Nel nostro lavoro vediamo due tipi di aziende: quelle che hanno un piano di risposta scritto su una pagina A4 — e sanno chi chiama chi nel primo quarto d'ora — e quelle che improvvisano. La differenza in fattura, a fine incidente, è quasi sempre uno zero. A volte due.
Questo articolo è la checklist che vorremmo trovare appesa accanto al telefono in ogni PMI italiana. Non è un trattato di incident response: è cosa fare materialmente in trenta minuti, con cosa avere già pronto, e quali errori ci tocca correggere ogni volta che ci chiamano "a freddo".
Minuto 0–5: contenere, non spegnere
L'istinto naturale è "stacca tutto, spegni i PC, riavvia". È quasi sempre la scelta sbagliata. Spegnendo i sistemi si perdono i dati in memoria che servono al forense per capire cosa sia successo, e in alcuni casi si attivano le ultime fasi del ransomware (la cifratura definitiva).
La cosa giusta è isolare senza spegnere:
- Stacca il cavo di rete (o disattiva il Wi-Fi) dai PC sospetti. Lasciali accesi.
- Se hai un firewall WatchGuard o equivalente, segmenta o disconnetti dal resto della LAN la VLAN del dispositivo coinvolto. Non c'è bisogno di farlo elegantemente — fallo veloce.
- Se hai Microsoft Defender for Business, dalla console security.microsoft.com seleziona il dispositivo e premi Isolate device. In trenta secondi è fuori rete ma raggiungibile per analisi.
- Non riavviare. Non eseguire antivirus al volo. Non aprire file per "controllare".
Obiettivo dei primi cinque minuti: tagliare la propagazione verso il resto della rete e verso il cloud (M365, OneDrive, SharePoint), preservando lo stato dei sistemi coinvolti.
Minuto 5–10: chi chiama chi
In un'azienda preparata, in questi cinque minuti partono tre telefonate parallele, perché ognuna richiede tempo:
- Il partner IT / MSP. Deve sapere subito che è un sospetto incidente e non un ticket normale. Cambia tutto: dalla priorità alla persona che ti risponde.
- Il referente interno per la privacy / DPO (anche se non è obbligatorio per la tua azienda, qualcuno deve coordinare gli aspetti GDPR). Il cronometro delle 72 ore è già partito.
- Il vertice aziendale (amministratore delegato, titolare). Non per allarmismo: perché eventuali decisioni operative — bloccare il sito, sospendere pagamenti, avvisare clienti — non le può prendere il tecnico.
Suggerimento concreto che ripetiamo a tutti i clienti: stampa una pagina A4 con questi tre numeri di telefono in chiaro e attaccala in segreteria. Lo so, sembra banale. Garantiamo che quando succede il fatto, nessuno si ricorda dove cercare.
Minuto 10–20: capire l'ampiezza, non la causa
L'errore tipico nella fascia 10–20 è mettersi a indagare come è entrato l'attaccante. Quella è una domanda da Giorno 2 — la fa l'analista forense, con calma. Adesso serve solo capire quanto si è estesa la cosa, perché da lì dipendono le mosse successive.
Quattro domande veloci:
- Quanti dispositivi sembrano coinvolti? Uno solo, un reparto, l'intera sede? La console di Defender mostra subito gli alert recenti per gruppo.
- Il cloud è toccato? Apri il portale di Microsoft 365 e controlla i log di accesso anomali in Entra ID (login da paesi insoliti, da IP sospetti, fuori orario). Se vedi accessi che non riconosci, resetta le password e revoca le sessioni degli account compromessi immediatamente — non più tardi.
- I backup sono raggiungibili? Se hai un Datto o equivalente, verifica che l'appliance sia sana e che gli ultimi snapshot siano lì. Non ripristinare nulla ancora — solo verifica che ci siano.
- Ci sono dati di terzi coinvolti? Anagrafiche clienti, dipendenti, fornitori, dati sanitari, dati di pagamento. La risposta a questa domanda determina se scatta la notifica al Garante.
Minuto 20–30: documentare e decidere
Mentre qualcuno continua il contenimento, una persona deve iniziare a scrivere. Non un report ufficiale: una time-line con orari precisi di tutto ciò che si è osservato e fatto. Vi servirà per tre motivi diversi:
- Il forense la userà per ricostruire l'incidente.
- L'eventuale notifica al Garante richiede una descrizione dei fatti.
- L'assicurazione cyber (se ne avete una) la chiederà — e spesso la chiede entro 24 ore, pena la decadenza della copertura.
A questo punto si prendono le decisioni operative:
- Comunicazione interna: cosa dire ai dipendenti, in modo che non aprano altri allegati né telefonino in giro raccontando dettagli. Una riga: "C'è un problema IT in corso, attendete istruzioni, non aprite email sospette".
