Una cellula per ogni crisi
Ransomware, account compromesso, fuga di dati: ogni crisi ha il suo spazio. Ruoli riuniti, comunicazioni e commutazioni tracciate, perimetro condiviso da tutto il team coinvolto.
Gestione operativa · il cockpit in azione
Seguire un’azione cyber dal suo segnale iniziale alla sua chiusura.
Quando un segnale è qualificato, Galyct Pro permette di associarlo a un rischio o a un incidente, di assegnare un’azione, di monitorarne lo stato e di conservare gli elementi che giustificano la decisione e la chiusura.
Capire il rischio. Riprendere il controllo. Durare nel tempo.
Hosting in Francia presso Scaleway · IA Mistral (UE), sotto supervisione umana · nessun risultato garantito: riduciamo l’esposizione, non promettiamo il rischio zero.
01 · IL CICLO OPERATIVO
Sei fasi, un unico filo che non si spezza mai
La gestione operativa non è una successione di strumenti, è un ciclo. Ogni segnale dal campo diventa un’analisi, una priorità, un’azione, poi una prova difendibile. Entrate nella fase utile; le altre seguono, senza reimmissione.
- 1OsservareI vostri strumenti collegati (EDR, firewall, backup, intelligence) riportano i loro segnali: la vista «Segnali» li riunisce, ordinati e filtrati sulla vostra esposizione.
- 2AnalizzareLink, intestazioni e-mail, domini, IOC e vulnerabilità qualificati; analisi automatizzata in Europa, sotto supervisione umana.
- 3Stabilire le prioritàIl cockpit correla asset, rischi, allarmi e obblighi: la prossima decisione diventa visibile, non sommersa.
- 4AgireAzioni assegnate, responsabili, tempi, playbook e remediation monitorati dall’inizio alla fine.
- 5DimostrareFatti, ipotesi e decisioni collegati: un fascicolo difendibile per direzione, audit, assicuratore o autorità di vigilanza.
- 6DurareContinuità, esercitazioni, ritorno d’esperienza e traiettoria: l’organizzazione impara e regge nel tempo.
Il principio: nulla si inserisce due volte, nulla si perde tra due fasi.
02 · LA CELLULA DI CRISI
Riprendere il controllo senza distruggere le prove
In una crisi, la prima vittima è la tracciabilità. Si apre una cellula dedicata, si riuniscono i ruoli, si tiene il registro degli eventi: mentre voi stabilizzate, il cockpit tiene il filo delle decisioni, per l’assicuratore, l’autorità di vigilanza e l’ufficio legale.
Playbook con data e ora
Playbook operativi (BEC, ransomware, esfiltrazione) con data e ora, assegnati e annotati: fasi critiche, requisito di prova e SLA. Riprendete il controllo senza improvvisare.
Registro delle decisioni & prove
Ogni decisione, ipotesi e azione è registrata, con data e ora ed esportabile. Il registro distingue i fatti accertati dai segnali deboli: non si confonde mai ciò che si sa con ciò che si suppone.
Orologio normativo
Scadenzari e notifiche in tempo reale, tra cui la notifica di violazione GDPR entro 72 h alla CNIL: le persone giuste avvisate al momento giusto, senza lasciar scadere un termine critico.
03 · IL REGISTRO DEGLI EVENTI
Ciò che vede davvero il team durante una crisi
Estratto di un registro di cellula, caso di esempio, compromissione di un account di posta elettronica (BEC). Ogni riga è con data e ora, attribuita e difendibile a posteriori.
- 09:14 Allarme ricevutoConnettoreConnessione insolita su un account della direzione segnalata da Entra ID. Evento aperto, cellula di crisi creata.
- 09:22 QualificazioneFattoIntestazioni di due e-mail analizzate (SPF/DKIM/DMARC): contraffazione confermata, IOC aggiunti al fascicolo e confrontati con un indicatore MISP in arrivo.
- 09:31 DecisioneTracciabileReimpostazione forzata dell’account e revoca delle sessioni. Decisione registrata, responsabile: amministratore di sistema.
- 09:40 IpotesiSegnale debolePossibile regola di inoltro malevola, da verificare. Segnata come ipotesi, non come fatto accertato.
- 10:05 Scadenza attivata72 hAnalisi d’impatto aperta: se sono coinvolti dati personali, l’orologio della notifica alla CNIL parte ed è monitorato.
Anteprima reale del principio, dati fittizi. La risoluzione si valuta caso per caso: nessun risultato è garantito.
04 · ASSEGNARE & MONITORARE LE AZIONI
Ogni azione ha un responsabile, una scadenza, uno stato
Una decisione senza responsabile né termine non è una decisione. Il cockpit trasforma ogni scelta in un’azione monitorata: chi fa cosa, entro quando, a che punto si è, in crisi come fuori dalla crisi.
