Un piano di gestione degli incidenti e una scheda di gestione degli incidenti

Modulo 8: Quando qualcosa va storto · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di creare una scheda di gestione degli incidenti e un semplice piano di gestione degli incidenti che funzionino anche se i Suoi computer, la Sua e-mail e il Suo elenco contatti non sono più raggiungibili.

Concetti chiave: incidente, scheda di gestione degli incidenti, piano di gestione degli incidenti, ruoli, elenco contatti, contenimento, conservazione delle prove, comunicazione, conservazione offline, esercitazione (tabletop)

Perché organizzarsi ora, e non quando la casa brucia

Immagini: è lunedì mattina, le 07:45. Sul pc della cassa della Panetteria Example compare una schermata rossa con il testo che tutti i file sono stati criptati. La cartella condivisa con gli ordini non si apre. Qualcuno dice: "Chiami il tecnico informatico." Ma il suo numero è nei contatti della casella di posta, e la casella di posta è sullo stesso pc. Un altro vuole spegnere subito il pc. Un terzo inizia a collegare il disco di backup per "ripristinare tutto".

Tutte e tre le reazioni sono comprensibili, e due di esse peggiorano la situazione. Succede quasi sempre così: sotto pressione le persone fanno la prima cosa che gli viene in mente. Un incidente è qualsiasi evento che minaccia la disponibilità, l'affidabilità o la riservatezza dei Suoi dati o sistemi: un account e-mail compromesso, un ransomware, un laptop smarrito, un'e-mail con dati di clienti inviata alla persona sbagliata, un sito web rubato.

Lo scopo di un piano non è che tutto vada bene. Lo scopo è che nella prima ora non commetta errori irrimediabili, e che sappia chi chiamare.

Scheda e piano di gestione degli incidenti: la differenza

Per un'azienda di due o venti persone, la scheda è la cosa più importante. Il piano può essere breve. L'ACN mette a disposizione risorse e linee guida per la gestione degli incidenti informatici (vedi Per saperne di più); può usarle come punto di partenza e accorciarle.

Cosa riporta la scheda di gestione degli incidenti

Una buona scheda risponde a cinque domande. Di seguito un modello che può riprendere.

SCHEDA DI GESTIONE DEGLI INCIDENTI  Panetteria Example       versione: 1   data: ..-..-....

1. HA NOTATO QUALCOSA DI STRANO?  (schermata rossa, e-mail strana inviata, accesso non riuscito,
   pagamento sconosciuto, laptop smarrito, dati inviati al destinatario sbagliato)
   -> Lo segnali SUBITO a: ............................  tel: ...............
      Riserva: ..........................................  tel: ...............
   Segnalare è sempre giusto. Nessuno viene incolpato.

2. PRIMI PASSI (non tenti di riparare da solo)
   [ ] Staccare il cavo di rete / disattivare il wifi / modalità aereo. NON spegnere.
   [ ] Scollegare chiavette USB e dischi di backup. NON collegarli.
   [ ] Fare una foto dello schermo (con il telefono).
   [ ] Annotare: ora, cosa ha visto, cosa ha fatto.
   [ ] Non pagare, non rispondere all'estorsore.

3. CHI CHIAMIAMO?
   Assistenza IT / amministratore   ............................  tel: ...............
   Hosting / e-mail                 ............................  tel: ...............
   Banca (frode, 24/7)              ............................  tel: ...............
   Assicuratore (cyber)             ............................  polizza: .............
   Polizia (denuncia)               Polizia Postale: https://www.commissariatodips.it/
   Garante privacy, notifica data breach   https://www.garanteprivacy.it/ (entro 72 ore)
   Cliente/fornitore importante: ...................  tel: ...............

4. CHI DECIDE E CHI PARLA?
   Decide (spegnere, ripristinare, notificare, pagare): ..........................
   Parla con clienti, stampa, personale: ........................................
   Tiene il registro: .....................................................

5. DOVE SI TROVA COSA?
   Backup: .............................. (ultimo test: ..-..-....)
   Accesso di emergenza al gestore di password: ...........................................
   Elenco di sistemi e account: ..........................................
   Questo piano (digitale) + copia fuori dall'azienda: ..............................

Alcune scelte di questo modello meritano una spiegazione.

• "Non spegnere, ma scollegare." In caso di ransomware, le linee guida dell'ACN raccomandano di scollegare immediatamente dalla rete il dispositivo colpito (cavo, wifi, rete mobile), ma di non spegnerlo; la modalità sospensione è consentita. Nella memoria di lavoro restano tracce che un investigatore può avere bisogno di esaminare, e talvolta anche chiavi. Scollegare blocca la diffusione verso altri dispositivi e verso il disco di rete.
• "Non collegare i dischi di backup." Un disco collegato a un pc infetto viene anch'esso criptato. Prima deve essere accertato che l'ambiente sia pulito (lezione 8.3).
• "Segnalare è sempre giusto." Il dipendente che per primo nota qualcosa è la Sua migliore difesa. Se ha paura di un rimprovero, aspetta e Lei perde ore preziose. Veda anche la lezione 9.2.
• Numeri su carta. Proprio in caso di un grande incidente, la Sua posta elettronica, il Suo calendario condiviso e talvolta anche il Suo centralino telefonico potrebbero non funzionare. Una scheda che si trova solo nel cloud, in quel caso, è irraggiungibile.

