Modulo 8 · 8.1
Un piano per gli incidenti e una scheda di gestione degli incidenti
Modulo 8: Quando qualcosa va storto · Tempo di lettura: 10 minuti
Obiettivo della lezione: al termine di questa lezione saprà creare una scheda di gestione degli incidenti e un semplice piano per gli incidenti, utili anche quando computer, e-mail e rubrica telefonica non sono più raggiungibili.
Concetti chiave: incidente, scheda di gestione degli incidenti, piano per gli incidenti, ruoli, lista dei contatti, contenimento, conservazione delle prove, comunicazione, conservazione offline, esercitazione (tabletop)
Perché organizzarsi ora, e non quando la casa brucia
Immagini: è lunedì mattina, le 07:45. Sul PC della cassa della Panetteria Example compare una schermata rossa con il messaggio che tutti i file sono stati cifrati. La cartella condivisa con gli ordini non si apre. Qualcuno dice: "Chiamiamo il tecnico informatico." Ma il suo numero è salvato nei contatti della casella di posta, e la casella di posta è sullo stesso PC. Un altro vuole spegnere subito il PC. Un terzo inizia a collegare il disco di backup per "ripristinare tutto".
Tutte e tre le reazioni sono comprensibili, e due di esse peggiorano la situazione. Succede quasi sempre così: sotto pressione le persone fanno la prima cosa che gli viene in mente. Un incidente è qualsiasi evento che minaccia la disponibilità, l'affidabilità o la riservatezza dei Suoi dati o sistemi: un account di posta violato, un ransomware, un laptop smarrito, un'e-mail con dati di clienti inviata alla persona sbagliata, un sito web preso in ostaggio.
L'obiettivo di un piano non è che tutto vada bene. L'obiettivo è che nella prima ora non commetta errori irrimediabili e che sappia chi chiamare.
Scheda di gestione degli incidenti e piano per gli incidenti: la differenza
| Scheda di gestione degli incidenti | Piano per gli incidenti | |
|---|---|---|
| Cosa | Un singolo foglio A4 con i primi passi e i numeri | Qualche pagina con ruoli, accordi e dettagli per tipo di incidente |
| Per chi | Tutti in azienda | Il titolare o la persona che gestisce l'IT |
| Dove | Su carta, appesa al muro vicino alla stampante, in un cassetto, come foto sul telefono | Su carta e in digitale, con una copia conservata fuori dall'azienda |
| Quando | I primi minuti | Le prime ore e i primi giorni |
Per un'azienda da due a venti persone, la scheda è l'elemento più importante. Il piano può essere breve. L'NCSC olandese ha pubblicato un piano di risposta agli incidenti dettagliato per il ransomware (si veda Per saperne di più); può usarlo come punto di partenza e sintetizzarlo.
Cosa contiene la scheda di gestione degli incidenti
Una buona scheda risponde a cinque domande. Di seguito un modello che può riutilizzare.
SCHEDA DI GESTIONE DEGLI INCIDENTI Panetteria Example versione: 1 data: ..-..-....
1. NOTA QUALCOSA DI STRANO? (schermo rosso, e-mail strana inviata, accesso non funziona,
pagamento sconosciuto, laptop smarrito, dati inviati al destinatario sbagliato)
-> Lo segnali SUBITO a: ............................ tel: ...............
Sostituto: .......................................... tel: ...............
Segnalare è sempre giusto. Nessuno viene incolpato.
2. PRIMI PASSI (non tentare di riparare da soli)
[ ] Scollegare il cavo di rete / disattivare il wifi / modalità aereo. NON spegnere.
[ ] Scollegare chiavette USB e dischi di backup. NON collegarli.
[ ] Fare una foto dello schermo (con il telefono).
[ ] Annotare: ora, cosa ha visto, cosa ha fatto.
[ ] Non pagare, non rispondere all'estorsore.
3. CHI CHIAMIAMO?
Assistenza IT / amministratore ............................ tel: ...............
Hosting / posta elettronica ............................ tel: ...............
Banca (frode, 24/7) ............................ tel: ...............
Assicuratore (cyber) ............................ polizza: .............
Polizia (denuncia) vedi Polizia Postale, https://www.commissariatodips.it/
Notifica al Garante per la privacy https://www.garanteprivacy.it/ (entro 72 ore)
Cliente/fornitore importante: ................... tel: ...............
