Abbiamo un incidente: cosa fare e cosa notificare
Attivate ruoli, contenete l'incidente, annotate le decisioni e valutate subito la notifica tramite il Portale ACN.
Cosa fare subito
- Attivate chi decide, chi coordina e chi esegue: una persona deve tenere il quadro d'insieme.
- Contenete l'impatto senza cancellare tracce utili a capire cosa è accaduto.
- Registrate orari, decisioni, servizi coinvolti e comunicazioni; valutate immediatamente gli obblighi di notifica.
Il problema
Un incidente mette pressione proprio quando serve lucidità. Se ognuno agisce per conto proprio, si perdono informazioni, si rallenta il ripristino e diventa difficile spiegare cosa è successo. La prima risposta non è un documento perfetto: è un modo di lavorare insieme, con ruoli e fatti annotati.
Come capire se ti riguarda
- Un servizio, un sistema o dei dati mostrano un comportamento inatteso e non sapete chi coordina?
- Le persone coinvolte hanno versioni diverse di tempi, azioni e impatto?
- Nessuno ha ancora verificato se l'organizzazione è soggetta a obblighi NIS?
Se l'evento è in corso, trattate queste domande come priorità operative: le risposte possono cambiare mentre raccogliete informazioni.
Come risolverlo
- Aprite la gestione dell'evento. Nominate un coordinatore, fissate un canale di comunicazione e una cronologia condivisa. Distinguete i fatti osservati dalle ipotesi. Responsabile: direzione o responsabile delegato; IT per l'analisi tecnica. Evidenza: registro dell'incidente con orari, partecipanti, decisioni e fonti delle informazioni.
- Limitate il danno e ripristinate con ordine. Stabilite quali servizi proteggere o recuperare per primi, coinvolgendo proprietari del servizio e fornitori. Ogni azione deve essere annotata, così da poter correggere il percorso se emergono nuovi elementi. Responsabile: IT e proprietario del servizio, con il fornitore quando coinvolto. Evidenza: piano di contenimento e ripristino, autorizzazioni, esiti dei controlli e comunicazioni ai soggetti interessati.
- Valutate e gestite la notifica. Se siete un soggetto NIS e l'incidente è significativo, il Referente CSIRT deve notificarlo al CSIRT Italia tramite il Portale ACN. Le scadenze sono tre: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. I criteri per capire se un incidente è significativo sono nelle determinazioni ACN. Responsabile: Referente CSIRT, con direzione e funzioni tecniche. Evidenza: valutazione dell'incidente, copia delle comunicazioni inviate e relazione finale.
Come evitare che si ripeta
Fate esercitazioni brevi sui ruoli, sulla cronologia e sulle comunicazioni. Dopo l'incidente, rivedete con calma ciò che ha funzionato e ciò che ha rallentato la risposta; assegnate poche azioni, con un proprietario e una data di controllo.
Quando chiedere aiuto e a chi
Coinvolgete subito professionisti di risposta agli incidenti quando l'impatto non è contenuto o mancano le competenze necessarie. Per gli obblighi NIS fate riferimento al CSIRT Italia tramite il Portale ACN e alle indicazioni ufficiali ACN sulle misure di sicurezza e sulla notifica degli incidenti.
Dal libro
«Quando l'incidente è grande, il primo errore è restare soli con il problema.» — *NIS2. La carta che guida*, capitolo 9.
Fonti ufficiali
- ACN — Misure di sicurezza e notifica di incidenti
- ACN — Portale NIS
- ENISA — NIS2 Technical Implementation Guidance
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Non sappiamo da dove cominciare: i primi 90 giorni
Nei primi 90 giorni date mandato, capite i servizi, scegliete poche priorità e provatele: senza rincorrere ogni cosa insieme.
Non sappiamo quanto ci costa un fermo
Misurate l'impatto di un'interruzione partendo dal servizio: clienti, ricavi, obblighi, reputazione, tempo tollerabile e dati persi.