--- id: "cybersecurite-018" title: "Unità di crisi cyber: chi fa cosa al tavolo delle decisioni?" description: "Come organizzare l'unità di crisi cyber tra CdA e team IT? Scopri ruoli, registro degli eventi e ritmi decisionali per gestire l'emergenza." canonical: https://startbrain.io/it/sicurezza-informatica/unita-crisi-cyber-ruoli-decisioni-registro/ slug: "unita-crisi-cyber-ruoli-decisioni-registro" date: "2026-09-03" category: "cybersecurite" product: "cinag" lang: it author: "Brain Security · R&S Cyber e Fattore Umano" frameworks: "ACN · NIS 2 · DORA · GDPR · ISO 27001" --- # Unità di crisi cyber: chi fa cosa al tavolo delle decisioni? (Ruoli, decisioni e registro degli eventi) L'attacco ransomware inizia spesso un venerdì alle 18:00 o nel cuore della notte. In meno di due ore i server cadono, i backup risultano cifrati e gli avvisi del SOC lampeggiano in rosso scarlatto. Molto rapidamente si innesca un fenomeno distruttivo: il panico manageriale. L'amministratore delegato o il CFO irrompono nell'ufficio del CISO per chiedere ogni dieci minuti quando ripartirà l'attività, mentre gli ingegneri di rete tentano disperatamente di isolare i sistemi compromessi senza cancellare le prove dell'intrusione. Questa interferenza continua rappresenta il peggior nemico del contenimento e del ripristino. Senza una governance millimetrica, l'energia collettiva si disperde in riunioni inconcludenti, si susseguono ordini contraddittori e le decisioni critiche arrivano troppo tardi. Strutturare un'unità di crisi cyber efficace non significa stipare venti persone nella stessa stanza, ma creare una paratia stagna tra la strategia aziendale e l'indagine tecnica. --- ## Come suddividere i ruoli tra unità strategica e unità operativa? > **In sintesi: L'unità strategica (vertici aziendali, legale, comunicazione) assume le decisioni di business, convalida gli arbitraggi economici e tutela la reputazione, mentre l'unità operativa (SOC, IT, esperti di incident response) isola la minaccia e ripristina i sistemi senza subire continue interruzioni dal management.** Per superare un cyberattacco su vasta scala, l'organizzazione deve separare fisicamente e logicamente due entità distinte che comunicano seguendo un protocollo rigoroso. ### L'unità operativa: isolare, analizzare e ricostruire Posta sotto la guida del CISO o del CIO, l'unità operativa riunisce i team infrastrutturali, gli analisti di sicurezza, i team di risposta agli incidenti (CSIRT / CERT) e i fornitori delle soluzioni di backup. La sua missione è puramente tecnica: - **Identificazione del vettore di ingresso:** comprendere come gli attaccanti siano penetrati nella rete (phishing, vulnerabilità VPN, credenziali compromesse). - **Contenimento:** interrompere i flussi di rete anomali, revocare gli accessi e isolare gli host compromessi senza alterare i dati volatili presenti nella RAM. - **Bonifica e ripristino:** ricostruire un ambiente sicuro partendo da copie di backup verificate e prive di contaminazioni. Questi specialisti necessitano della massima concentrazione. Se la direzione generale interviene continuamente, il rischio di commettere errori operativi irreversibili si moltiplica. ### L'unità strategica: decidere, comunicare e arbitrare Composta dall'Amministratore Delegato, dal CFO, dal Direttore Legale / DPO, dalle Risorse Umane e dal Direttore della Comunicazione, questo tavolo valuta gli impatti sistemici sull'organizzazione: - **Continuità operativa:** passaggio alle procedure manuali o in modalità degradata, definizione delle priorità per i processi vitali (gestione paghe, produzione industriale, spedizioni ai clienti). - **Conformità normativa e legale:** notifica obbligatoria di data breach al Garante per la protezione dei dati personali entro 72 ore (GDPR), notifiche alle autorità competenti in ottica NIS 2 e deposito della denuncia formale presso la Polizia Postale. - **Comunicazione di crisi:** stesura dei comunicati ufficiali, gestione delle relazioni con i media e direttive interne per il personale al fine di prevenire la diffusione di notizie riservate sui canali social. - **Relazione con i criminali informatici:** valutazione sull'opportunità di dialogare temporaneamente per guadagnare tempo utile, tenendo conto delle indicazioni istituzionali dell'ACN (Agenzia per la Cybersicurezza Nazionale) che sconsigliano fermamente qualsiasi pagamento di riscatto. --- ## Qual è il ruolo cruciale del coordinatore e del registro degli eventi? > **In sintesi: Il coordinatore di crisi fa da tramite tra l'area tecnica e la direzione per scandire i flussi informativi, mentre il verbalizzatore registra ogni evento, azione e decisione in un registro cronologico protetto, fondamentale per la rendicontazione post-incidente e le tutele legali.