4. CHI DECIDE E CHI PARLA?
Decide (spegnere, ripristinare, notificare, pagare): ..........................
Parla con clienti, stampa, personale: ........................................
Tiene il registro: .....................................................
5. DOVE SI TROVA COSA?
Backup: .............................. (ultimo test: ..-..-....)
Accesso di emergenza al gestore di password: ...........................................
Elenco di sistemi e account: ..........................................
Questo piano (digitale) + copia fuori dall'azienda: ..............................Alcune scelte di questo modello meritano una spiegazione.
- "Non spegnere, ma scollegare." In caso di ransomware l'NCSC olandese consiglia di scollegare subito un dispositivo colpito dalla rete (cavo, wifi, rete mobile), ma di non spegnerlo; la modalità sospensione è consentita. Nella memoria di lavoro restano tracce di cui un investigatore può avere bisogno, e talvolta persino chiavi di decifratura. Scollegare ferma la diffusione verso altri dispositivi e verso il disco di rete.
- "Non collegare i dischi di backup." Un disco collegato a un PC infetto viene cifrato a sua volta. Bisogna prima accertarsi che l'ambiente sia pulito (lezione 8.3).
- "Segnalare è sempre giusto." Il collaboratore che per primo nota qualcosa è la Sua migliore difesa. Se ha paura di un rimprovero, aspetterà e Lei perderà ore preziose. Si veda anche la lezione 9.2.
- Numeri su carta. Proprio durante un grande incidente, la posta elettronica, il calendario condiviso e talvolta anche il centralino telefonico possono non funzionare. Una scheda conservata solo nel cloud in quel momento non è disponibile.
Per sporgere denuncia può rivolgersi alla Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/). In caso di pericolo immediato chiami il 112, ma un attacco informatico di solito non richiede un intervento di emergenza.
Ruoli: chi fa cosa
In una piccola azienda spesso una sola persona fa tutto. Concordi comunque tre ruoli, anche se corrispondono alla stessa persona:
- Il decisore. Decide se spegnere, ripristinare, notificare al Garante, contattare la banca e se coinvolgere uno specialista esterno. Preferibilmente il titolare o il direttore, con un sostituto fisso.
- La linea tecnica. Il Suo fornitore IT, il webmaster o il collega esperto. Esegue quanto richiesto dal decisore e fornisce consulenza. Concordi in anticipo se il Suo fornitore IT aiuta anche in caso di incidente, con quale rapidità e a quale costo; è un tema della lezione 7.2.
- Il comunicatore. Parla con clienti, personale ed eventualmente la stampa, in modo che esca un'unica versione dei fatti. In caso di violazione di dati, questo comprende anche l'informazione agli interessati (lezione 8.2).
Designi anche qualcuno che tenga un registro: ora, cosa è accaduto, chi ha deciso cosa. Può sembrare burocratico, ma Le servirà per la notifica al Garante per la protezione dei dati personali (che chiede quando ha scoperto la violazione e cosa ha fatto), per l'assicuratore, per la denuncia e per la valutazione successiva.
Il piano: qualche regola per ogni tipo di incidente
Oltre alla scheda, scriva un breve approccio per ogni incidente frequente. Quattro sono sufficienti per iniziare:
| Incidente | Primi passi | Seguito |
|---|---|---|
| Account di posta compromesso (e-mail strane inviate, la password non funziona) | Cambiare la password da un altro dispositivo pulito; disconnettere tutte le sessioni; controllare regole di inoltro e filtri; attivare la 2FA | Avvisare i contatti; verificare quali e-mail sono state lette o inviate (possibile violazione di dati, lezione 8.2) |
| Ransomware | Scollegare, non spegnere; scollegare i backup; chiamare l'assistenza IT; non pagare | Lezione 8.3: indagine, ripristino pulito, denuncia, No More Ransom |
| Laptop o telefono smarrito | Bloccare o cancellare a distanza; cambiare le password degli account salvati; revocare le sessioni | Il disco era cifrato? Se no: possibile violazione di dati (lezione 8.2) |
| Pagamento sospetto o frode da fattura | Chiamare subito la banca (uno storno riesce a volte solo se si è rapidi); chiamare il fornitore a un numero noto | Denuncia; la casella del fornitore o la Sua è stata violata? (lezione 1.2) |
Stabilisca anche quali sistemi sono più importanti, in ordine. Per la Panetteria Example sono ad esempio: cassa e POS, ordini del giorno, posta elettronica, contabilità, sito web. Nel ripristino inizia dall'alto. Si vedano anche RPO e RTO nella lezione 6.3.
