Account critico compromesso
Accesso amministratore, direzione, finanza, posta elettronica, cloud, VPN, strumento di business o account di un fornitore con privilegi.
Modulo · Gestione degli incidenti
Gestire un incidente con un registro delle decisioni con data e ora
Il modulo centralizza la situazione, i ruoli, le azioni, le scadenze e le decisioni prese durante l’incidente. Gli elementi tecnici e le comunicazioni utili possono essere collegati alla cronologia ed esportati alla fine della crisi.
Registro con data e ora · prove preservate · notifica in 72 h inquadrata.
01 · SEGNALI DI ALLARME
Quando la situazione va trattata come una crisi
Una crisi cyber non inizia sempre con un ransomware visibile. Può partire da un segnale debole, da un’incoerenza nel business o da un allarme di un fornitore.
Frode o bonifico sospetto
IBAN falso, modifica delle coordinate bancarie, furto d’identità di un fornitore, ordine urgente o approvazione sotto pressione.
Fuga o esposizione di dati
Documenti dei clienti, dati del personale, dati sanitari, contratti, dati personali, segreti commerciali o file depositati fuori controllo.
Attività anomala sul sistema informativo
Allarmi EDR, connessioni insolite, script sconosciuti, account creati, regole di posta, volume di rete anomalo.
Indisponibilità del business
Strumento critico bloccato, produzione ferma, fatturazione non disponibile, portale clienti colpito o fornitore essenziale inadempiente.
Pressione esterna
Richiesta di riscatto, minaccia di divulgazione, richiesta dei media, cliente preoccupato, assicuratore, autorità o committente esigente.
02 · LE PRIME 72 ORE
Una cronologia operativa, leggibile dalla direzione
L’inquadramento iniziale produce una visione condivisa: preservare ciò che permetterà di capire, qualificare il perimetro, contenere senza accecare, decidere la continuità e poi stabilizzare. Un riferimento indicativo, da adattare alla natura dell’incidente e agli obblighi applicabili.
Da 0 a 2 hPreservare & qualificarePreservare le prove, annotare fatti e orari, individuare il perimetro colpito, evitare le azioni irreversibili, allertare i decisori chiave.
Da 2 a 12 hContenere & mettere in sicurezzaIsolare i sistemi interessati, mettere in sicurezza gli accessi sensibili, verificare gli account privilegiati, confermare gli impatti sul business, organizzare la cellula.
Da 12 a 24 hDecidere & governareStabilire le priorità delle azioni, decidere le misure di continuità, inquadrare la comunicazione, documentare le decisioni, preparare la remediation.
Da 24 a 72 hStabilizzareConsolidare la remediation, verificare i backup, monitorare gli indicatori di stabilizzazione, preparare il ritorno d’esperienza, pianificare il rafforzamento.
03 · DOTTRINA
All’inizio di un incidente, preservare la capacità di capire domani.
La priorità non è capire tutto subito, né cancellare tutto. È stabilizzare, preservare, decidere e documentare, senza aver distrutto le prove né perso il controllo delle decisioni.
Una lettura comprensibile per la direzione, l’IT, l’ufficio legale, le funzioni di business e i partner interessati. Si distinguono sempre il rilievo, l’ipotesi e la decisione.
04 · CELLULA DI CRISI
Collegare l’aspetto tecnico, giuridico, di business e reputazionale
Strutturiamo il coordinamento per evitare che ogni attore prenda una decisione isolata con informazioni parziali.
DirezioneArbitraggio, continuità, budget, esposizione strategica.
IT / sicurezzaPerimetro tecnico, accessi, log, contenimento.
DPO / ufficio legaleDati personali, notifica, prove, contratti.
Funzioni di businessProcessi critici, clienti, produzione, priorità operative.
ComunicazioneMessaggi interni, clienti, partner, posizione pubblica.
Assicurazione / fornitoriDenunce di sinistro, perimetro di intervento, tracciabilità.
05 · PROVE
Preservare ciò che permetterà di spiegare, decidere e giustificare
La prova non è soltanto tecnica. Comprende le decisioni prese, le richieste ricevute, le comunicazioni, gli impatti sul business e gli elementi trasmessi da terzi.
Tracce tecniche
Log, allarmi, catture EDR, connessioni, account, regole, file sospetti.
Tracce di business
Fatture, IBAN, scambi con i fornitori, ticket, operazioni, indisponibilità.
