Devo creare un team di risposta agli incidenti o basta una lista di numeri di telefono?

Appendere la lista in bacheca non basta, ma nemmeno serve un manuale da cinquanta pagine. Stampate un foglio plastificato di una sola pagina: 1) Stacca il cavo di rete, non spegnere il computer (per non cancellare le prove). 2) Avvisa Ahmet. 3) Chiama il tecnico IT esterno. 4) Non inserire password su nessuna schermata sospetta. In un ufficio di cinque persone, ciò che salva la pelle sono solo i riflessi dei primi cinque minuti.

L'anno scorso è successa una cosa simile nella nostra azienda di logistica di sette persone. Non avevamo una procedura, lo specialista di pronto intervento chiamato da fuori ci ha fatturato 180 EUR all'ora e in totale abbiamo speso 2.200 EUR. Se fin dall'inizio avessimo fatto un contratto di retainer a 120 EUR al mese, quel giorno il sistema sarebbe rimasto giù solo un'ora invece di sei, e avremmo pure dimezzato i costi.

Durante un attacco, far spegnere o staccare la spina del computer ai dipendenti è l'errore più grave dal punto di vista forense. Quando il dispositivo si spegne, le tracce dell'attaccante nella memoria (RAM) e le chiavi di cifratura svaniscono. Nel definire i ruoli del team, insegnate al personale tecnico a isolare la rete (disattivare il Wi-Fi, staccare il cavo ethernet), ma stabilite come regola assoluta di lasciare acceso il computer.

Mettersi a creare un comitato in un ufficio di cinque persone mi fa ridere. Sono già tutti seduti uno accanto all'altro. Siamo realisti: nessuno all'interno può improvvisarsi esperto di sicurezza. L'importante è sapere chi chiamare all'esterno e testare regolarmente che i backup siano davvero isolati. I titoli e i ruoli nel team sono solo carta sprecata.

È successo a noi a Torino nella nostra agenzia di tre soci. Una mattina è comparsa una richiesta di riscatto sul PC della contabilità. Nessuno ha avuto il coraggio di chiamare il capo lo stagista ha installato un programma di pulizia trovato su Google e ha cancellato tutti i log. Alla fine abbiamo rischiato migliaia di euro di sanzione amministrativa per aver notificato in ritardo il Garante privacy. Tutto questo solo perché non c'era una gerarchia decisionale chiara.

noi siamo in tre abbiamo fatto un gruppo whatsapp se succede qualcosa scriviamo subito lì c'è dentro pure il tecnico della ditta esterna ma cioè finora con due mail sospette abbiamo risolto al volo senza stare a cercare liste o robe varie.

In caso di data breach, cosa prevedono i contratti con i vostri clienti? Secondo la normativa italiana avete 72 ore per la notifica. Nella vostra azienda, chi ha legalmente il potere di rilasciare la dichiarazione ufficiale ai clienti e alle autorità entro queste 72 ore? Più che alla parte tecnica, avete pensato a chi ha questo potere di firma quando organizzate il team?

Riassumendo quanto detto, per un'azienda di cinque persone la formula è semplice: individuare un unico referente decisionale interno, formare il personale a staccare solo la connessione senza spegnere le macchine e stipulare un contratto IT esterno con intervento garantito. Non serve né un comitato burocratico né una rubrica telefonica passiva.

Preso nota, grazie.

Salvato.

Secondo voi funziona a tutte le scale? Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Non lo sapevo.

Ho vissuto la stessa cosa.

Riassumo l'argomento perché sono state date diverse risposte. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Buon lavoro.

Stavo pensando la stessa cosa. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Confermato dall'esperienza.

Raro trovare articoli che spiegano le cose così chiaramente. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

La risposta varia molto in base al settore, non esiste una regola generale. Lascio una nota, potrebbe servire.

sono d'accordo e onestamente le decisioni affrettate diventnao decisioni da correggere sei mesi dopo.

un report di scansione automatica e un penetration test non sono la stessa cosa.

Grazie per averlo scritto, è proprio così. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Sono curioso di sapere se qualcuno lo fa in modo diverso.