Il Recovery Point Objective, solitamente abbreviato in RPO, è un termine che tutte le imprese dovrebbero almeno conoscere, in modo particolare quelle che fanno affidamento sui dati per le loro attività quotidiane.
Una perdita accidentale di queste informazioni, infatti, potrebbe risultare in danni molto gravi sia per l’operatività che per la reputazione dell’organizzazione.
Entriamo, quindi, più nel dettaglio di che cos’è l’RPO e di come può essere calcolato. Analizzeremo, infine, anche le differenze con un’altra metrica molto importante, ossia l’RTO.
Che cos’è il Recovery Point Objective (RPO)?
L’AGID (Agenzia per l’Italia Digitale) all’interno del documento “Linee Guida per il Disaster Recovery delle Pubbliche Amministrazioni” riporta la seguente definizione per il termine RPO:
“RPO: Recovery Point Objective, indica la perdita dati tollerata: rappresenta il massimo tempo che intercorre tra la produzione di un dato e la sua messa in sicurezza (ad esempio attraverso backup) e, conseguentemente, fornisce la misura della massima quantità di dati che il sistema può perdere a causa di un evento imprevisto;”
Per Recovery Point Objective si intende, quindi, quanto “vecchi” possono essere i dati recuperabili dopo un incidente senza causare dei problemi significativi all’azienda.
Per esempio, se l’RPO è di un’ora, significa che, nel caso di un evento avverso puoi tollerare di perdere al massimo un’ora di lavoro o di dati, perché un’ora sarà il tempo massimo che passerà tra un backup e il successivo.
Per riformulare la definizione in altre parole, si potrebbe anche dire che il Recovery Point Objective rappresenta la quantità massima di dati che un’organizzazione può permettersi di perdere a seguito di un disastro.
Ricordiamo, infatti, che, in base a un indagine del National Archives & Records Administration in Washington, ben il 93% delle aziende che hanno perso il proprio data center per 10 giorni o più a causa di un disastro (di varia natura) hanno dichiarato bancarotta entro un anno dall’evento. Il 50%, invece, hanno dichiarato bancarotta immediatamente.
Il tempo dell’RPO non deve essere espresso necessariamente in ore, ma può essere anche valutato in giorni, minuti o, addirittura, secondi. La scelta dell’unità di misura da utilizzare deve essere effettuata in base all’importanza e alla natura dei dati trattati dall’attività aziendale.
Immagina, per esempio, una banca che gestisce molteplici transazioni finanziarie; in questa situazione, i dati sono estremamente critici, quindi l’RPO potrebbe essere impostato a pochi minuti o decine di secondi. In caso di guasto, il massimo di dati persi sarà, quindi, pari a una manciata di transazioni.
Al contrario, per un’azienda che gestisce solo dei documenti amministrativi aggiornati una volta al giorno, un RPO di 24 ore potrebbe essere sufficiente, poiché eventuali perdite dati sarebbero minime e facilmente recuperabili.
Come si calcola l’RPO?
Come abbiamo accennato nel paragrafo precedente, il valore dell’RPO deve essere impostato sulla base della frequenza con cui i file vengono aggiornati. In questo modo, ci si può assicurare che il ripristino dei dati a seguito di un incidente conterrà la versione più aggiornata delle informazioni.
I fattori che possono influenzare il calcolo dell’RPO includono:
- La perdita di dati massima tollerabile dalla specifica organizzazione
- Alcuni fattori particolari del settore (ad esempio, la gestione di dati sensibili come cartelle cliniche o transazioni finanziarie)
- Le opzioni a disposizione per l’archiviazione dei dati (come file fisici o cloud)
- Il potenziale costo derivante dalla perdita dei dati
- La conformità alle normative
- Il costo dell’implementazione di soluzioni di ripristino di emergenza.
Non è necessario definire un RPO unico per tutta la tua organizzazione; anzi, è fortemente consigliato che ogni unità aziendale abbia dei propri RPO distinti che variano in base alle informazioni trattate da ciascun reparto.
Per il calcolo dell’RPO puoi tenere in considerazione i seguenti intervalli campione:
- Da 0 a 1 ora, per le operazioni critiche che non possono permettersi di perdere più di un’ora di dati (es. cartelle cliniche, transazioni bancarie);
- Da 1 a 4 ore, per le unità aziendali semi-critiche che possono permettersi una perdita di dati fino a quattro ore, come, per esempio, file server e registri delle chat dei clienti;
- Da 4 a 12 ore, in questo valore di RPO si potrebbero includere le unità aziendali che trattano dati di vendita e attività di marketing;
- Da 13 a 24 ore, le operazioni che gestiscono dati semi-importanti (es. acquisti e risorse umane).
Le Differenze tra RPO e RTO
Recovery Point Objective (RPO) e Recovery Time Objective (RTO) sono dei parametri molto importanti sia per la business continuity che per il disaster recovery. Sebbene possano sembrare dei termini abbastanza simili, in realtà, indicano due valori decisamente diversi.
L’RTO, infatti, definisce la quantità massima di tempo in cui una risorsa di sistema può rimanere indisponibile prima che ci sia un impatto troppo grande sull’attività aziendale.
Questo parametro risponde, pertanto, alla domanda: “Quanto tempo dopo la notifica dell’interruzione di un processo aziendale dovrebbe essere necessario per riprendere le normali operazioni?”.
La differenza tra l’RPO e l’RTO si evidenzia quindi nella fase in cui questi valori devono essere presi in considerazione:
- Recovery Point Objective (RPO) si applica prima dell’evento imprevisto, come parte di una strategia di continuità aziendale, stabilendo ogni quanto tempo deve essere effettuato il backup dei dati. In questo modo, si cerca di prevenire una potenziale perdita irrimediabile di informazioni;
- Recovery Time Objective (RTO), invece, è un parametro che entra in gioco dopo che l’evento imprevisto è già effettivamente accaduto andando a indicare il tempo massimo impiegabile per il ripristino dell’operatività.
Riassumendo, il Recovery Point Objective (RPO) è una metrica molto importante per la continuità aziendale e per garantire la protezione dei dati di un’organizzazione.
Stabilire correttamente l’RPO permette di limitare la quantità di informazioni che possono essere perse in caso di incidenti, adattando la frequenza dei backup in base alla criticità dei dati trattati.
Se hai bisogno di supporto nella definizione di un piano di continuità aziendale che comprenda anche il calcolo dell’RPO per la tua azienda, prenota subito la tua videochiamata con un nostro esperto!
