La realtà è che la maggior parte delle aziende italiane non dispone di un piano di incident response strutturato. Quando si verifica un attacco informatico, prevale il panico: si procede allo spegnimento indiscriminato dei sistemi, si ricorre a risorse interne non specializzate, si attende passivamente un esito. Le prime 24 ore sono invece decisive.
Secondo i dati ACN e Clusit 2026, le organizzazioni che intervengono nelle prime 6 ore recuperano l’operatività in 3-5 giorni, mentre quelle che attendono oltre 24 ore impiegano in media 21 giorni e registrano una perdita di fatturato superiore del 40%. Di seguito, una procedura operativa dettagliata da attivare prima ancora di coinvolgere un esperto di cybersecurity.
- Minuto 0-15: Riconoscere l’attacco e attivare l’allarme
- Minuto 15-60: Isolare i sistemi, non spegnerli
- Ora 1-4: Verificare i backup (senza avviare il restore)
- Ora 4-8: Notificare l’incidente (se soggetti NIS2 o GDPR)
- Ora 8-12: Coinvolgere gli esperti specializzati
- Ora 12-24: Preparare la comunicazione (interna ed esterna)
- Cosa NON fare nelle prime 24 ore
- Il consiglio pratico
Minuto 0-15: Riconoscere l’attacco e attivare l’allarme
Il primo errore consiste nel sottovalutare l’evento, considerandolo un’infezione transitoria. Nel 2026 i ransomware sono estremamente rapidi: possono cifrare 100 GB di dati in 15 minuti. La presenza di anche uno solo dei seguenti indicatori deve portare ad assumere che sia in corso un attacco:
- File con estensioni inedite (.locked, .encrypted, .crypt, .akira, .qilin)
- Messaggi di riscatto presenti sul desktop (README.txt, HOW_TO_RECOVER.txt)
- Rallentamenti critici o blocchi dei sistemi
- Backup non completati o risultanti cifrati
- Segnalazioni da parte degli utenti di email anomale o schermate di blocco
Azione immediata: designare un incident commander (anche il titolare stesso) e attivare il team di crisi minimo: funzione IT (interna o esterna), direzione, legale, comunicazione. Per una PMI sono sufficienti 3 persone: il titolare, il responsabile IT, il commercialista o legale di fiducia.
Minuto 15-60: Isolare i sistemi, non spegnerli
In questa fase la maggior parte dei professionisti commette errori irreversibili. L’istinto porta a spegnere tutto per “fermare il danno”. Tuttavia, lo spegnimento cancella log, memoria RAM e tracce dell’attacco. Senza questi elementi, gli investigatori non possono ricostruire le modalità di intrusione, verificare la persistenza della minaccia o quantificare l’esfiltrazione di dati.
Cosa fare invece:
- Isolare i sistemi infetti: disconnettere dalla rete (cavo Ethernet o Wi-Fi) i PC e i server cifrati. Non spegnerli, mantenerli in isolamento di rete.
- Bloccare l’accesso remoto: disattivare VPN, RDP, TeamViewer, AnyDesk su tutti i sistemi.
- Cambiare le credenziali amministrative: immediatamente, da un dispositivo integro (smartphone personale o PC non infetto). Iniziare dall’account amministratore di dominio, procedere con gli altri account admin.
- Attivare il MFA su tutti gli accessi: se non era attivo, abilitarlo immediatamente. Se era attivo, verificare che non sia stato disabilitato.
Ora 1-4: Verificare i backup (senza avviare il restore)
Una volta contenuto l’attacco, è necessario valutare la possibilità di recupero. Attenzione: i ransomware moderni cifrano prima i backup, poi i dati di produzione. Se il backup è connesso in rete (NAS, server locale), potrebbe essere già compromesso.
Checklist di verifica backup:
- Il backup è offline o immutabile? In caso affermativo, procedere con cautela. In caso negativo, non considerarlo affidabile.
- Qual è la data dell’ultima copia integra? Se risale a ieri, la perdita è limitata a un giorno. Se risale a una settimana precedente, la situazione è critica.
- È stato eseguito un test di restore negli ultimi 3 mesi? In caso di incertezza, prepararsi allo scenario peggiore.
Non avviare il restore. È necessario accertarsi che l’attacco sia cessato e che il backup sia integro. Un restore da backup compromesso può portare a una nuova cifratura completa in pochi minuti.
