IT Service Continuity Management di AGOV (agov.ch/itscm)
AGOV è un’infrastruttura centrale per l’accesso digitale alle prestazioni delle autorità. È quindi essenziale che il servizio funzioni in modo affidabile non solo durante l’esercizio ordinario, ma che possa continuare a funzionare o essere ripristinato in modo controllato anche in caso di gravi interruzioni.
La Cancelleria federale, settore Trasformazione digitale e governance delle TIC (CaF TDT), sviluppa pertanto in modo mirato la resilienza di AGOV nell’ambito dell’IT Service Continuity Management (ITSCM).
Il principio di fondo è semplice:
La ridondanza tecnica diventa resilienza effettiva solo quando commutazioni, riavvii e ripristini funzionano realmente e vengono verificati con regolarità.
Uno studio esterno evidenzia un fabbisogno di miglioramento
L’Amministrazione digitale Svizzera (ADS) ha commissionato una valutazione esterna della resilienza di AGOV in situazioni di crisi.
Lo studio conclude che le misure tecniche e organizzative esistenti devono essere ulteriormente sviluppate. Sono particolarmente importanti commutazioni periodicamente esercitate tra ambienti operativi separati, backup verificati, adeguati backup offline e procedure di riavvio documentate e testate.
Anche le dipendenze tecniche e organizzative devono essere rese visibili mediante esercitazioni realistiche. Le conclusioni devono poi tradursi in misure concrete di miglioramento.
Ne risulta una distinzione essenziale:
La presenza di ridondanze e backup è necessaria. La capacità effettiva di ripristino in caso di evento deve però essere dimostrata.
Anche il Controllo federale delle finanze rileva un fabbisogno d’intervento
Il Controllo federale delle finanze (CDF) giunge a conclusioni analoghe nella sua verifica della gestione delle identità e degli accessi eIAM.
Nel rapporto pubblicato nel 2025 ha esaminato, tra l’altro, la commutazione d’emergenza del nucleo eIAM tra i centri di calcolo federali «Primus» e «Campus».
La commutazione completa è riuscita, ma ha evidenziato al contempo diverse sfide tecniche. Il CDF rileva che alcuni problemi devono essere risolti prima di un nuovo test completo di failover. Inoltre, non tutti i componenti importanti sono inclusi nei test periodici.
Al momento della verifica non esistevano inoltre piani concreti per un guasto simultaneo di entrambi i centri di calcolo.
Il CDF giudica complessivamente stabile l’esercizio di eIAM, ma individua ulteriore margine di miglioramento nella continuità dei servizi.
Per AGOV la situazione di partenza è più impegnativa: una commutazione completa tra siti operativi separati, paragonabile a quella del nucleo eIAM, non è ancora possibile.
Lo studio esterno commissionato dall’ADS e la verifica del CDF indicano quindi la stessa direzione: le misure di continuità devono essere rafforzate e la loro efficacia dimostrata regolarmente.
La CaF TDT ha definito un piano di misure vincolante
Sulla base di queste conclusioni, la CaF TDT ha definito un piano concreto di sviluppo e di esercitazione per AGOV.
Le direttive strategiche e specialistiche sono di competenza della CaF TDT. I fornitori e i prestatori incaricati attuano le relative misure.
Per il 2027 sono stati definiti in particolare i seguenti lavori:
- completamento di un ambiente operativo AGOV supplementare al di fuori dei centri di calcolo federali;
- integrazione attiva di tale ambiente nell’esercizio produttivo;
- introduzione di un esercizio active-active tra più siti;
- esercitazione di scenari di guasto e commutazione;
- messa a disposizione da parte dell’Ufficio federale dell’informatica e della telecomunicazione (UFIT) di un adeguato backup offline di AGOV;
- trasferimento di tale backup nell’ambiente supplementare;
- ripristino completo di AGOV a partire dalla copia di sicurezza;
- esecuzione e documentazione del riavvio;
- eliminazione e nuova verifica delle debolezze riscontrate.
In questo modo la preparazione concettuale viene trasformata in una capacità di ripristino effettivamente verificabile.
Ambiente operativo supplementare al di fuori dei centri di calcolo federali
La CaF TDT ha già incaricato il fornitore di AGOV di realizzare AGOV anche su una piattaforma cloud di un fornitore con sede in Svizzera, presso un sito operativo situato in Svizzera.
Per questo sito supplementare non viene utilizzata alcuna regione cloud di un hyperscaler globale.
La soluzione crea diversità geografica, tecnologica e operativa e riduce le dipendenze comuni da centri di calcolo, piattaforme e modelli di esercizio.
L’ambiente supplementare non sarà mantenuto semplicemente come riserva, bensì integrato nell’esercizio produttivo e utilizzato continuamente.
Active-active nel corso del 2027
La CaF TDT incarica l’UFIT di integrare l’ambiente supplementare in modalità active-active nell’esercizio produttivo di AGOV nel corso del 2027.
Più ambienti operativi diventeranno così contemporaneamente parte del sistema produttivo.
Il vantaggio è che l’ambiente supplementare non dovrà essere attivato per la prima volta in una situazione di crisi. Collegamenti, componenti e procedure operative saranno già utilizzati e monitorati durante l’esercizio ordinario.
Dopo l’integrazione saranno effettuati scenari di guasto mirati, con l’obiettivo di verificare tra l’altro che AGOV possa continuare a funzionare anche in caso di indisponibilità di un ambiente operativo.
Backup offline come livello di ripiego indipendente
La continuità dei servizi richiede anche una protezione indipendente dei dati.
