Il nostro piano di risposta agli incidenti non è mai stato provato
Un piano che resta nel cassetto si scopre inutile nel giorno peggiore. Un'esercitazione di due ore vale più di cento pagine di procedura.
Il problema
La procedura di gestione degli incidenti esiste: ruoli, fasi, moduli. Ma nessuno l'ha mai usata. Il giorno in cui i server si cifrano si scopre che i numeri di telefono sono sulla rete che non funziona più, che nessuno sa chi decide se spegnere tutto, che la comunicazione ai clienti la scrive chi capita.
Come capire se ti riguarda
- Il piano non è mai stato provato, nemmeno a tavolino.
- I contatti di emergenza sono solo in formato digitale, dentro i sistemi aziendali.
- Non è chiaro chi può decidere di isolare la rete o fermare la produzione.
- Comunicazione, legale e direzione non compaiono nel piano.
Il primo passo
Stampate il piano e la rubrica dei contatti di emergenza, e metteteli in una busta fuori dalla rete. Se tutto si ferma, devono essere ancora leggibili.
Come risolverlo
- Ruoli chiari. Chi coordina, chi decide, chi parla con l'esterno, chi notifica alle autorità. Con sostituti. *Evidenza: matrice dei ruoli.*
- Soglie di decisione. Chi può isolare un sistema, chi fermare un servizio, chi attivare fornitori esterni e assicurazione.
- Comunicazione pronta. Bozze di messaggi per dipendenti, clienti, fornitori, autorità. Scriverle in crisi è difficile.
- Esercitazione a tavolino. Due ore, uno scenario realistico (ransomware, frode del bonifico, fornitore compromesso), tutti i ruoli seduti allo stesso tavolo. *Evidenza: verbale con lezioni apprese.*
- Correggete subito. Ogni intoppo emerso durante l'esercitazione diventa una modifica al piano, con un responsabile e una data.
- Registro degli eventi. Durante un incidente si annota tutto: orari, decisioni, azioni. Serve per la notifica, per l'assicurazione e per imparare.
Come evitare che si ripeta
Almeno un'esercitazione l'anno, con scenari diversi. E un'altra dopo ogni cambiamento importante: nuovo sistema, nuovo fornitore critico, nuova organizzazione.
Quando chiedere aiuto
Un facilitatore esterno rende l'esercitazione più realistica e meno "di casa". Accordatevi prima con un team di risposta agli incidenti, così in emergenza non perdete tempo a cercarlo.
Dal libro
«Un piano che non è mai stato provato è un racconto, non un piano.»
— *NIS2. La carta che guida*, capitolo 8
Uno spunto in più
Nella prossima esercitazione togliete una persona chiave a metà scenario: "è in ferie, irraggiungibile". Scoprirete subito quanto il piano dipende dai singoli.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.