Martedì scorso abbiamo parlato di formazione, e di come la misura che conta sia quanto in fretta qualcuno segnala una mail sospetta. Abbiamo chiuso con una domanda: la segnalazione rapida serve solo se dall'altra parte qualcuno sa cosa fare. Il terzo passo del mese della sicurezza è questo: il piano di risposta agli incidenti. Non la sequenza dei primi minuti, che abbiamo già ricostruito nel pezzo sui primi 30 minuti di un data breach, ma il foglio che la rende possibile.
Perché una pagina e non quaranta
Il piano di risposta di quaranta pagine nasce quasi sempre con buone intenzioni: un modello scaricato, un consulente, una scadenza di conformità. Dentro c'è tutto, classificazioni degli incidenti, matrici di gravità, flussi decisionali. Ed è inutilizzabile proprio quando serve, perché nel momento dell'emergenza nessuno ha il tempo né la lucidità di cercare il capitolo giusto.
Il piano che funziona è quello che una persona agitata, alle due di notte, riesce a leggere in un minuto. Una pagina sola, stampata, appesa in un posto che tutti conoscono e con una copia a casa delle persone chiave. Il resto della documentazione può esistere, e per chi ha obblighi formali deve esistere, ma il foglio di intervento è un'altra cosa: è uno strumento, non un fascicolo.
Un piano di risposta si giudica da una sola domanda: chi lo trova al buio, riesce a usarlo?
Tre ruoli, ognuno con un nome e un sostituto
La prima metà della pagina dice chi fa cosa, e per un'azienda di dieci o di cento persone bastano tre ruoli.
Chi decide. Una persona sola, con l'autorità di fermare un servizio, di accettare un costo imprevisto, di chiamare l'assicurazione o un legale. Di solito è il titolare o un direttore. Se le persone che decidono sono tre, nella pratica non decide nessuno.
Chi esegue. Il referente tecnico, interno o esterno: isola le macchine, blocca gli account, raccoglie le tracce, ripristina. Non deve prendere decisioni di business, ma deve sapere esattamente cosa può fare da solo, e lo vediamo tra poco.
Chi parla con l'esterno. Clienti, fornitori, dipendenti, eventualmente le autorità. È il ruolo più trascurato e quello che fa più danni se manca: in assenza di un nome, a parlare sarà chiunque, con messaggi diversi e spesso contraddittori. Una telefonata improvvisata a un cliente importante può costare più dell'incidente stesso.
Accanto a ogni nome va scritto un sostituto. Gli incidenti non scelgono i giorni in cui tutti sono in ufficio: il titolare in volo, il tecnico in ferie, la responsabile amministrativa in malattia. Un ruolo senza sostituto è un buco che si scopre nel momento peggiore.
I numeri, con i tempi scritti accanto
La seconda parte della pagina è la rubrica. Non quella del telefono di qualcuno, ma un elenco stampato: il partner IT con il numero per le emergenze, il fornitore della connettività, chi gestisce il gestionale, il fornitore del centralino, l'assicurazione cyber se c'è, il legale o il consulente privacy, la banca per i bonifici sospetti.
Accanto a ciascun numero vanno due informazioni che quasi nessuno scrive: in quali orari risponde e in quanto tempo è tenuto a intervenire secondo il contratto. Scoprire alle due di notte che il fornitore del gestionale ha un servizio che apre alle nove del mattino non è un dramma, se lo sapevi già e hai previsto cosa fare nel frattempo. Lo è se lo scopri ascoltando una segreteria telefonica.
E poi c'è la domanda più scomoda: come ci si parla se la posta e la chat aziendale non sono affidabili? Se l'attaccante è dentro Microsoft 365, l'ultima cosa da fare è coordinare la risposta via email, dove potrebbe leggerla. Il piano indica un canale alternativo, deciso prima: un gruppo sui numeri di cellulare delle persone del piano, o semplicemente un giro di telefonate. Va scritto, perché nessuno ci pensa finché non serve.
Le decisioni prese prima: chi può staccare la rete senza chiamare nessuno
È la parte più importante del piano, e quella che quasi sempre manca. Durante un attacco i minuti contano: abbiamo visto, raccontando la cronologia di un ransomware, che i dati escono e i backup raggiungibili spariscono mentre si aspetta. Eppure in molte aziende il tecnico che vede un'anomalia alle due di notte si ferma, perché staccare un server ha un costo e non vuole prendersi quella responsabilità da solo. Cerca il titolare, che non risponde, e intanto passa un'ora.
La soluzione è pre-approvare le decisioni: scriverle sulla pagina, firmate da chi ne ha l'autorità, prima che servano. Per esempio:
- Il referente tecnico può isolare dalla rete qualsiasi postazione o server con segni di compromissione, a qualunque ora, senza autorizzazione preventiva. Avvisa chi decide appena possibile.
- Può sospendere un account, anche quello del titolare, se mostra accessi anomali.
