Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire perimetro e criteri di impatto
La BIA parte dai processi che producono servizi o risultati, non dai singoli server. Per ogni processo occorre nominare un responsabile, chiarire periodi di picco e descrivere come cresce l’impatto dopo poche ore, uno o più giorni e una settimana.
NIST SP 800-34 colloca la BIA al centro delle priorità di continuità e richiede il contributo di proprietari dei sistemi, utenti e partner interconnessi. In una PMI il metodo può essere leggero, purché decisioni e fonti siano verificabili.
- Processo e risultato atteso
- Responsabile che valida le informazioni
- Impatto operativo, economico, legale e reputazionale
- Durata massima tollerabile dell’interruzione
- Periodi di picco e soglie non lineari
Mappare risorse e dipendenze
Dopo aver chiarito l’impatto si collegano persone, sedi, applicazioni, dati, identità, connettività e fornitori indispensabili. La stessa piattaforma può sostenere processi con urgenze diverse; per questo la priorità non va dedotta dalla tecnologia da sola.
È utile registrare anche le alternative operative: attività manuali, canali secondari, scorte, postazioni sostitutive e contatti fuori banda. Ogni alternativa deve indicare durata sostenibile, capacità ridotta e condizioni di attivazione.
- Persone e competenze chiave
- Applicazioni, dati e identità
- Rete, energia, sedi e dispositivi
- Fornitori e servizi esterni
- Procedure temporanee e loro limiti
Validare e trasformare la BIA in decisioni
I risultati vanno riesaminati insieme ai responsabili di processo e alla direzione, risolvendo conflitti tra priorità dichiarate e risorse disponibili. Il risultato minimo è una graduatoria motivata con tolleranze, dipendenze e proprietari.
La BIA alimenta RTO, RPO, strategie di continuità, disaster recovery e piano delle esercitazioni. Va aggiornata dopo cambiamenti rilevanti e quando i test dimostrano che tempi o dipendenze stimati non sono realistici.
Domande frequenti
La BIA è solo un documento IT?+
No. L’IT contribuisce sulle dipendenze tecniche, ma impatti e priorità devono essere validati dai responsabili dei processi e dalla direzione.
Quanti processi deve analizzare una PMI?+
Si può partire dai servizi essenziali e dai processi che generano gli impatti maggiori. Il perimetro deve però essere esplicito e le esclusioni motivate.
Ogni quanto va aggiornata?+
Con una cadenza definita e dopo variazioni significative a servizi, organizzazione, sedi, tecnologie o fornitori; anche incidenti e test possono richiedere un riesame.