Sicurezza Informazioni Business Continuity una notizia molto formativa
Sicurezza Informazioni
E’ successo a Perugia, la donna delle pulizie entra nella sala dell’ospedale con un aspirapolvere nella sala della risonanza magnetica, questo viene attirato dall’apparecchio che viene gravemente danneggiato, risultato?
Danni per 100.000 euro e interruzione del servizio.
Ma di chi è la colpa?
Non è facile stabilirlo con le poche righe, sebbene molto chiare e sintetiche, scritte dalla giornalista della La Nazione, ma quanto successo è proprio una situazione da manuale, che si usa quando si spiega uno dei rischi più noti per la sicurezza delle informazioni. Non manca mai, infatti, la figura della donna delle pulizie (chissà perché sempre donna e mai uomo 😉 ) che stacca la spina di un server per attaccare il suo aspirapolvere causando enormi danni …
Sono cose che capitano … Capitò anche a me dieci anni fa quando lavoravo in un Data Center, avendo anche qualche responsabilità, avevo autorizzato la pulizia di un piano di uffici (non del data center contenente i server) con tanto di lucidatura dei pavimenti, ma non avevo valutato il rischio di lavori fatti di sabato e domenica tramite personal computer, in modalità console, collegato al server in rete.
In effetti c’era la partenza di un nuovo sistema con dei batch, come si dice in gergo, lanciati e lasciati su a lavorare tutta la notte senza presidio e senza nessun avviso, nemmeno cartaceo che pregasse di non spegnere il pc.
Il lavoro doveva terminare alle sette del mattino, ma le donne delle pulizie quel sabato hanno cominciato alle sei, e da quale punto hanno cominciato?
Ovviamente da quello in cui era stato lasciato il pc accesso a lavorare.
Perché proprio da quello? Per la nota legge di Murphy. ‘se qualcosa può andar male, andrà male’.
Lavoro buttato al vento e per fortuna recuperato con un’altra giornata di lavoro, nella sventura un po’ di fortuna, il servizio doveva riprendere il lunedì mattino, così il danno è stato solo delle ore uomo e del disagio dei sistemisti e progettisti che hanno dovuto lavorare una domenica fino a notte tarda quando invece avevano programmato ben altro.
In quell’occasione me ne assunsi tutte le responsabilità difendendo a spada tratta la donna e le ditte delle pulizie che mi avevano chiesto l’autorizzazione a fare quella operazione che poi causò quel danno, … Garantisco però che da quella volta in poi ogni volta che qualcuno faceva qualcosa di sabato o di domenica mi avvisava e non contento metteva poi avvisi anche sul pc. Dagli eventi negativi si impara sempre qualcosa.
Nel caso avvenuto a Perugia, sebbene l’evento negativo è tipico di un rischio ben noto nel mondo della sicurezza delle informazioni (riservatezza,integrità, disponibilità), non è un caso di sicurezza delle informazioni ma di sicurezza e basta.
Sicurezza degli oggetti e non delle persone, anche se indirettamente il danno può aver recato anche disagi e danni a qualche paziente, visto che in certi casi limite la rapidità con cui si ha una diagnosi può essere decisiva ai fini della cura del male.
Ciò che invece è identico è la cosiddetta gestione della continuità, in inglese Business Continuity che riguarda tutti i problemi della gestione della non continuità, dell’emergenza, del tempo e dei dati e conoscenze che ci vogliono per ripristinare un servizio o in casi malaugurati a ridurre i danni verso le persone e l’ambiente di un servizio danneggiato come un guasto ad una centrale nucleare.
A chi di noi non si è rotto un disco fisso, perdendo irrimediabilmente la gran parte dei dati?
E’ solo allora che si scopre che non facciamo mai salvataggi, che molte cose perse, gelosamente custodite, in realtà non ci servono a niente.
Ma tanto per rimanere in tema ospedaliero, voglio ricordare quanto successo a Terni qualche tempo fa, dove per un guasto agli apparecchi di emodialisi si dovettero trasportare i pazienti a Foligno, la cosa non fu indolore come denuncia in una lettera uno di questi pazienti. Sarà servito a qualcosa? Hanno fatto finalmente dei piani per garantire la continuità e gestire l’ emergenza del servizio di emodialisi?
Un ultima considerazione che vorrei fare è di carattere occupazionale, purtroppo in tempi di crisi, ciò su cui si risparmia è la formazione, la qualità, il mettere in piedi delle analisi dei rischi fatte bene, la sicurezza.
Più o meno volontariamente tutti pensiamo secondo la nota massima latina:
Primum Vivere, Deinde Philosophari.
Ma in tempi di lavoro che non c’è, di lavoro che manca, possiamo provare ad immaginare quanto farebbe risparmiare denaro e pertanto produrre occupazione, la prevenzione dei danni?
Nel caso fatto sopra di Perugia, delle disposizioni contrattuali date alle ditte terze con obbligo di dare evidenza della formazione ai rischi fatta al personale ( e conseguente lavoro per aziende di formazione per esempio) non sarebbero costati molto meno di quei centomila euro buttati al vento?
Forse anche questi hanno prodotto reddito a qualcuno, magari ad un fornitore di ricambi prodotti all’estero, ma in linea di principio credo si possa ipotizzare che la maggiore efficienza e sicurezza dei servizi potrebbe creare occupazione se non altro perché un servizio migliore attira clienti come attesta quest’altra notizia, non recente, ma significativa che riguarda proprio l’ospedale di Perugia.
Terni Claudio Pace Blogger 22 Luglio 2014 su Sicurezza Informazioni Business Continuity una notizia molto formativa