- Isolare dalla rete la postazione sospettaAmministratore di sistemaOggiIn corso
- Avvisare la direzione & il DPOCISO+2 hIn corso
- Verificare i backup AcronisFornitore di servizi gestiti+4 hDa fare
- Analisi d’impatto GDPRDPO+24 hDa fare
- Ritorno d’esperienza & piano di remediationCISO+7 gPianificato
Responsabili & ruoli
Azioni assegnate a una persona reale, in base al suo ruolo (amministratore, editor, membro). Ciascuno vede ciò che gli spetta, senza perdere la visione d’insieme.
Scadenze & SLA
Termini visibili, promemoria automatici, scadenze normative attivate: non si lascia scadere un termine perché «nessuno l’aveva visto».
Stato & prova di chiusura
Ogni azione si chiude con una prova di correzione. Il monitoraggio diventa un registro utilizzabile per il comitato, l’audit o l’assicuratore.
05 · IL CAMPO CHE RISALE
I vostri strumenti alimentano il cockpit, in sola lettura
Voi fornite le vostre istanze; Galyct le legge, non le comanda mai. EDR, firewall, backup e intelligence confluiscono nello stesso posto, filtrati sulla vostra esposizione, senza basi di intelligence fuori dall’Unione europea, senza agenti Galyct da installare sulle vostre postazioni.
EDR / XDR
CrowdStrike, SentinelOne, Microsoft Defender, HarfangLab, Sophos: rilevamenti e stato di salute del parco di postazioni, in lettura.
Firewall
Stormshield, Clavister: gli allarmi di rete (filtraggio, IPS) arrivano al cockpit e alla cellula di crisi.
Backup
Acronis: lo stato dei job e dei test di ripristino, il backup monitorato, non presunto.
Intelligence
MISP e monitoraggio CERT-FR: gli indicatori e i bollettini pertinenti per il vostro contesto, collegati ai vostri scenari.
«Il cliente fornisce la sua istanza»: connessione in lettura, nulla da installare sulle postazioni. Nuovi connettori si aggiungono a ondate. Vedi tutti i connettori →
E UNA VOLTA ARRIVATI
Tre viste che incarnano il ciclo
I segnali non si accumulano: si ordinano, si collegano al parco e diventano decisioni. Tre viste del cockpit, alimentate dai vostri connettori, visibili già oggi su dati di esempio.
Segnali
Il flusso consolidato di tutti i vostri strumenti, ordinato per gravità e per fonte. Con un clic, un segnale diventa un’azione di remediation monitorata, o apre la cellula di crisi.
Parco & agenti
Lo stato di salute del vostro parco a colpo d’occhio: postazioni a rischio, protezione anti-manomissione disattivata, macchine non viste, aggregato dai vostri EDR e firewall.
Centro incidenti
Il posto di comando del triage: stato della crisi, segnali critici su cui decidere, cronologia recente, per decidere, prima di agire nella cellula.
06 · DURARE NEL TEMPO
Dopo la crisi, la continuità: il ciclo si chiude
Riprendere il controllo non basta: bisogna ripartire, imparare ed essere pronti la volta successiva. La continuità chiude il ciclo e alimenta di nuovo il governo del rischio.
01RipartirePCA / PRA (ISO 22301), attività critiche e RTO/RPO per attività: un ripristino governato, non improvvisato.
02DocumentareFascicolo dell’incidente e registro delle prove collegati alle decisioni: difendibili davanti a comitato, assicuratore o autorità di vigilanza.
03ImparareRitorno d’esperienza strutturato: cosa ha funzionato, cosa è mancato, cosa si corregge, senza processi alle intenzioni.
04PrevenireIl ritorno d’esperienza alimenta gli scenari di rischio e le esercitazioni successive: l’organizzazione sale di un gradino di maturità.
07 · CIÒ CHE NON PROMETTIAMO
Governare un incidente significa anche porne i limiti
Una gestione operativa seria precisa i propri limiti. Ciò su cui ci impegniamo: rilievi utilizzabili, decisioni tracciabili e una traiettoria monitorata.
Niente rischio zero
L’obiettivo è ridurre l’esposizione e tenere il filo delle decisioni, non garantire l’impossibilità di un incidente: nessun risultato è garantito.
Nessuna attribuzione senza prova
Nessun responsabile viene indicato senza elementi tecnici o contestuali sufficienti. Ciò che non è dimostrabile resta un’ipotesi, mai un fatto.
L’IA assiste, la persona decide
L’analisi automatizzata, in Europa, accelera la qualificazione; la decisione resta umana e supervisionata. Non vi chiediamo mai i vostri codici né le vostre password.
Un deliverable serve una decisione
Registro, fascicolo, ritorno d’esperienza: ogni traccia serve una remediation, una prova o una decisione. Altrimenti, non ha posto nella console.
Una crisi cyber in corso?
Sospetta intrusione, ransomware, account critico compromesso, fuga di dati: stabilizzate senza distruggere le prove, e fatevi accompagnare. Apriamo una cellula di crisi e teniamo il filo delle decisioni.
Vedete la gestione operativa nel vostro contesto.
Visitate liberamente il cockpit su dati di esempio, oppure richiedete una demo dal vivo di 30 minuti. Senza impegno, i vostri dati trattati nell’Unione europea.