Esercitarsi: mezz'ora al tavolo
Un piano che nessuno conosce non funziona. Un'esercitazione tabletop richiede mezz'ora: si siede al tavolo con le persone che hanno un ruolo e simula uno scenario, senza toccare nulla. Il conduttore (può essere Lei stesso) racconta passo dopo passo cosa succede.
Esempio: "È venerdì alle 16:30. Il contabile riceve un'e-mail da un fornitore abituale: l'IBAN è cambiato, si prega di versare oggi stesso la fattura in sospeso di 8.400 euro sul nuovo numero. Cosa fa?" E poi: "È lunedì. Il fornitore chiama: non ha ricevuto nulla." A ogni passo si chiede: chi fa cosa, chi chiama, dove si trova quel numero?
Alla fine annoti cosa mancava. Quasi sempre è un numero di telefono, una password nota a una sola persona, o incertezza su chi decide. Aggiorni la scheda e indichi la nuova data. Esercitarsi una volta all'anno e rivedere la scheda è un buon ritmo per una piccola azienda, così come dopo ogni cambiamento importante (nuovo fornitore IT, nuovo software contabile).
Nella pratica: ecco come si presenta
Nella scheda inserisca anche i punti concreti dove può intervenire rapidamente presso i Suoi fornitori. Presso WebOké, ad esempio: visualizzare e disconnettere le sessioni attive in Mio WebOké, la procedura "Il mio sito web è stato violato" nella guida di DirectAdmin, e il ripristino di un backup. Presso altri fornitori di hosting, posta e cloud esistono funzioni simili; le cerchi prima di averne bisogno e annoti dove si trovano.
Riepilogo
- Una scheda di gestione degli incidenti (un solo foglio A4, su carta) garantisce che tutti nei primi minuti facciano la cosa giusta: segnalare, scollegare ma non spegnere, non collegare i backup, non pagare nulla.
- Concordi i ruoli: chi decide, chi esegue il lavoro tecnico, chi comunica, chi tiene il registro.
- Scriva un breve approccio per ogni incidente frequente e l'ordine dei Suoi sistemi più importanti.
- Conservi i numeri e il piano anche fuori dai Suoi computer.
- Si eserciti ogni anno per mezz'ora al tavolo e aggiorni la scheda.
Quiz
Esercizio
Esercizio D8.1: La Sua scheda di gestione degli incidenti. Riprenda il modello di questa lezione e lo compili per la Sua azienda: nomi, numeri e luoghi reali. Lo stampi, lo appenda e ne faccia una foto per il telefono. Successivamente, insieme a un collega (o da solo), simuli in un quarto d'ora lo scenario dell'IBAN descritto in questa lezione, e annoti cosa Le mancava.
Esercizio D8.1: La Sua scheda di gestione degli incidenti
Come procedere: (1) Riprenda il modello qui sotto (la pagina del corso lo offre anche come pagina stampabile; nessun invio al server). (2) Inserisca nomi, numeri di telefono e luoghi reali. Richiami almeno un numero per verificare che sia corretto (ad esempio il numero antifrode della Sua banca, spesso indicato sul retro della carta o nell'app). (3) Stampi la scheda, la appenda in un luogo fisso e ne faccia una foto da conservare sul telefono. Conservi una copia fuori dall'azienda (a casa o presso una persona di fiducia). (4) Simuli, con un collega o da solo, in un quarto d'ora lo scenario IBAN della lezione (tabletop).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori il funzionamento è simile.
- Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
- Aiuto! Il mio sito è stato violato. Come posso risolvere il problema e come posso evitare che accada di nuovo?
- Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
- NCSC olandese, Cosa fare in caso di attacco ransomware?: https://www.ncsc.nl/ransomware/wat-te-doen-bij-een-ransomware-aanval
- NCSC olandese, Piano di risposta agli incidenti Ransomware (pdf): https://www.ncsc.nl/api/media/sites/default/files/2025-12/Incidentenresponsplan_Ransomware.pdf
- Polizia Postale e delle Comunicazioni: https://www.commissariatodips.it/