- Comunicazione esterna: silenzio finché non si ha quadro chiaro. Niente post LinkedIn, niente "stiamo subendo un attacco" sui social. Vale come boomerang.
- Linea operativa: si lavora con i sistemi isolati, si stima il tempo di ripristino, si attiva — se serve — il piano di continuità (PC di scorta, sede alternativa, fattura cartacea, registratore di cassa offline).
Le 72 ore del GDPR (e perché iniziano subito)
Se nell'incidente sono coinvolti dati personali e c'è un rischio per i diritti e le libertà degli interessati, l'articolo 33 del GDPR impone la notifica al Garante entro 72 ore dalla "conoscenza" del fatto. "Conoscenza" non significa "ho il report tecnico completo", significa "ho ragionevole consapevolezza che è successo qualcosa di serio".
Cosa serve avere pronto in azienda prima che capiti:
- Un registro delle violazioni aggiornato (obbligatorio anche per chi non notifica).
- Un modello di notifica precompilato sui dati anagrafici dell'azienda, da completare solo con la descrizione dell'evento.
- L'indicazione chiara di chi firma cosa: il titolare del trattamento è sempre il legale rappresentante, ma materialmente la notifica la prepara qualcun altro.
Se non notifichi quando avresti dovuto, la sanzione è fino a 10 milioni di euro o il 2% del fatturato globale annuo. Notificare in ritardo è meno grave che non notificare. Notificare "in eccesso" (un evento minore che non avrebbe richiesto notifica) non è sanzionato.
Il problema dei data breach in PMI non è la sofisticazione dell'attacco. È che la prima ora la passano a cercare la password del firewall e il numero del consulente che li seguiva due anni fa.
I cinque errori che vediamo sempre
- Pagare il riscatto in fretta, sperando di chiudere la faccenda. Sconsigliato: nel 30–40% dei casi i criminali non consegnano la chiave funzionante, e anche se la consegnano, sei stato schedato come "azienda che paga".
- Riavviare i sistemi per "vedere se funzionano". Distrugge l'evidenza forense e nei casi peggiori completa la cifratura.
- Mandare email dai propri account compromessi. L'attaccante le legge in tempo reale ed è informato della tua reazione.
- Aspettare 48 ore "per vedere come evolve" prima di chiamare l'MSP o il legale. Il timer GDPR però non aspetta.
- Affidarsi al "tecnico nipote di un amico". Le PMI italiane perdono in media più soldi nel doppio intervento (prima un tecnico che peggiora le cose, poi un professionista che recupera) che nell'incidente originario.
Come ci si arriva preparati
Un buon piano di incident response per una PMI sta in tre fogli. Non serve un framework NIST a 80 pagine. Servono, prima del fatto:
- La lista dei numeri di emergenza stampata e attaccata da qualche parte fisica.
- Un backup verificato, immutabile, recente — la base di tutto. Ne parliamo nell'articolo sulla regola 3-2-1-1-0.
- L'MFA attiva su tutti gli account critici, perché la maggior parte dei breach inizia con credenziali rubate.
- Un EDR (Defender for Business, Datto EDR o equivalente) sui PC, che permette l'isolamento remoto.
- Un contratto con un MSP che preveda il regime di emergenza, con SLA dichiarati per gli incidenti di sicurezza.
- Una tabella RACI di una pagina su chi fa cosa quando suona la campana.
Tutto qui. Niente di costoso, niente di esoterico. Sono i sei elementi che separano l'azienda che riapre il giorno dopo da quella che chiude per due settimane.
Lunedì mattina: il test dei 5 minuti
Fai questo esercizio. Chiudi gli occhi e prova a rispondere ad alta voce, cronometrato:
- "Chi chiamo per primo se domattina trovo un riscatto sul desktop?" — devi avere il numero in testa, non da cercare in rubrica.
- "Da dove ripristino i dati se i nostri server vengono cifrati stanotte?" — devi sapere il nome dell'appliance, dove sta fisicamente, chi ha la password.
- "Chi prepara la notifica al Garante e in quante ore deve essere fuori?" — il nome, e "72 ore".
- "Abbiamo un'assicurazione cyber? Se sì, quale numero chiamo entro 24 ore?"
- "Chi parla con i giornalisti / con i clienti se la cosa esce fuori?"
Se sei rimasto bloccato su due o più di queste, vale la pena fissare un'ora per metterle nero su bianco. Scrivici: una sessione di mezza giornata basta per costruire il tuo piano di risposta personalizzato, e ti facciamo anche la simulazione "fuoco vero" su un caso plausibile per la tua azienda.
Articoli collegati: Phishing: 7 segnali per riconoscerlo · La regola 3-2-1-1-0 del backup · NIS2: cosa cambia per la tua azienda · M365 Business Premium: 5 funzioni che paghi e non usi