Esercitazione a tavolino: simulare una crisi informatica in due ore

Un piano di risposta agli incidenti mai provato contiene quasi sempre errori: un numero di telefono non aggiornato, un ruolo affidato a una persona che ha cambiato lavoro, una decisione importante che nessuno sa di dover prendere. L'esercitazione a tavolino, in inglese tabletop exercise, è il modo più semplice ed economico per scoprirli prima che servano davvero.

Cos'è

È una simulazione di crisi fatta a parole. I partecipanti siedono intorno a un tavolo, un facilitatore racconta uno scenario realistico in più fasi, e a ogni fase il gruppo discute: cosa facciamo adesso? Chi decide? Chi chiamiamo? Cosa diciamo?

Non si tocca nessun sistema e non serve alcuna competenza tecnica particolare. Si mettono alla prova le decisioni, i ruoli e le comunicazioni.

Chi partecipa

Le persone che avrebbero un ruolo in una crisi vera:

• chi guida l'organizzazione o un suo delegato con potere decisionale;
• il responsabile informatico o il fornitore che gestisce i sistemi;
• chi si occupa di privacy, legale e comunicazione;
• i responsabili dei servizi più critici, ad esempio amministrazione, produzione o sportelli.

Un gruppo da sei a dieci persone è l'ideale. Serve anche un facilitatore, interno o esterno, che conduce lo scenario, e qualcuno che prende appunti.

Come costruire lo scenario

Lo scenario deve essere credibile per l'organizzazione e svilupparsi in tre o quattro fasi, con nuove informazioni a ogni passaggio. Un esempio:

1. Lunedì, 8:00. Diversi dipendenti non riescono ad aprire i file sul server condiviso. Uno segnala un messaggio di riscatto. Cosa fate nella prima ora?
2. Lunedì, 12:00. L'analisi mostra che anche i backup in rete sono cifrati. Resta una copia esterna vecchia di dieci giorni. Il gestionale è fermo. Chi informate?
3. Martedì, 9:00. Gli attaccanti pubblicano online un campione di dati dei dipendenti e chiedono il riscatto entro 48 ore. Un giornalista chiama. Cosa dite e cosa decidete sul riscatto?
4. Giovedì. I sistemi ripartono parzialmente. Quali servizi riattivate per primi? Cosa comunicate a clienti o cittadini?

I colpi di scena rendono l'esercizio utile: il responsabile IT è in ferie, la posta è inutilizzabile, il fornitore non risponde.

Cosa osservare

Durante la discussione, chi prende appunti registra:

• decisioni che nessuno sapeva di dover prendere;
• informazioni mancanti, come contatti, accessi, credenziali di emergenza;
• disaccordi su chi ha l'ultima parola;
• obblighi di notifica dimenticati o confusi;
• dipendenze da singole persone o fornitori.

Dopo l'esercitazione

Il valore sta in ciò che si fa dopo. Entro qualche giorno conviene:

• condividere un breve resoconto con i punti emersi;
• trasformarli in azioni con un responsabile e una scadenza;
• aggiornare il piano di risposta e i contatti;
• fissare la prossima esercitazione, con uno scenario diverso.

Una volta l'anno è un buon ritmo, oltre a ogni cambiamento importante di persone, fornitori o sistemi.

In sintesi

Due ore intorno a un tavolo possono risparmiare giorni di confusione durante una crisi vera. È uno degli strumenti più efficaci e meno costosi a disposizione di chi decide.