alla formazione del personale, per la gestione, manutenzione e prova dei piani di continuità;
• l’eccesso di risorse destinate all’IT, dimenticando che l’IT è soltanto uno degli strumenti di supporto ai processi di business, e non l’unico.