La mia assicurazione di resilienza

1. Un'assicurazione, nel senso di una precauzione

La parola «assicurazione» è un'immagine. Non è un contratto di assicurazione, né una garanzia di risultato, e non è previsto alcun indennizzo. È un insieme di disposizioni concrete che potete verificare voi stessi:

• i vostri dati restano vostri, e diverse applicazioni li esportano in un archivio ZIP che si legge senza i nostri strumenti (CSV, JSON, Markdown);
• per la maggior parte di queste applicazioni, una versione per computer funziona offline su Windows, Linux e Android, con i dati sul dispositivo;
• strumenti di aiuto all'uscita (Migration, DataVirt, Contracts) vi aiutano a lasciare un sistema attuale senza interrompere l'operatività;
• registri e valutazioni (Process, Architettura e processi, Policies) tengono la documentazione richiesta da una strategia di uscita.

2. Cosa chiede DORA, e dove aiutiamo

Il regolamento (UE) 2022/2554, detto DORA, riguarda la resilienza operativa digitale delle entità finanziarie. Tra i suoi requisiti, quattro toccano direttamente il tema di questa pagina:

• articolo 28, paragrafo 8: per i servizi TIC che supportano funzioni essenziali o importanti, l'entità finanziaria predispone strategie di uscita, complete, documentate, sufficientemente testate e riesaminate periodicamente;
• articolo 30, paragrafo 3, lettera f): il contratto con il fornitore prevede tali strategie di uscita, in particolare un periodo transitorio obbligatorio adeguato;
• articolo 12: politiche di backup e procedure di ripristino documentate, le cui procedure sono testate periodicamente;
• articolo 11: una politica di continuità operativa TIC, con i relativi piani di risposta e di ripristino.

Etrebil aiuta a preparare questi punti. Non attestiamo nulla: la valutazione della vostra situazione, la scelta delle vostre funzioni essenziali e la decisione sulla conformità restano vostre, insieme al vostro consulente legale e alla vostra autorità di vigilanza. I requisiti di riferimento forniti in Policies sono esempi riformulati, in numero ridotto, senza pretesa di completezza.

Vale in entrambe le direzioni. I vostri fornitori TIC sono soggetti ai vostri requisiti di uscita; Etrebil è uno di loro se ci affidate servizi che contano. Preferiamo quindi darvi i mezzi per lasciarci piuttosto che chiedervi di fidarvi sulla parola.

3. Lasciare facilmente i vostri sistemi attuali

Una strategia di uscita ha valore solo se esiste una soluzione di ripiego e se il passaggio è stato provato. Ecco cosa vi aiuta.

Migration: spostare a ondate

• Migration riprende la posta da un server IMAP, Microsoft 365 o Google Workspace verso un server IMAP o Microsoft 365, a ondate che si avviano, si sospendono e si riprendono; una sincronizzazione delle ultime modifiche precede il passaggio finale.
• Legge Active Directory, LDAP, Entra ID o un file CSV o LDIF, e fa corrispondere le identità di origine e destinazione.
• Sincronizza cartelle condivise (cartella locale, condivisione Windows, WebDAV) con i loro diritti di accesso Windows, dopo un'anteprima di ciò che verrebbe fatto.
• Cosa non fa ancora: migrare calendari e contatti, scrivere nella directory di destinazione, usare Google Workspace come destinazione. È in preparazione e non è ancora stata provata su caselle o directory reali.

Odoo: riprendere i vostri dati in Business

• Business sa ricevere da Odoo 17, 18 o 19 preventivi, ordini, fatture e contabilità, con totali riconciliati con quelli di Odoo; le regole automatiche arrivano disattivate, da rivedere.
• Questa ripresa è stata provata su un banco di prova, non sui vostri dati: prevedete una prova generale prima di fidarvene.

DataVirt: provare senza toccare la produzione

• DataVirt crea in pochi secondi un database virtuale sopra la vostra produzione, con i dati personali mascherati. Tutto ciò che vi scrivete resta nel database virtuale.
• L'analisi d'impatto riesegue le vostre query prima e dopo una modifica: query che non funzionano più, risultati cambiati, indici persi e tutto ciò che dipende da una colonna rimossa.
• Potete così provare una migrazione o un passaggio da un capo all'altro, più volte, senza rischi per l'operatività.