** L'interazione tra i vertici esecutivi e i tecnici poggia su due figure spesso trascurate: il facilitatore di crisi e il verbalizzatore. - **Il facilitatore di crisi (o crisis manager):** questa figura non lavora direttamente sulla configurazione dei sistemi. Traduce il gergo specialistico in rischi operativi e finanziari comprensibili per il vertice aziendale e trasmette le priorità di business ai tecnici sotto forma di obiettivi chiari. - **Il verbalizzatore e il registro degli eventi (main courante):** nel pieno della tempesta, nessuno ricorderà con precisione chi abbia ordinato lo spegnimento di uno storage alle 03:14. Il verbalizzatore annota metodicamente ogni dettaglio: orario esatto, evidenza riscontrata, decisione adottata, responsabile decisionale e stato dell'azione. Questo documento cronologico sarà indispensabile per le perizie assicurative, le indagini giudiziarie e le verifiche di conformità normativa (DORA, ISO 27001). Per preservare l'integrità del registro di crisi, è imperativo ricorrere a un canale di comunicazione out-of-band (fuori banda). Nel caso in cui la posta elettronica o i server di file interni risultino inaccessibili, i registri e i documenti di emergenza devono risiedere su un'infrastruttura separata e protetta. --- ## Come cadenzare gli allineamenti per preservare la lucidità dei team? Per evitare riunioni caotiche e continue dispersioni, la gestione dell'emergenza deve seguire una precisa disciplina temporale: - **L'allineamento periodico (ogni 2 o 4 ore in base alla gravità):** un incontro rigoroso di massimo 15 minuti. Il CISO o il coordinatore espone il quadro: nuovi elementi rilevati, azioni completate, criticità aperte e decisioni necessarie da parte della direzione per le due ore successive. - **Silenzio operativo protetto tra gli allineamenti:** al di fuori di questo appuntamento programmato, vige il divieto per la direzione di interpellare singolarmente i tecnici, salvo emergenze straordinarie filtrate dal facilitatore. - **Rotazione dei turni di guardia:** un grave incidente informatico può protrarsi per giorni o settimane. È vitale pianificare avvicendamenti su turni di 8 o 12 ore. Professionisti esausti finiscono per compiere sviste critiche, come ricollegare prematuramente alla rete aziendale un server non ancora bonificato. --- ## Perché testare la propria unità di crisi prima dell'attacco reale? Rilevare le lacune del proprio piano di gestione durante un attacco effettivo comporta danni economici e reputazionali incalcolabili. Solo una simulazione immersiva mette il comitato di direzione nelle condizioni di misurarsi con l'incertezza, la pressione informativa e scelte operative complesse. Per preparare le persone senza costringerle a consultare manuali teorici astratti, Brain Security propone simulazioni pratiche e verticali. Con [Cybersecurity is not a game](/it/catalogo/cybersecurity-is-not-a-game/), il nostro simulatore di gestione di crisi su misura CINAG immerge il CdA e i responsabili tecnici in uno scenario realistico calibrato sul vostro settore: esfiltrazione di archivi sensibili, tentativi di estorsione, blocco totale delle reti. Questa esercitazione sul campo consente di validare la fluidità dei passaggi decisionali, collaudare il registro degli eventi e consolidare gli automatismi operativi prima che si verifichi un'intrusione autentica. Desideri misurare la preparazione della tua governance contro i rischi informatici e organizzare una simulazione dedicata al comitato esecutivo? [Esponici le tue necessità](/it/appuntamento/) per allestire un'unità di crisi resiliente e pronta a intervenire. ### CISO Monitoring Scorecard: Unità di crisi cyber: chi fa cosa al tavolo delle decisioni? | Key Lever / Metric | Target Operational Outcome | Guide Section | Cadence | | --- | --- | --- | --- | | **Identificazione del vettore di ingresso** | comprendere come gli attaccanti siano penetrati nella rete (phishing, vulnerabilità VPN, credenziali compromesse). | Come suddividere i ruoli tra unità strategica e unità operativa? | Monthly | | **Il facilitatore di crisi (o crisis