Quando succede un incidente informatico, ogni minuto conta. Chi non ha mai pensato a cosa fare si ritrova a decidere sotto pressione, spesso in modo improvvisato: spegnere i sistemi, pagare, nascondere il problema, chiamare la persona sbagliata. Un piano di risposta agli incidenti definisce in anticipo chi fa cosa, in quale ordine e con quali strumenti. Non serve a prevedere ogni attacco, ma a non perdere lucidità quando arriva.
Gli elementi essenziali
- Contatti aggiornati: responsabili interni, fornitori informatici, consulenti legali, assicurazione, referenti della comunicazione. Il numero di telefono deve funzionare anche di notte.
- Passaggi per isolare i sistemi: come scollegare un computer dalla rete senza spegnerlo, se la procedura prevede di conservare le prove.
- Comunicazione interna ed esterna: chi informa il personale, chi risponde a clienti e fornitori, con bozze di messaggi preparate in anticipo.
- Obblighi di notifica: in caso di violazione di dati personali, il GDPR prevede comunicazioni al Garante entro tempi stretti, e in alcuni casi agli interessati. Il piano deve indicare chi valuta la situazione.
- Una simulazione periodica: un esercizio da tavolo, con uno scenario realistico, mostra subito cosa non funziona.
Le prime ore
Nelle prime ore l’obiettivo è capire la portata: quali sistemi sono coinvolti, quali dati, se l’attacco è ancora in corso. Serve isolare la parte compromessa senza cancellare le tracce, documentare ogni passaggio con orari e responsabili, e evitare decisioni impulsive come pagare un riscatto o eliminare file. Un registro scritto delle azioni diventa prezioso sia per la bonifica sia per le eventuali indagini.
Cosa non fare
Non contattare il gruppo criminale senza consulenza, non modificare i sistemi prima di aver salvato le prove, non diffondere informazioni non verificate. Evita anche di affidare la gestione a persone senza competenze, per quanto volenterose: un intervento maldestro può distruggere le tracce o peggiorare la situazione.
Dopo l’incidente
Quando la situazione è sotto controllo, serve un’analisi per capire come è avvenuto l’attacco e cosa cambiare. Il piano va aggiornato con quanto imparato, e il personale va informato in modo chiaro. Molte organizzazioni scoprono che il vero problema non era la tecnologia, ma la mancanza di un ruolo chiaro, di un contatto disponibile o di una procedura condivisa.
Una checklist da cui partire
Scrivi un documento di una pagina con i contatti, i passaggi per isolare i sistemi, i riferimenti per le notifiche e una bozza di comunicazione. Conservalo in un luogo accessibile anche se la rete aziendale è bloccata: una copia stampata o su un supporto separato. Un piano semplice, letto e provato, vale più di un documento perfetto che nessuno conosce.