Unità di crisi cyber: chi fa cosa al tavolo delle decisioni?

L'attacco ransomware inizia spesso un venerdì alle 18:00 o nel cuore della notte. In meno di due ore i server cadono, i backup risultano cifrati e gli avvisi del SOC lampeggiano in rosso scarlatto. Molto rapidamente si innesca un fenomeno distruttivo: il panico manageriale. L'amministratore delegato o il CFO irrompono nell'ufficio del CISO per chiedere ogni dieci minuti quando ripartirà l'attività, mentre gli ingegneri di rete tentano disperatamente di isolare i sistemi compromessi senza cancellare le prove dell'intrusione.

Questa interferenza continua rappresenta il peggior nemico del contenimento e del ripristino. Senza una governance millimetrica, l'energia collettiva si disperde in riunioni inconcludenti, si susseguono ordini contraddittori e le decisioni critiche arrivano troppo tardi. Strutturare un'unità di crisi cyber efficace non significa stipare venti persone nella stessa stanza, ma creare una paratia stagna tra la strategia aziendale e l'indagine tecnica.

Come suddividere i ruoli tra unità strategica e unità operativa?#

In sintesi: L'unità strategica (vertici aziendali, legale, comunicazione) assume le decisioni di business, convalida gli arbitraggi economici e tutela la reputazione, mentre l'unità operativa (SOC, IT, esperti di incident response) isola la minaccia e ripristina i sistemi senza subire continue interruzioni dal management.

Per superare un cyberattacco su vasta scala, l'organizzazione deve separare fisicamente e logicamente due entità distinte che comunicano seguendo un protocollo rigoroso.

L'unità operativa: isolare, analizzare e ricostruire

Posta sotto la guida del CISO o del CIO, l'unità operativa riunisce i team infrastrutturali, gli analisti di sicurezza, i team di risposta agli incidenti (CSIRT / CERT) e i fornitori delle soluzioni di backup. La sua missione è puramente tecnica:

• Identificazione del vettore di ingresso: comprendere come gli attaccanti siano penetrati nella rete (phishing, vulnerabilità VPN, credenziali compromesse).
• Contenimento: interrompere i flussi di rete anomali, revocare gli accessi e isolare gli host compromessi senza alterare i dati volatili presenti nella RAM.
• Bonifica e ripristino: ricostruire un ambiente sicuro partendo da copie di backup verificate e prive di contaminazioni.

Questi specialisti necessitano della massima concentrazione. Se la direzione generale interviene continuamente, il rischio di commettere errori operativi irreversibili si moltiplica.

L'unità strategica: decidere, comunicare e arbitrare

Composta dall'Amministratore Delegato, dal CFO, dal Direttore Legale / DPO, dalle Risorse Umane e dal Direttore della Comunicazione, questo tavolo valuta gli impatti sistemici sull'organizzazione:

• Continuità operativa: passaggio alle procedure manuali o in modalità degradata, definizione delle priorità per i processi vitali (gestione paghe, produzione industriale, spedizioni ai clienti).
• Conformità normativa e legale: notifica obbligatoria di data breach al Garante per la protezione dei dati personali entro 72 ore (GDPR), notifiche alle autorità competenti in ottica NIS 2 e deposito della denuncia formale presso la Polizia Postale.
• Comunicazione di crisi: stesura dei comunicati ufficiali, gestione delle relazioni con i media e direttive interne per il personale al fine di prevenire la diffusione di notizie riservate sui canali social.
• Relazione con i criminali informatici: valutazione sull'opportunità di dialogare temporaneamente per guadagnare tempo utile, tenendo conto delle indicazioni istituzionali dell'ACN (Agenzia per la Cybersicurezza Nazionale) che sconsigliano fermamente qualsiasi pagamento di riscatto.

Qual è il ruolo cruciale del coordinatore e del registro degli eventi?#

In sintesi: Il coordinatore di crisi fa da tramite tra l'area tecnica e la direzione per scandire i flussi informativi, mentre il verbalizzatore registra ogni evento, azione e decisione in un registro cronologico protetto, fondamentale per la rendicontazione post-incidente e le tutele legali.

L'interazione tra i vertici esecutivi e i tecnici poggia su due figure spesso trascurate: il facilitatore di crisi e il verbalizzatore.

• Il facilitatore di crisi (o crisis manager): questa figura non lavora direttamente sulla configurazione dei sistemi. Traduce il gergo specialistico in rischi operativi e finanziari comprensibili per il vertice aziendale e trasmette le priorità di business ai tecnici sotto forma di obiettivi chiari.
• Il verbalizzatore e il registro degli eventi (main courante): nel pieno della tempesta, nessuno ricorderà con precisione chi abbia ordinato lo spegnimento di uno storage alle 03:14. Il verbalizzatore annota metodicamente ogni dettaglio: orario esatto, evidenza riscontrata, decisione adottata, responsabile decisionale e stato dell'azione. Questo documento cronologico sarà indispensabile per le perizie assicurative, le indagini giudiziarie e le verifiche di conformità normativa (DORA, ISO 27001).

