Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire decisioni, ruoli e contatti
NIST SP 800-61 Rev. 3 integra la risposta agli incidenti nella gestione complessiva del rischio: la preparazione non riguarda soltanto il team IT, ma anche direzione, responsabili dei servizi, comunicazione, legale, privacy, fornitori e assicurazione quando presente.
Il piano deve assegnare responsabilità e deleghe, indicare reperibilità e sostituti e prevedere canali fuori banda. La rubrica operativa va resa disponibile anche quando identità, posta o documenti condivisi risultano indisponibili.
- Responsabile dell’incidente e autorità decisionale
- Contatti interni, fornitori e supporti specialistici
- Canali alternativi di comunicazione
- Criteri di escalation e aggiornamento della direzione
- Obblighi di segnalazione da valutare con i referenti competenti
Preparare priorità e strumenti di risposta
La checklist CISA raccomanda di conoscere sistemi critici, dipendenze e ordine di ripristino prima dell’incidente. Inventario, diagrammi di rete, accessi custoditi, immagini standard e copie offline o immutabili riducono le decisioni improvvisate.
Il piano deve distinguere contenimento, acquisizione delle evidenze, bonifica e recupero. Spegnere un sistema può limitare il danno quando l’isolamento non è possibile, ma può anche perdere evidenze volatili: la procedura deve spiegare chi valuta questa scelta.
- Elenco dei servizi critici e delle dipendenze
- Procedura di isolamento di endpoint, server, rete e cloud
- Accesso a log, EDR, firewall e console di backup
- Backup protetti e test di ripristino documentati
- Modelli per cronologia, decisioni e aggiornamenti
Provare il piano e chiudere le lacune
Un piano non esercitato contiene spesso numeri obsoleti, responsabilità ambigue e dipendenze non dichiarate. Un tabletop periodico permette di verificare il flusso decisionale senza interrompere i sistemi.
Ogni prova deve produrre un elenco di azioni con responsabile e scadenza. Il piano va inoltre riesaminato dopo cambiamenti rilevanti, incidenti, nuovi fornitori o modifiche all’architettura.
Domande frequenti
Il piano ransomware coincide con il disaster recovery?+
No. Il disaster recovery organizza il ripristino tecnico; il piano di risposta comprende anche rilevazione, contenimento, evidenze, decisioni, comunicazioni e coordinamento esterno.
Chi deve approvare il piano?+
La direzione deve conoscere e sostenere ruoli, priorità e autorità decisionali. Le responsabilità concrete dipendono dalla struttura dell’organizzazione e dagli obblighi applicabili.
Quanto spesso va provato?+
La frequenza dipende da rischio e cambiamenti. È utile prevedere esercitazioni periodiche e ripeterle dopo modifiche significative o incidenti.