Tracce decisionali
Orari, approvazioni, arbitraggi, misure cautelari, comunicazioni inviate.
Tracce esterne
E-mail di clienti, messaggi di fornitori, assicuratore, banca, piattaforma, autorità o denuncia.
06 · ARBITRAGGI
Le domande che strutturano la decisione
Una gestione della crisi efficace trasforma l’incertezza in decisioni documentate, anche quando l’analisi tecnica non è ancora completa. Ogni arbitraggio confluisce nel registro delle decisioni.
Bisogna isolare?
Quali sistemi staccare, mantenere, monitorare o commutare senza aggravare l’indisponibilità del business?
Bisogna notificare?
Quali dati sono interessati, con quale livello di certezza, e chi deve qualificare l’obbligo?
Bisogna comunicare?
Chi informa collaboratori, clienti, partner, assicuratori o committenti, e con quale livello di dettaglio?
Bisogna ricostruire?
Quale traiettoria di ripristino, quali prerequisiti di sicurezza, quale priorità di business?
Bisogna sporgere denuncia?
Quali elementi fattuali e cronologici possono essere conservati a sostegno della procedura?
Bisogna attivare il PCA/PRA?
Quali processi hanno la priorità, quale soluzione in modalità degradata, quale soglia di ripresa accettabile?
07 · TERMINI & NOTIFICA
Termini rispettati, una notifica in 72 h inquadrata
I playbook prevedono SLA di risposta e un conto alla rovescia normativo. Il modulo ricorda le scadenze; non sostituisce la qualificazione giuridica.
SLA di risposta
Ogni playbook fissa tappe con data e ora: presa in carico, inquadramento, cellula aperta, misure cautelari. Sapete a che punto siete.
Notifica in 72 h
Violazione di dati personali: il conto alla rovescia verso la CNIL (l’autorità francese per la protezione dei dati) è monitorato, gli elementi da raccogliere sono già strutturati. La decisione di notificare resta qualificata con i vostri interlocutori competenti.
Registro con data e ora
Fatti, azioni e decisioni sono datati e tracciati man mano: un filo con data e ora, esportabile verso l’assicuratore, l’autorità di vigilanza o per il ritorno d’esperienza.
08 · DELIVERABLE
Un’uscita dalla crisi utilizzabile in comitato
L’obiettivo non è soltanto «riparare». Bisogna spiegare cosa è successo, cosa è stato deciso, cosa resta incerto e cosa va rafforzato.
Sintesi per la direzione
Fatti, impatto, decisioni, rischi residui, prossime tappe.
Cronologia dell’incidente
Segnale iniziale, azioni, prove, comunicazioni, decisioni.
Registro delle prove
Elementi raccolti, fonte, data, utilità, limiti.
Piano di remediation
Priorità a breve termine, misure strutturali, responsabili, scadenze.
Supporto per comitato / assicurazione
Lettura chiara per decidere, monitorare o trasmettere in modo controllato.
Ritorno d’esperienza
Cause probabili, scostamenti, punti di forza, traiettoria di resilienza.
09 · CIÒ CHE NON PROMETTIAMO
Una gestione della crisi seria sa dire di no
La credibilità si basa su una qualificazione prudente, fatti tracciabili e una distinzione chiara tra rilievo, ipotesi e decisione. Nessun risultato è garantito.
Nessuna attribuzione affrettata
Identificare un autore o un gruppo richiede elementi solidi. Un’ipotesi non deve diventare una certezza.
Nessuna garanzia di recupero
Il ripristino dipende dai backup, dal perimetro colpito, dagli accessi ancora affidabili e dallo stato reale del sistema informativo.
Nessuna decisione giuridica automatizzata
Notifica, denuncia, comunicazione esterna o attivazione dell’assicurazione devono essere qualificate con gli interlocutori competenti.
Una crisi cyber in corso?
Sospetta intrusione, ransomware, account critico compromesso, fuga di dati: stabilizzate senza distruggere le prove ed esponete i fatti prima di qualsiasi azione irreversibile. Apriamo una cellula di crisi e teniamo il filo delle decisioni.
Vedete la gestione degli incidenti nel vostro contesto.
Una demo dal vivo di 30 minuti: playbook con data e ora, cellula di crisi, registro delle decisioni e notifica in 72 h, applicati alla vostra organizzazione. Senza impegno.