Per determinati scenari di crisi non sono sufficienti backup accessibili tramite gli stessi sistemi, reti o accessi amministrativi dell’infrastruttura produttiva.
AGOV deve quindi disporre di adeguati backup offline, la cui integrità e completezza possano essere verificate e che siano utilizzabili indipendentemente dall’ambiente produttivo.
L’UFIT è incaricato di mettere a disposizione tali backup.
L’obiettivo non è soltanto conservare i dati, ma poter ricostruire effettivamente il servizio a partire da essi.
2027: ripristino completo da un backup offline
Nel 2027 sarà quindi svolta un’esercitazione completa di ripristino.
L’UFIT metterà a disposizione un adeguato backup offline di AGOV. Tale backup verrà trasferito nell’ambiente operativo supplementare. AGOV sarà quindi ripristinato integralmente e rimesso in funzione.
L’esercitazione permetterà di verificare l’intera catena di ripristino:
- il backup necessario può essere fornito in caso di evento?
- è completo, integro e tecnicamente utilizzabile?
- può essere impiegato indipendentemente dall’infrastruttura produttiva della Confederazione?
- sono disponibili tutti i dati e le configurazioni necessari?
- AGOV può essere completamente ricostruito sull’infrastruttura supplementare?
- servizio, interfacce e componenti dipendenti possono essere avviati con successo?
- diritti di accesso, responsabilità e procedure sono documentati in modo sufficiente?
Il ripristino è considerato riuscito soltanto quando il servizio è nuovamente operativo.
I risultati saranno documentati, le debolezze corrette e successivamente verificate mediante nuovi test.
Il 2027 come anno di attuazione e di esercitazioni
Le conclusioni delle verifiche esterne vengono così trasformate in passi tecnici e operativi concreti.
Nel corso del 2027 saranno in particolare:
- completato l’ambiente supplementare;
- introdotto l’esercizio active-active;
- esercitati scenari di guasto e commutazione tra siti;
- messi a disposizione adeguati backup offline;
- effettuato un ripristino completo nell’ambiente supplementare;
- documentato il riavvio;
- eliminate e nuovamente verificate le debolezze individuate.
La procedura segue quindi un ciclo chiaro:
verificare → attuare → esercitare → migliorare → verificare nuovamente.
Le esercitazioni diventeranno parte integrante dell’ITSCM regolare
I lavori del 2027 costituiscono il punto di partenza di un processo permanente.
In futuro, nell’ambito del regolare ITSCM, saranno esercitati regolarmente in particolare i seguenti scenari:
- il guasto di singoli componenti tecnici;
- la perdita completa di un ambiente operativo;
- la prosecuzione dell’esercizio tramite gli ambienti rimanenti;
- la perdita di collegamenti di comunicazione;
- commutazioni controllate;
- il riavvio dopo un’interruzione completa;
- il ripristino da backup;
- il ripristino da backup offline in un altro ambiente operativo;
- la mobilitazione dei team operativi e applicativi necessari.
Le conclusioni saranno documentate, le misure di miglioramento definite e la loro efficacia verificata nelle esercitazioni successive.
La resilienza viene così trattata come una capacità da mantenere e verificare nel tempo.
Più livelli di protezione indipendenti
La resilienza di AGOV si basa su più meccanismi complementari:
- esercizio ad alta disponibilità;
- ambienti operativi geograficamente separati;
- piattaforma operativa supplementare al di fuori dell’infrastruttura dei centri di calcolo federali;
- diversità tecnologica e operativa;
- esercizio active-active;
- backup indipendenti;
- backup offline;
- commutazioni periodicamente esercitate;
- ripristini periodicamente esercitati;
- procedure di riavvio documentate;
- miglioramento continuo sulla base di esercitazioni, verifiche e incidenti reali.
Nessuna singola misura è sufficiente. La resilienza deriva dall’interazione di più livelli di protezione quanto più possibile indipendenti.
Trasparenza sullo stato attuale
Non tutte le capacità descritte sono già disponibili oggi.
AGOV non dispone ancora di una possibilità di commutazione completa tra siti paragonabile a quella del nucleo eIAM.
Anche il ripristino completo da un backup offline messo a disposizione dall’UFIT in un ambiente indipendente deve ancora essere testato.
Queste lacune sono state identificate e le relative misure sono state commissionate.
Nel corso del 2027, l’ambiente operativo supplementare sarà integrato attivamente, sarà realizzata la capacità di commutazione e sarà effettuato il ripristino completo a partire da un backup offline.
Le esigenze evidenziate dall’ADS e dal CDF vengono così tradotte in miglioramenti tecnici e operativi concreti.
La resilienza è una responsabilità end-to-end
AGOV rappresenta soltanto una parte di un servizio amministrativo digitale.
Affinché una procedura amministrativa digitale possa funzionare anche in una situazione di crisi, devono essere disponibili anche l’infrastruttura degli utenti finali, l’alimentazione elettrica, le reti di comunicazione, le connessioni Internet, l’applicazione specialistica e i sistemi da essa dipendenti.
AGOV da solo non può pertanto garantire la disponibilità di un intero servizio amministrativo digitale.
Per la parte di competenza di AGOV, tuttavia, l’obiettivo è chiaro:
Ridurre le dipendenze, creare livelli di ripiego indipendenti, esercitare regolarmente commutazioni e ripristini e correggere sistematicamente le debolezze individuate.
Ulteriori informazioni
- Controllo federale delle finanze: Verifica della gestione delle identità e degli accessi eIAM, CDF-24141, 2025
- Informazioni sulla disponibilità di AGOV
- Informazioni sulla sovranità digitale di AGOV