Ora 4-8: Notificare l’incidente (se soggetti NIS2 o GDPR)
Dal 15 gennaio 2026, la notifica degli incidenti significativi è pienamente operativa per i soggetti NIS2. Se l’organizzazione rientra nel perimetro (energia, trasporti, sanità, manifatturiero strategico, provider digitali, grandi aziende), è obbligatorio notificare al CSIRT Italia secondo tempistiche vincolanti:
- Pre-notifica (early warning): entro 24 ore dall’evidenza dell’incidente
- Notifica completa: entro 72 ore, con valutazione iniziale di gravità, impatto e indicatori di compromissione (IoC)
- Relazione finale: entro 30 giorni, con analisi delle cause radice e misure correttive adottate
Anche in assenza di obbligo NIS2, il GDPR impone la notifica al Garante per la Protezione dei Dati Personali entro 72 ore qualora sussista un rischio per i dati personali (es. dati di clienti, pazienti, dipendenti rubati o cifrati).
Ora 8-12: Coinvolgere gli esperti specializzati
A questo punto, dopo aver contenuto l’attacco, verificato i backup e assolto agli obblighi di notifica (se previsti), è il momento di coinvolgere risorse esterne specializzate:
- Incident response team specializzato: non personale IT generico, ma un team con esperienza documentata nella gestione di 50+ casi ransomware. Richiedere referenze e verificare la gestione di casi analoghi per settore e dimensionalità.
- Cyber insurance (se disponibile): molte polizze prevedono un panel di provider pre-approvati. Utilizzare tali provider per garantire la copertura del sinistro.
- Legale specializzato in cybersecurity: supporto su GDPR, adempimenti notifiche, comunicazione agli interessati, valutazione di eventuali richieste di riscatto.
- Forze dell’ordine: la Polizia Postale dispone di un reparto specializzato in cybercrime. La denuncia non garantisce il recupero dei dati, ma crea traccia formale e può facilitare le indagini.
Ora 12-24: Preparare la comunicazione (interna ed esterna)
La diffusione del panico può essere più dannosa dell’attacco stesso. Se i dipendenti non ricevono indicazioni chiare, possono compiere azioni che aggravano la situazione. Se i clienti non vengono informati tempestivamente, possono decidere di interrompere il rapporto commerciale.
Comunicazione interna (ai dipendenti):
- Descrizione sintetica dell’evento (“è in corso un incidente di sicurezza informatica, alcuni sistemi sono temporaneamente non disponibili”)
- Indicazioni operative (non aprire email sospette, non utilizzare PC aziendali, ricorrere a canali alternativi approvati)
- Divieti espliciti (non interagire con giornalisti, non pubblicare contenuti sui social media)
- Referente designato (nome, email, telefono)
Comunicazione esterna (a clienti, fornitori, partner):
- Mantenere trasparenza e prudenza: “Stiamo gestendo un incidente di sicurezza, alcuni servizi possono subire rallentamenti temporanei”
- Evitare dettagli tecnici (potrebbero essere utilizzati dagli attaccanti)
- Non minimizzare la gravità senza averne certezza
- Aggiornare ogni 24-48 ore, anche in assenza di novità significative
Per i soggetti NIS2 o per organizzazioni che trattano dati sensibili (sanità, legale, finanza), valutare con il legale l’opportunità di notificare l’incidente anche agli interessati (es. pazienti, clienti) oltre che al Garante.
Cosa NON fare nelle prime 24 ore
Alcuni errori sono irreversibili e possono compromettere definitivamente il recupero:
- Spegnere i sistemi infetti: cancella log e tracce forensi, rendendo l’indagine impossibile.
- Pagare immediatamente il riscatto: il 34% di chi paga non recupera i dati, e il 46% subisce un nuovo attacco entro un anno. Inoltre, si finanziano attività criminali e si possono violare sanzioni internazionali.
- Cancellare e reinstallare l’intera infrastruttura: si perdono prove forensi e si rischia di reinstallare sistemi ancora compromessi.
- Comunicare pubblicamente sui social media: si offre visibilità agli attaccanti e leverage negoziale.
- Eseguire restore da backup non verificato: può portare a una nuova cifratura completa in pochi minuti.
Il consiglio pratico
Un incident response plan non ha lo scopo di prevenire l’attacco, ma di garantire la sopravvivenza dell’organizzazione quando questo si verifica. La differenza tra un’azienda che recupera l’operatività in 5 giorni e una che cessa l’attività risiede nell’avere un piano scritto, testato periodicamente, e personale formato che sappia agire senza esitazioni.
