L'incidente comincia alle due di notte di un sabato. Il preallarme alle autorità scade alle due di notte di domenica. Abbiamo visto chi è soggetto alla NIS2; oggi vediamo l'obbligo che mette alla prova l'organizzazione più di ogni altro.
Tre scadenze, non una
Quando un incidente è significativo, la notifica a CSIRT Italia si articola in tre tempi:
Cosa rende un incidente significativo
Una grave perturbazione dei servizi, perdite economiche rilevanti oppure danni considerevoli a terzi. La valutazione spetta a chi subisce l'incidente: per questo i criteri vanno scritti prima, non discussi alle tre del mattino con il server ancora fermo.
Perché ventiquattro ore sono poche
Non per la notifica in sé: il modulo si compila in mezz'ora. Il tempo se ne va prima, a capire cosa è successo. In un'azienda senza log centralizzati la prima giornata si passa a raccogliere informazioni da dieci sistemi diversi, ciascuno con il suo formato, il suo orario e il suo amministratore che magari è in ferie.
Cosa preparare prima
Le prime ore non si improvvisano
Mentre le persone valutano, i sistemi devono già reagire: isolare il computer compromesso, bloccare un account, fermare la propagazione. È il compito della parte SOAR della piattaforma e di un servizio di sicurezza endpoint gestito che lavora anche di notte, quando il vostro IT dorme.
Parliamone prima che serva
Vi aiutiamo a costruire la catena completa: raccolta dei log, procedura, modello di notifica, prova di simulazione. Il punto di partenza è la vostra cybersecurity con log verificabili: senza quella base, ogni procedura resta sulla carta.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
Tre scadenze, non una
Quando un incidente è significativo, la notifica a CSIRT Italia si articola in tre tempi:
- Entro 24 ore: un preallarme. Poche informazioni, ma tempestive: è successo qualcosa, ecco cosa sappiamo finora.
- Entro 72 ore: la notifica vera e propria, con una prima valutazione di gravità e impatto.
- Entro un mese: la relazione finale, con cause, misure adottate ed eventuali effetti oltre confine.
Cosa rende un incidente significativo
Una grave perturbazione dei servizi, perdite economiche rilevanti oppure danni considerevoli a terzi. La valutazione spetta a chi subisce l'incidente: per questo i criteri vanno scritti prima, non discussi alle tre del mattino con il server ancora fermo.
Perché ventiquattro ore sono poche
Non per la notifica in sé: il modulo si compila in mezz'ora. Il tempo se ne va prima, a capire cosa è successo. In un'azienda senza log centralizzati la prima giornata si passa a raccogliere informazioni da dieci sistemi diversi, ciascuno con il suo formato, il suo orario e il suo amministratore che magari è in ferie.
Cosa preparare prima
- Log centralizzati e correlati. Una piattaforma SIEM e SOAR raccoglie gli eventi di tutti i sistemi in un unico punto, li conserva in modo non modificabile e li mette in relazione. È la differenza tra cercare e trovare.
- Una procedura scritta. Chi decide che l'incidente è significativo, chi notifica, con quali informazioni. Il referente per il CSIRT va designato prima, non individuato durante l'emergenza.
- Un modello già pronto. I campi del preallarme sono noti: averli già compilati per quanto possibile fa risparmiare le ore che contano.
- Una prova generale. Una simulazione all'anno, anche solo a tavolino, rivela i buchi della procedura meglio di qualsiasi documento.
Le prime ore non si improvvisano
Mentre le persone valutano, i sistemi devono già reagire: isolare il computer compromesso, bloccare un account, fermare la propagazione. È il compito della parte SOAR della piattaforma e di un servizio di sicurezza endpoint gestito che lavora anche di notte, quando il vostro IT dorme.
Parliamone prima che serva
Vi aiutiamo a costruire la catena completa: raccolta dei log, procedura, modello di notifica, prova di simulazione. Il punto di partenza è la vostra cybersecurity con log verificabili: senza quella base, ogni procedura resta sulla carta.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
