Newsgroup: it.economia.banche
Titolo: Disaster recovery bancario...

Credo che la stragrande maggioranza di denaro che circola sia ormai
soltanto virtuale: numeretti, bit, volt, all'interno di PC.
Non credo (non voglio credere) sia un'ipotesi realistica, ma ipotizziamo
per un momento che, diciamo, una serie di attacchi elettromagnetici
mirati riescano a cancellare le tracce dei conti correnti di una banca.
Dan Brown non ci ha pensato ancora altrimenti avrebbe scritto un libro.
Per quegli attacchi o per qualsiasi altro motivo, la banca non sa più
quanto Tizio avesse sul proprio conto (per non parlare del resto!).
Che succede?
Dopo che i correntisti han distrutto tutte le filiali di quella banca e
son scesi dai carri armati, intendo. :))
Come si fa a stabilire chi e quanto dovrà essere risarcito? Sarebbero i
correntisti ad avere l'onere di dimostrare che avevano soldi depositati?
E come potrebbero farlo? Con un estratto conto stampato (e autenticato?)
un decimo di secondo prima del disastro? :-)
Lo chiedo perché sto sviluppando un sito web in cui c'è un sistema di
crediti di cui faccio i backup regolarmente. Essendo questi crediti poi
in qualche modo connessi al denaro, ero addirittura arrivato a pensare
che sarebbe stato più sicuro effettuare il backup del database ad ogni
modifica (e magari lo faccio). Poi ho pensato: "manco fossi una banca!".
Da lì, è nata questa curiosità.
Mi rendo conto che è perlopiù una stupidata, però la tecnologia mette
sempre più nelle mani di tutti, strumenti di distruzione molto potenti,
e non vorrei che un domani divenisse realtà tutto ciò.
Ma, soprattutto, non vorrei perdere traccia di quei crediti. :o)
Quindi, mi chiedevo: casomai dovessi perdere originale e backup vari,
come potrei rispondere alle richieste degli utenti incavolati neri? :-)
Saluti, Giovanni
ps. ho letto da qualche parte che dopo gli attacchi al WTCenter del
1993, si seppe che i due terzi delle aziende che lavoravano lì non
avevano un valido piano di disaster recovery. Non oso immaginare quale
potrebbe essere la situazione generale (non solo bancaria) italiana...

 banca... 
...
Già, uno dei vantaggi dell'elettronico è che mettere uno o più backup al 
sicuro a migliaia di km di distanza non è troppo diverso dal farlo sul 
computer accanto.
Saluti,
-- 
	Denis Sbragion
	InfoTecna
	Tel: 
+39 0362 805396
, Fax: 
+39 0362 805404
	URL: 
http://www.infotecna.it

 computer accanto.
Io invio i miei backup via email a una casella su 
gmail.com
 e una su
libero.it
. Mi sembra una cosa ridicola, ma la faccio lo stesso. ;-)
Il problema è: se, in fase di recovery di un "disastro", scoprissi che i
backup sono corrotti (del resto, via email normalmente non c'è certezza
che arrivi esattamente ciò che era stato inviato), come potrei poi
ridare a Cesare quel che era di Cesare? Semplicemente, non potrei?
Se una banca perdesse i suoi archivi (virtuali e/o cartacei che siano),
come potrebbe riassociare i propri clienti ai beni da loro posseduti?
Io non vedo alcun modo per farlo, ma magari esiste. Magari è già pure
successo in passato (chessò, una delle prime banche che ha perso gli
archivi cartacei), e io non lo so. Uno per questo pone delle domande :-)
Ciao, Giovanni

 posseduti? 
Temo non potrebbe. In quel caso spera di aver conservato almeno l'ultimo 
estratto conto, in modo da avere in mano qualcosa su cui far valere i 
tuoi diritti. Ma è una ipotesi estremamente improbabile, ci sono 
situazioni molto più critiche e molto più realistiche di cui 
preoccuparsi. 
Se proprio non riesci a dormici sopra comprati lingotti d'oro e 
seppelliscili in giardino. Coi tempi che corrono rischi anche di fare un 
ottimo invsetimento. Occhio alle talpe però! :)


 mirati riescano a cancellare le tracce dei conti correnti di una banca.
Ti rispondo brevemente e senza entrare in dettagli, perchè la riservatezza 
richiestami è proprio su questo argomento.
Non può accadere. Primo perchè le banche sono attrezzate. E anche se uno 
dovesse perdere i dati dall'ultimo restoration point (ultimo backup, in 
genere), il tutto è ricostruibile tramite fonti esterne. Le banche non 
sono entità isolate, ma fanno parte di un mondo complesso ed 
interconnesso. Chi fa movimenti, lascia tracce esterne. Chi i movimenti 
non li fa, beh il problema non si pone.
Altro discorso è poter operare in caso di disastro (avere una operatività 
allo sportello/ATM). Quella questione è comunque debitamente affrontata, 
sopratutto dopo certi eventi passati che hanno causato alcuni imbarazzi 
all'ABI.
Infine vorrei far presente che Banca d'Italia ha definito le prime sei 
banche italiane come "banche di sistema". Questo significa che, in caso di 
disastro a livello nazionale, loro 6 devono rimanere in piedi a supporto 
del sistema economico del paese.
ivan
-- 

 del sistema economico del paese.
Approfondisco la cosa appena ho un po' di tempo.
Ad ogni modo, su it.diritto.internet mi è stato detto che ogni filiale
ha la copia dei propri daii in duplice formato cartaceo e virtualizzato.
Se questo è confermato, e se la "granularità" dei backup sia cartacei
che virtuali arriva fino alla singola transazione (!), allora direi che
è sia molto complicato distruggere tutte le copie esistenti (virtuale +
cartaceo è la soluzione più sicura), sia molto più semplice ricostruire
*completamente* i dati (ammesso che ogni transazione venga backuppata).
Se così non è, tutte le ultime transazioni [interne] vengon perse...
Grazie.
Giovanni

 Se così non è, tutte le ultime transazioni [interne] vengon perse...
Le banche fanno questo lavoro da centinaia d'anni. Ti pare che si possano 
permettere di perdere transazioni, e quindi soldi e reputazione?
ivan
-- 

 Trinity usava nmap ed un noto exploit per SSH per entrare in un server.
Mi aggancio solo a questo per dirti quello che già altri ti hanno
detto: hai visto troppi film :-) Nella realtà
- il "server" di una banca è un mainframe (probabilmente più d'uno)
con una ridondanza imbarazzante
- non ci si arriva assolutamente via Internet, la sola idea è
risibile, magari puoi arrivare a qualche macchina di frontend, ma solo
tramite VPN, e senza le dovute autorizzazioni da lì non ti muovi, dopo
aver comunque lasciato tracce in svariati firewall (ammesso di
riuscire a superarli)
- l'exploit SSH che hai visto è un'idea tecnologicamente corretta (e
va riconosciuto lo sforzo degli sceneggiatori) ma nella pratica poco
funzionale: se hai un amministratore di sistema pigro, che non
installa le patch, non restringe l'accesso via SSH alla VPN o a
determinati host, etc. hai guai ben peggiori che un ragazzino (script-
kiddie, in gergo) che si cerca una macchina con una versione di SSH
"bacata" per entrare. E comunque non riguarda le banche...
Infine, se anche riuscissi a penetrare il sistema, i log delle
transazioni e i backup sono distribuiti su base geografica, i piani di
disaster recovery si fanno (e si provano) per quello; certo, c'è
sempre la possibilità di essere invasi dagli alieni, ma anche qui,
poterbbero essere alieni golosi di carta invece che di supporti
magnetici :-)
m.