Per preservare l'integrità del registro di crisi, è imperativo ricorrere a un canale di comunicazione out-of-band (fuori banda). Nel caso in cui la posta elettronica o i server di file interni risultino inaccessibili, i registri e i documenti di emergenza devono risiedere su un'infrastruttura separata e protetta.

Come cadenzare gli allineamenti per preservare la lucidità dei team?#

Per evitare riunioni caotiche e continue dispersioni, la gestione dell'emergenza deve seguire una precisa disciplina temporale:

• L'allineamento periodico (ogni 2 o 4 ore in base alla gravità): un incontro rigoroso di massimo 15 minuti. Il CISO o il coordinatore espone il quadro: nuovi elementi rilevati, azioni completate, criticità aperte e decisioni necessarie da parte della direzione per le due ore successive.
• Silenzio operativo protetto tra gli allineamenti: al di fuori di questo appuntamento programmato, vige il divieto per la direzione di interpellare singolarmente i tecnici, salvo emergenze straordinarie filtrate dal facilitatore.
• Rotazione dei turni di guardia: un grave incidente informatico può protrarsi per giorni o settimane. È vitale pianificare avvicendamenti su turni di 8 o 12 ore. Professionisti esausti finiscono per compiere sviste critiche, come ricollegare prematuramente alla rete aziendale un server non ancora bonificato.

ESPERIENZA OPERATIVA BRAIN SECURITY · Cybersecurity is not a game

Perché testare la propria unità di crisi prima dell'attacco reale?#

Rilevare le lacune del proprio piano di gestione durante un attacco effettivo comporta danni economici e reputazionali incalcolabili. Solo una simulazione immersiva mette il comitato di direzione nelle condizioni di misurarsi con l'incertezza, la pressione informativa e scelte operative complesse.

Per preparare le persone senza costringerle a consultare manuali teorici astratti, Brain Security propone simulazioni pratiche e verticali. Con Cybersecurity is not a game, il nostro simulatore di gestione di crisi su misura CINAG immerge il CdA e i responsabili tecnici in uno scenario realistico calibrato sul vostro settore: esfiltrazione di archivi sensibili, tentativi di estorsione, blocco totale delle reti. Questa esercitazione sul campo consente di validare la fluidità dei passaggi decisionali, collaudare il registro degli eventi e consolidare gli automatismi operativi prima che si verifichi un'intrusione autentica.

Desideri misurare la preparazione della tua governance contro i rischi informatici e organizzare una simulazione dedicata al comitato esecutivo? Esponici le tue necessità per allestire un'unità di crisi resiliente e pronta a intervenire.

Per approfondire: articoli correlati e soluzioni Brain Security#

Articoli complementari su questo tema

• Classificazione delle informazioni: come proteggere i dati sensibili in azienda (Crisi Cyber e Ransomware) : Scopri come attuare la classificazione dei dati e la sensibilizzazione dei dipendenti con riferimenti pratici operativi, senza matrici complesse.
• Simulazione di crisi cyber: come preparare il team al peggio (Crisi Cyber e Ransomware) : Scopri come una simulazione di crisi cyber basata su serious game prepara il comitato di direzione ad affrontare un ransomware. Prova subito.
• Golden Hour Ransomware: I Primi 60 Minuti per Salvare il Sistema Informativo (Crisi Cyber e Ransomware) : Scopri le azioni critiche durante la prima ora di un attacco ransomware: isolare gli host senza spegnerli, comunicare out-of-band e attivare la crisi.
• NIS 2 e responsabilità degli organi direttivi: come formare il CDA in 45 minuti (Conformità (NIS 2, DORA, ISO)) : Scopri come attuare la formazione cyber per dirigenti richiesta da NIS 2 in 45 minuti grazie a simulazioni di crisi interattive e casi pratici.

Scoprire le soluzioni Brain Security sul sito

• Soluzione associata : Cybersecurity is not a game : Il gioco narrativo che insegna la cybersicurezza giocando: dieci capitoli, una mappa di livelli, senza installare nulla.
• Consultare i casi d’uso per obiettivo e settore
• Confrontare i nostri formati di sensibilizzazione cyber e IA
• Esplorare l’intero catalogo interattivo di Brain Security
• Parlare delle vostre esigenze con il nostro team (demo e attivazione)