Ci hanno chiesto una procedura di risposta agli incidenti informatici: per una realtà come la nostra chi la scrive, da dove si parte?

I grandi gruppi ormai inseriscono queste clausole nei contratti standard per gestire il rischio fornitori. Evitate assolutamente di fare copia-incolla da internet usando termini come "team SOC" o "centro operativo di sicurezza". Se domani capita un minimo intoppo e vi chiedono "avete seguito la procedura?", non ne uscite più.

Prendete subito un foglio A4 e metteteci in cima una catena telefonica di emergenza. 1) Chi nota l'anomalia per primo a chi avvisa? 2) Chi stacca l'interruttore generale o la connessione internet? 3) Con quale template email si avverte il cliente? Mettete tutto su Word, fate firmare e siete a posto.

Sul piano tecnico il dettaglio più critico è la gestione dei log. Inserite assolutamente nella procedura dove vengono salvati i log di sistema e per quanto tempo i backup rimangono conservati in un ambiente isolato dalla rete. Se capita un incidente, il perito esterno vorrà vedere almeno lo storico delle attività degli ultimi 30 giorni.

Nella stesura farà un'ottima impressione aggiungere questa classificazione a tre livelli: 1) Livello Basso: email di phishing ricevuta da un singolo utente ed eliminata senza aprirla. 2) Livello Medio: virus sul PC di un dipendente che però non si propaga alla rete. 3) Livello Alto: accesso non autorizzato al database clienti o server completamente bloccati.

Ma il cliente vi ha chiesto solo l'esistenza del documento o esige anche allegati come il report di una simulazione fatta nell'ultimo anno o i risultati di un penetration test? Avete verificato bene tutte le clausole del capitolato?

Due anni fa quando eravamo fornitori automotive di dimensioni simili, lo chiesero anche a noi. Ci siamo messi d'impegno e abbiamo consegnato un papiro da 30 pagine stile multinazionale. Tre mesi dopo un malware è entrato nel PC di un dipendente e non abbiamo avvisato il cliente. Durante l'audit è emerso che non avevamo rispettato la procedura e ci hanno rifilato 50.000 TL di penale. Scrivete poco e chiaro, ma applicatelo alla lettera.

raga niente panico nn buttate soldi all'esterno. siete in 15, basta mettere nero su bianco chi chiama chi e specificare ke i backup sn offline ai clienti corporate basta e avanza.

Questi documenti richiesti dagli uffici acquisti aziendali mirano per lo più ai controlli base dello standard ISO 27001. Includere nel testo gli obblighi di notifica per violazione dei dati secondo la normativa KVKK e un meccanismo di approvazione della direzione vi garantirà la massima conformità anche sul piano legale.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Lascio una nota, potrebbe servire.

breve riassunto per i nuovi arrivati: Il fatto che tutti facciano una cosa non significa che sia quella giusta.

conermato dall'esperienza.

La penso diversamente. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Buon lavoro.

Sono emerse tre opinioni diverse, si completano a vicenda. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Spero che le sia utile.

Sono d'accordo. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Confermato dall'esperienza.

Questo consiglio non va bene per tutti, secondo me. Chiunque abbia fretta su procedura di risposta agli incidenti informatici si blocca nello stesso punto.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

la discussione si è dispersa la riassumo ma onestamente se cerchi di cambiare tutto insieme, niente si stabilizza.

correggetemi se sbaglio.

Esattamente così. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Se cerchi di cambiare tutto insieme niente si stabilizza.

Questo consiglio non va bene per tutti, secondo me. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Confermato dall'esperienza.

Approfondisco l'aspetto tecnico. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Se scrivete qui il risultato, sarà utile anche ad altri.