Contracts: sapere quando e a che prezzo andarsene

• Contracts tiene il registro dei vostri contratti: date, rinnovo tacito o espresso, preavvisi, scadenze calcolate, fine al più presto e impegno fermo residuo.
• Segnala una terza parte come fornitore critico quando un'attività importante dipende da essa, e produce uno scadenziario da importare nel vostro calendario.

4. Non chiudersi nemmeno da noi

L'uscita vale anche per Etrebil. È la ragion d'essere della versione per computer e dell'esportazione.

• Esportazione leggibile senza i nostri strumenti: Business (per i suoi marchi), Contracts, CRM (campagne incluse), Payroll, Policies e HR (per le sue note spese) esportano l'organizzazione in un archivio ZIP (registri in CSV, oggetti in JSON, testi in Markdown, allegati originali). Connect esporta allo stesso modo le sue conversazioni, e SOC esporta i suoi eventi in CSV o NDJSON e la sua configurazione in JSON.
• Importazione verificata: Contracts e Policies controllano l'archivio all'importazione, con le impronte verificate, e applicano tutto in un'unica transazione.
• Versione offline: Business (per i suoi marchi), Contracts, CRM, Payroll e HR (per le sue note spese) funzionano su Windows, Linux e Android, senza server, con i dati sul dispositivo; Policies funziona su Windows e Linux e si legge su Android.
• Il modello di architettura di Architettura e processi sta in un file, con la sua cartella di documenti, su un computer Windows, senza server.

Questo elenco non copre tutto il catalogo. Altre applicazioni, come CMDB, Business, Family o Polls, non hanno al momento un'esportazione dell'organizzazione. Prima di basare una strategia di uscita su un'applicazione, verificate sulla sua scheda che esporti, e che cosa esporti.

Restano da definire due punti, e preferiamo dirveli: per quanto tempo una versione per computer funziona senza raggiungere il server, e che cosa diventa l'esportazione ad abbonamento terminato. Nel frattempo, esportate prima di disdire, non dopo, e non contate su un lavoro offline senza limiti di durata.

5. Un piano di continuità facile e dimostrabile

Un piano mai messo in pratica è solo un'intenzione. Ecco un esercizio che svolgete voi stessi, con passaggi che funzionano oggi nelle applicazioni sopra citate:

• esportate l'organizzazione di un'applicazione in un archivio ZIP, e annotate la data e l'applicazione;
• aprite l'archivio con un semplice foglio di calcolo e un editor di testo: se leggete i vostri dati, non avete bisogno di noi per leggerli;
• staccate la rete di un computer e aprite la versione per computer: il registro resta consultabile e modificabile;
• importate l'archivio in un'organizzazione vuota e confrontate: in Contracts e Policies l'importazione verifica le impronte dei file;
• registrate il risultato: in Architettura e processi la valutazione di un fornitore comprende un campo «piano di continuità testato»; in Contracts segnalate il fornitore come fornitore critico; Process tiene i registri DORA (fornitori TIC, incidenti, rischi), con una traccia di audit in cui ogni voce porta un'impronta SHA-256.

I prodotti non generano un rapporto di esercizio: il verbale è vostro, ed è quello che mostrerete. Ciò che Etrebil porta è che l'esercizio è breve, che si svolge con file leggibili e che lascia una traccia che potete conservare.

Per la sorveglianza e l'inventario attorno a questo piano, CMDB tiene l'inventario delle risorse informatiche, SOC centralizza i log e genera avvisi, e Verifica di sicurezza passa in rassegna directory, computer, rete e applicazioni.

6. Cosa questa pagina non dice

• Non è una garanzia, né un contratto di assicurazione, né una consulenza legale. Nessuna applicazione Etrebil attesta la conformità a DORA o a un altro testo.
• Il registro delle informazioni DORA di Process si esporta in XML in un formato proprio di Process, non nel formato ufficiale di deposito, che è in preparazione.
• Diverse applicazioni sono ancora in preparazione. Lo stato di ciascuna, le sue piattaforme e i suoi limiti sono sulla sua scheda: leggetela prima di contarci.
• Backup, il salvataggio del computer, non avvia ancora salvataggi: non lo contiamo in questo piano.
• Nulla di quanto precede sostituisce una prova sui vostri dati.

7. Per iniziare

• Scegliete una funzione che conta per voi, e l'applicazione che la sostiene.
• Svolgete l'esercizio della sezione precedente, su dati di prova.
• Annotate il risultato, poi ripetete quando cambiate strumento o fornitore.