Piano di risposta agli incidenti informatici: modello pratico per una PMI

Un piano di risposta agli incidenti è un documento breve che dice, prima che accada qualcosa, chi fa che cosa, in quale ordine e chi chiamare quando l'azienda subisce un attacco informatico o una perdita di dati. Non serve un manuale di cento pagine: per una PMI bastano poche pagine con ruoli, un elenco di contatti, uno schema delle prime ore e un modello per comunicazioni e notifiche. Il valore sta nell'averlo provato almeno una volta, perché durante un incidente le decisioni si prendono sotto stress e con informazioni incomplete.

Che cosa si intende per incidente

Un incidente è un evento che compromette la sicurezza di dati o sistemi: ransomware, accesso non autorizzato alla posta, furto di un portatile, invio di dati al destinatario sbagliato, fermo causato da malware, truffa che induce a pagare un falso fornitore. Non ogni incidente è una violazione di dati personali né un incidente "significativo" ai sensi della NIS2: il piano deve aiutare a classificare l'evento e a capire quali obblighi scattano.

I ruoli minimi

Anche in un'azienda di dieci persone conviene assegnare per nome, con un sostituto:

Le sei fasi della risposta

1. Preparazione: inventario dei sistemi, backup provati, contatti, strumenti di registrazione degli eventi.
2. Rilevamento e segnalazione: come i dipendenti segnalano qualcosa di sospetto (un indirizzo email o un numero unico), senza paura di punizioni.
3. Contenimento: fermare la diffusione. Per esempio scollegare dalla rete (non spegnere, se si vogliono conservare prove nella memoria) i computer infetti, disattivare account compromessi, bloccare accessi remoti.
4. Eradicazione: eliminare la causa (malware, account, vulnerabilità sfruttata).
5. Ripristino: riportare i sistemi in produzione da backup affidabili, con controllo che non siano compromessi.
6. Lezioni apprese: riunione entro pochi giorni, correzioni, aggiornamento del piano e del registro.

Le prime due ore: una sequenza pratica

1. Annota ora e modalità della scoperta: sarà utile per i termini di notifica.
2. Avvisa il responsabile della risposta e il referente tecnico.
3. Isola i dispositivi coinvolti dalla rete; non cancellare nulla e non reinstallare subito.
4. Cambia le password degli account sospetti da un dispositivo pulito e revoca le sessioni attive.
5. Verifica lo stato dei backup: sono integri e isolati?
6. Se sono coinvolti dati personali, avvia la valutazione del rischio: il termine di 72 ore per il Garante decorre dalla conoscenza (vedi la guida sulla notifica al Garante).
7. Valuta il coinvolgimento di specialisti esterni di risposta agli incidenti e l'avviso alla compagnia di assicurazione, se hai una polizza cyber, nei termini previsti dal contratto.

L'elenco contatti da stampare

Il piano deve contenere numeri e indirizzi raggiungibili anche se la rete e la posta sono fuori uso. Stampa o conserva offline:

• referenti interni e sostituti, con cellulare;
• fornitore IT e assistenza dei principali servizi (cloud, firewall, backup);
• assicuratore o broker, con numero per la denuncia del sinistro;
• consulente privacy o DPO, studio legale;
• Polizia Postale e delle comunicazioni (per la denuncia), CSIRT Italia, Garante;
• banca, per bloccare pagamenti in caso di truffe.

Obblighi di notifica da collegare al piano

• GDPR: notifica al Garante entro 72 ore se la violazione comporta rischio per le persone; comunicazione agli interessati se il rischio è elevato.
• NIS2 (per i soggetti coinvolti): preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, secondo le modalità dell'ACN. Vedi NIS2 per le PMI.
• Assicurazione: avviso nei termini della polizza.
• Contratti con clienti: molti prevedono obblighi di comunicazione tempestiva di incidenti.
• Denuncia: ricorrono reati come accesso abusivo a sistema informatico (articolo 615-ter c.p.), frode informatica (640-ter) ed estorsione (629); la denuncia o querela può essere presentata alle forze dell'ordine, in particolare alla Polizia Postale.

Comunicazione interna ed esterna

Prepara messaggi base da adattare: avviso ai dipendenti (cosa fare e cosa non fare, come lavorare nel frattempo), comunicazione ai clienti (fatti noti, misure, contatto), eventuale dichiarazione pubblica. Regole: dire ciò che si sa e ciò che non si sa, evitare speculazioni, aggiornare con regolarità, usare un solo portavoce. Se la posta è compromessa, usa un canale alternativo per comunicare, perché l'attaccante potrebbe leggere i messaggi.

Simulare per imparare

Una volta all'anno fai un esercizio a tavolino di due ore: scenario ipotetico (ransomware il venerdì sera, email compromessa del direttore amministrativo), ognuno dice cosa farebbe, si cronometra, si annotano le lacune. Spesso emergono problemi concreti: numeri non aggiornati, nessuno che sappia dove sono i backup, password dell'amministratore conservata solo nel sistema bloccato.

Errori frequenti

• Un piano scritto da consulenti e mai letto da chi dovrà usarlo.
• Contatti solo digitali, inaccessibili durante il fermo.
• Nessun sostituto per i ruoli chiave.
• Nessuna decisione preventiva su chi può staccare i sistemi dalla rete.
• Dimenticare i fornitori: sono parte della risposta e spesso hanno obblighi contrattuali di assistenza.

Domande frequenti

Quanto deve essere lungo il piano?

Poche pagine bastano per una PMI: ruoli, contatti, sequenza delle prime ore, modelli di comunicazione e notifica. Meglio breve e provato che lungo e ignorato.

Chi deve chiamare per primo un'azienda attaccata?

Il referente tecnico o il fornitore IT per il contenimento; poi, secondo i casi, il consulente privacy, l'assicuratore e un legale. Se hai un contratto di assistenza per incidenti, attivalo subito.

Conviene denunciare?

Spesso sì, anche per le indagini e per documentare i fatti. Valuta con un legale: alcune polizze e alcune procedure richiedono la denuncia.

Serve un team interno?

Non necessariamente. Possono bastare ruoli assegnati e un contratto con uno specialista esterno raggiungibile.

Fonti ufficiali

• CSIRT Italia — segnalazione degli incidenti e avvisi di sicurezza.
• Agenzia per la Cybersicurezza Nazionale — indicazioni sulla gestione degli incidenti.
• Polizia Postale e delle Comunicazioni - Commissariato di PS online — segnalazioni e denunce di reati informatici.
• Garante per la protezione dei dati personali — notifica delle violazioni.