Dopo l'incidente: come ripartire e cosa migliorare

Dopo giorni o settimane di emergenza, il momento in cui i sistemi tornano operativi porta un enorme sollievo. La tentazione è chiudere il capitolo e tornare alla normalità il prima possibile. Ma le settimane successive a un incidente sono decisive per due ragioni: evitare che si ripeta, e trasformare un'esperienza costosa in un investimento.

Ripartire in sicurezza

Assicurarsi che l'attaccante sia fuori. Molti attaccanti, prima di farsi notare, lasciano accessi di riserva: account creati appositamente, programmi nascosti, credenziali rubate. Ripristinare i sistemi senza averli trovati significa riaprirgli la porta. Prima di tornare alla piena operatività, chi gestisce la risposta deve verificare:

• come è avvenuto l'accesso iniziale, e che quella via sia chiusa;
• che tutte le credenziali potenzialmente compromesse siano state cambiate, comprese quelle di servizio e degli amministratori;
• che i sistemi ripristinati provengano da backup puliti, precedenti all'intrusione;
• che non restino account, programmi o configurazioni sospette.

Rafforzare subito i punti deboli emersi. Se l'ingresso è avvenuto da un accesso remoto senza secondo fattore, quell'accesso non deve tornare attivo nelle stesse condizioni.

Monitorare con più attenzione. Nelle settimane successive conviene sorvegliare con particolare cura accessi, comportamenti anomali e tentativi di rientro. Le organizzazioni colpite vengono spesso prese di mira di nuovo.

Chiudere gli obblighi

L'incidente lascia una serie di adempimenti da completare:

• relazioni finali alle autorità: per i soggetti NIS2, la relazione al CSIRT Italia entro un mese dalla notifica; per le violazioni di dati personali, le integrazioni alla notifica al Garante e l'aggiornamento del registro interno delle violazioni;
• comunicazioni conclusive a clienti, cittadini e partner, se annunciate;
• pratiche assicurative, con la documentazione dei costi sostenuti;
• denuncia e collaborazione con le forze dell'ordine, se avviata.

Imparare dall'esperienza

Entro qualche settimana, quando l'emergenza è alle spalle ma i ricordi sono ancora freschi, conviene organizzare un incontro di analisi con chi ha gestito l'incidente. Le domande guida sono semplici:

• cosa è successo, ricostruito in ordine cronologico;
• cosa ha funzionato bene;
• cosa non ha funzionato, o è stato lento;
• cosa ci è mancato: informazioni, contatti, strumenti, decisioni già prese;
• cosa cambiamo, chi lo fa ed entro quando.

La regola fondamentale è non cercare colpevoli. Se l'analisi diventa un processo, le persone smettono di raccontare cosa è successo davvero, e l'organizzazione perde la parte più preziosa dell'esperienza.

Aggiornare piani e priorità

I risultati dell'analisi vanno tradotti in azioni concrete: aggiornare il piano di risposta, correggere i backup, rivedere i contratti con i fornitori, pianificare formazione mirata, inserire nel bilancio gli investimenti necessari. E condividere con il personale, nei limiti dell'opportuno, cosa si è imparato: aiuta a dare senso alle nuove regole.

In sintesi

La fine dell'emergenza non è la fine dell'incidente. Ripartire in sicurezza, chiudere gli obblighi e imparare senza cercare colpevoli trasformano una crisi in un'organizzazione più forte.