Piano di risposta agli incidenti: cosa deve avere ogni ufficio

Un lunedì mattina i computer non si avviano, i file hanno estensioni sconosciute e su ogni schermo compare una richiesta di riscatto. Oppure, più silenziosamente, un fornitore segnala che dati dei vostri clienti sono comparsi online. In quel momento le domande sono tante: chi va avvisato, chi decide, cosa si spegne, cosa si dice all'esterno.

Un piano di risposta agli incidenti serve a non doverle porre durante l'emergenza. Non deve essere un manuale di cento pagine: per molte organizzazioni bastano poche pagine chiare, preparate e condivise prima.

Gli elementi essenziali

Che cosa è un incidente. Definisci in modo semplice quali eventi attivano il piano: un account violato, un ransomware, una perdita di dati, l'indisponibilità di un servizio critico, una truffa sui pagamenti. E stabilisci livelli di gravità, così non ogni email sospetta mobilita tutta l'organizzazione.

Chi fa cosa. Indica un responsabile della gestione dell'incidente e un sostituto, e i ruoli di supporto: tecnico, legale, privacy, comunicazione, vertici. Ogni ruolo deve avere un nome, un'alternativa e un recapito.

Come si segnala. Tutto il personale deve sapere a chi rivolgersi, in qualsiasi orario, se nota qualcosa di anomalo. Un piano che inizia solo quando l'IT se ne accorge perde le ore più preziose.

Le prime azioni. Descrivi i passi iniziali per gli scenari più probabili: isolare i dispositivi coinvolti, bloccare gli account compromessi, preservare le prove, attivare i fornitori. Non serve prevedere tutto, ma i primi trenta minuti vanno pensati prima.

Le comunicazioni obbligatorie. Elenca chi va informato e in quanto tempo. Una violazione di dati personali va valutata e, se c'è rischio per le persone, notificata al Garante entro 72 ore. Per i soggetti NIS2, gli incidenti significativi vanno notificati al CSIRT Italia con una preallerta entro 24 ore e una notifica entro 72. Possono esserci obblighi contrattuali verso clienti, partner e assicurazione. Il piano deve dire chi se ne occupa.

La comunicazione con le persone. Dipendenti, clienti, cittadini, stampa: messaggi coerenti, preparati da chi ne ha la responsabilità, evitano voci e contraddizioni. Prepara in anticipo alcune bozze da adattare.

La ripartenza. Indica quali servizi vanno ripristinati per primi, dove sono i backup, chi verifica che siano integri prima di usarli.

Funzionare quando tutto è fermo

Un errore comune è conservare il piano solo in una cartella di rete, o affidare tutte le comunicazioni alla posta aziendale. Durante un attacco grave proprio quei sistemi possono essere inutilizzabili o sotto il controllo degli attaccanti.

Per questo:

• tieni una copia stampata del piano e dei contatti essenziali in luoghi noti;
• prevedi un canale di comunicazione alternativo, come un gruppo telefonico dedicato o account esterni preparati in anticipo;
• conserva i contatti esterni: fornitore IT, banca, assicurazione, consulente legale, autorità.

Provarlo davvero

Un piano mai provato rivela i suoi difetti nel momento peggiore. Un'esercitazione a tavolino, in cui i responsabili discutono uno scenario realistico passo dopo passo, richiede un paio d'ore e porta quasi sempre a correzioni importanti: un numero di telefono sbagliato, un ruolo scoperto, una decisione che nessuno sapeva di dover prendere.

Ripetila almeno una volta l'anno, e dopo ogni cambiamento rilevante di persone, fornitori o sistemi.

Dopo ogni incidente

Ogni episodio, anche piccolo, è un'occasione per imparare. Una breve riunione a mente fredda per capire cosa ha funzionato e cosa no, seguita da un aggiornamento del piano, vale più di molte ore di formazione teorica.

Il punto di partenza

Se la tua organizzazione non ha un piano, inizia da una pagina: chi chiamare, chi decide, cosa fare nei primi trenta minuti e chi deve essere informato per legge. È già molto più di quanto abbiano tante realtà colpite da un attacco.