Per le denunce senza urgenza, può contattare la Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/) per fissare un appuntamento. In caso di pericolo immediato chiami il 112, ma un attacco informatico generalmente non è un caso per il 112.

Ruoli: chi fa cosa

In una piccola azienda spesso una sola persona fa tutto. Concordi comunque tre ruoli, anche se due hanno lo stesso nome:

1. Il decisore. Decide su spegnimento, ripristino, notifica al Garante, contatto con la banca, e se chiamare uno specialista esterno. Preferibilmente il titolare o il direttore, con un sostituto fisso.
2. La linea tecnica. Il Suo fornitore IT, il webmaster o il collega esperto. Fa ciò che il decisore chiede e fornisce consulenza. Concordi in anticipo se il Suo fornitore IT aiuta anche in caso di incidente, con quale rapidità, e a quale costo; è una domanda per la lezione 7.2.
3. Il comunicatore. Parla con clienti, personale ed eventualmente la stampa, in modo che venga diffusa un'unica versione dei fatti. In caso di data breach, questo comprende anche l'informazione agli interessati (lezione 8.2).

Designi anche qualcuno che tenga un registro: ora, cosa è successo, chi ha deciso cosa. Può sembrare burocratico, ma Le servirà per la notifica al Garante (che chiede quando ha scoperto la violazione e cosa ha fatto), per l'assicuratore, per la denuncia e per la valutazione successiva.

Il piano: poche regole per ogni tipo di incidente

Oltre alla scheda, scriva un breve approccio per ogni incidente ricorrente. Quattro sono sufficienti per iniziare:

Stabilisca anche quali sistemi sono più importanti, in ordine. Per la Panetteria Example, ad esempio: cassa e pagamenti con carta, ordini del giorno, e-mail, contabilità, sito web. Nel ripristino inizi dall'alto. Veda anche RPO e RTO nella lezione 6.3.

Esercitarsi: mezz'ora al tavolo

Un piano che nessuno conosce non funziona. Un'esercitazione tabletop richiede mezz'ora: si siede al tavolo con le persone che hanno un ruolo e simula uno scenario, senza toccare nulla. Il facilitatore (può essere Lei stesso) racconta passo dopo passo cosa succede.

Esempio: "È venerdì alle 16:30. Il contabile riceve un'e-mail da un fornitore abituale: l'IBAN è cambiato, la fattura in sospeso di 8.400 euro va pagata oggi stesso al nuovo numero. Cosa fa?" E poi: "È lunedì. Il fornitore chiama: non ha ricevuto nulla." A ogni passo si chieda: chi fa cosa, chi chiama, dove si trova quel numero?

Al termine, annoti cosa mancava. Quasi sempre è un numero di telefono, una password che solo una persona conosce, o incertezza su chi decide. Aggiorni la scheda e indichi la nuova data. Esercitarsi una volta all'anno e rivedere la scheda è un buon ritmo per una piccola azienda, da ripetere anche dopo ogni grande cambiamento (nuovo fornitore IT, nuovo gestionale contabile).

In pratica: ecco come si presenta

Inserisca nella Sua scheda anche i punti concreti in cui può intervenire rapidamente presso i Suoi fornitori. Presso WebOké, ad esempio: visualizzare e disconnettere le sessioni attive in Mio WebOké, la procedura "Il mio sito web è stato violato" nella guida di DirectAdmin, e il ripristino di un backup. Presso altri fornitori di hosting, e-mail e cloud esistono funzioni analoghe; le cerchi prima di averne bisogno, e annoti dove si trovano.

Riepilogo

• Una scheda di gestione degli incidenti (un unico foglio A4, su carta) fa sì che tutti nei primi minuti facciano la cosa giusta: segnalare, scollegare ma non spegnere, non collegare i backup, non pagare nulla.
• Concordi i ruoli: chi decide, chi esegue il lavoro tecnico, chi comunica, chi tiene il registro.
• Scriva un breve approccio per ogni incidente ricorrente e l'ordine dei Suoi sistemi più importanti.
• Conservi numeri e piano anche fuori dai Suoi computer.
• Si eserciti annualmente per mezz'ora al tavolo e aggiorni la scheda.

Quiz

Esercizio

Esercizio D8.1: La Sua scheda di gestione degli incidenti. Riprenda il modello di questa lezione e lo compili per la Sua azienda: nomi, numeri e luoghi reali. La stampi, la affigga e scatti una foto da tenere sul telefono. Successivamente, con un collega (o da solo), simuli in un quarto d'ora lo scenario dell'IBAN di questa lezione, e annoti cosa Le mancava.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
• Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
• Guida WebOké 3.6: Visualizzare ed effettuare il logout dalle sessioni attive
• ACN, risorse e linee guida sulla gestione degli incidenti ransomware: https://www.acn.gov.it/
• CSIRT Italia: https://www.csirt.gov.it/
• Polizia Postale e delle Comunicazioni, sono vittima di un attacco informatico: https://www.commissariatodips.it/