manager)** | questa figura non lavora direttamente sulla configurazione dei sistemi. Traduce il gergo specialistico in rischi operativi e finanziari comprensibili… | Qual è il ruolo cruciale del coordinatore e del registro degli… | Continuous | | **L'allineamento periodico (ogni 2 o 4 ore in base…** | un incontro rigoroso di massimo 15 minuti. Il CISO o il coordinatore espone il quadro: nuovi elementi rilevati, azioni completate, criticità aperte e… | Come cadenzare gli allineamenti per preservare la lucidità dei… | Quarterly | | **Contenimento** | interrompere i flussi di rete anomali, revocare gli accessi e isolare gli host compromessi senza alterare i dati volatili presenti nella RAM. | Come suddividere i ruoli tra unità strategica e unità operativa? | Per Campaign | --- ## Per approfondire: articoli correlati e soluzioni Brain Security ### Articoli complementari su questo tema - **[Classificazione delle informazioni: come proteggere i dati sensibili in azienda](/it/sicurezza-informatica/classificazione-informazioni-protezione-dati-sensibili/)** (Crisi Cyber e Ransomware) : Scopri come attuare la classificazione dei dati e la sensibilizzazione dei dipendenti con riferimenti pratici operativi, senza matrici complesse. - **[Simulazione di crisi cyber: come preparare il team al peggio](/it/sicurezza-informatica/simulazione-crisi-cyber-preparare-team/)** (Crisi Cyber e Ransomware) : Scopri come una simulazione di crisi cyber basata su serious game prepara il comitato di direzione ad affrontare un ransomware. Prova subito. - **[Golden Hour Ransomware: I Primi 60 Minuti per Salvare il Sistema Informativo](/it/sicurezza-informatica/golden-hour-ransomware-primi-60-minuti/)** (Crisi Cyber e Ransomware) : Scopri le azioni critiche durante la prima ora di un attacco ransomware: isolare gli host senza spegnerli, comunicare out-of-band e attivare la crisi. - **[NIS 2 e responsabilità degli organi direttivi: come formare il CDA in 45 minuti](/it/sicurezza-informatica/formazione-cybersecurity-dirigenti-cda-nis-2/)** (Conformità (NIS 2, DORA, ISO)) : Scopri come attuare la formazione cyber per dirigenti richiesta da NIS 2 in 45 minuti grazie a simulazioni di crisi interattive e casi pratici. ### Scoprire le soluzioni Brain Security sul sito - **Soluzione associata : [Cybersecurity is not a game](/it/catalogo/cybersecurity-is-not-a-game/)** : Il gioco narrativo che insegna la cybersicurezza giocando: dieci capitoli, una mappa di livelli, senza installare nulla. - **[Consultare i casi d’uso per obiettivo e settore](/it/casi-duso/)** - **[Confrontare i nostri formati di sensibilizzazione cyber e IA](/it/confronto/)** - **[Esplorare l’intero catalogo interattivo di Brain Security](/it/catalogo/)** - **[Parlare delle vostre esigenze con il nostro team (demo e attivazione)](/it/appuntamento/)** --- - https://startbrain.io/it/sicurezza-informatica/unita-crisi-cyber-ruoli-decisioni-registro/ - [Français](https://startbrain.io/fr/cybersecurite/organisation-cellule-crise-cyber-roles-check-list/) - [Deutsch](https://startbrain.io/de/cybersecurity/cyber-krisenstab-rollen-entscheidungen-protokoll/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/cyber-crisis-management-team-roles-governance/) - [English (US)](https://startbrain.io/en-us/cybersecurity/cyber-crisis-war-room-roles-governance/) - [Español](https://startbrain.io/es/cyberseguridad/comite-crisis-ciberseguridad-roles-decisiones-bitacora/) - [Nederlands](https://startbrain.io/nl/cybersecurity/cybercrisisteam-rollen-besluitvorming-logboek/) - [Português](https://startbrain.io/pt/ciberseguranca/gabinete-crise-cibernetica-papeis-decisoes-registo/) - [日本語](https://startbrain.io/ja/cybersecurity/cyber-crisis-management-ciso-incident-response-japan/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/sztab-kryzysowy-cyberbezpieczenstwo-role-zarzad-it/) - [Svenska](https://startbrain.io/sv/cybersakerhet/cyberkrisledning-roller-incidenthantering-ledningsgrupp/) - [Dansk](https://startbrain.io/da/cybersikkerhed/cyberkriseberedskab-roller-krisestyring-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/kyberkriisiryhma-roolit-johtaminen-tilannekuva-lokikirja/) - [Norsk](https://startbrain.io/no/cybersikkerhet/beredskapsledelse-krisehandtering-cyberangrep-roller-loggforing/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/cyber-crisis-management-incident-command-roles/) - [llms.txt](https://startbrain.io/llms.txt)