- Può staccare la connessione a internet della sede se è in corso un'uscita di dati, accettando che il servizio si fermi fino al mattino.
- Per spegnere il gestionale in orario di lavoro, o per qualunque spesa sopra una soglia scritta, serve invece chi decide.
Quattro righe così cambiano completamente la notte dell'incidente. Il tecnico agisce subito, sapendo di essere coperto, e chi decide viene coinvolto per le scelte che spettano davvero a lui, non per autorizzare ciò che andava fatto comunque.
Il paradosso delle credenziali
C'è un'altra domanda che il piano deve risolvere, e che di solito emerge solo durante un incidente vero: dove sono le password che servono per rimettere in piedi tutto? L'accesso amministrativo al firewall, la console del backup, l'account di emergenza di Microsoft 365, il pannello del dominio. Spesso stanno in un file sul server, che è cifrato. O nel password manager, a cui si accede con l'account che è stato appena bloccato. O nella testa dell'unica persona che le conosce, che è in vacanza.
La risposta non è unica, ma va decisa e scritta: un account di emergenza separato, con credenziali conservate offline in busta chiusa o in cassaforte; un password manager con un accesso di recupero che non dipende dalla rete aziendale; il partner IT che custodisce una copia indipendente. La pagina non riporta le password, ovviamente: dice dove sono e chi può prenderle.
La prova a tavolino: sessanta minuti una volta l'anno
Un piano mai provato è un'ipotesi. Il modo più economico per provarlo è la prova a tavolino: un'ora, le persone del piano attorno a un tavolo, uno scenario raccontato passo per passo. «Sono le sette del lunedì, la segreteria trova i file con un'estensione strana. Cosa fai?» E poi: «Il titolare non risponde. Il tecnico è in ferie. Il gestionale è sul server cifrato.» Nessuna macchina viene toccata: si parla, si consulta la pagina, si annota dove ci si blocca.
Ci si blocca sempre da qualche parte, ed è proprio lo scopo. Le scoperte tipiche sono banali e preziose: il numero del fornitore è il cellulare di una persona che non lavora più lì. Nessuno sa chi ha le credenziali del pannello del dominio. Il sostituto di chi decide non sapeva di esserlo. L'assicurazione chiede di essere avvisata entro un termine che nessuno conosceva. Ogni scoperta fatta attorno al tavolo è una che non si farà alle due di notte.
Una volta l'anno basta, più un aggiornamento della pagina ogni volta che cambia una persona o un fornitore. Se si vuole un'occasione fissa, la stessa settimana dell'audit di rientro va benissimo: l'audit è la fotografia di com'è messa l'azienda, la prova a tavolino verifica che la procedura regga.
Il registro, anche degli incidenti finiti bene
L'ultima riga della pagina rimanda a un registro: un semplice elenco, anche in un foglio di calcolo, con data, cosa è successo, chi se n'è occupato, cosa si è fatto e cosa si è imparato. Va compilato anche per gli incidenti finiti bene: la mail di phishing segnalata in sei minuti e ritirata, l'accesso sospetto bloccato dall'MFA, il portatile perso e cancellato da remoto.
Serve a tre cose. A vedere se lo stesso problema si ripete, che è l'informazione più utile per decidere dove investire. A dimostrare, quando qualcuno lo chiede, che gli incidenti vengono gestiti con un metodo: lo chiedono la NIS2 per chi vi rientra, il GDPR per le violazioni di dati personali, e sempre più spesso i questionari delle assicurazioni. E a dare valore alle segnalazioni delle persone, perché ogni riga è la prova che segnalare è servito.
In sintesi
Il piano di risposta che funziona sta in una pagina, stampata e appesa, con una copia a casa delle persone chiave. Dice chi decide, chi esegue e chi parla con l'esterno, ognuno con un sostituto; elenca i numeri dei fornitori con orari e tempi di intervento; indica come ci si parla se la posta non è affidabile. Soprattutto, contiene le decisioni già prese: cosa il tecnico può fare alle due di notte senza svegliare nessuno. Dice dove sono le credenziali di emergenza, si prova a tavolino un'ora l'anno e rimanda a un registro in cui finiscono tutti gli incidenti, anche quelli finiti bene.
Una buona prova del fatto che la pagina regge arriva spesso da fuori, da chi deve decidere se assicurare l'azienda. Martedì prossimo chiudiamo il mese della sicurezza con il questionario della polizza cyber: dodici domande che un assicuratore considera il minimo, e che rispondendo con onestà dicono in mezz'ora dove si è scoperti.
Vuoi un piano di risposta che si usi davvero? Contattaci: in mezza giornata costruiamo con te la pagina, definiamo le decisioni pre-approvate e la proviamo a tavolino su uno scenario plausibile per la tua azienda.
Articoli collegati: Data breach: i primi 30 minuti · Il giorno del ransomware · La formazione sulla sicurezza