Se stai leggendo questo con una cifratura in corso, vai dritto al primo punto. Se lo leggi con calma un martedì qualsiasi, meglio: queste cose si preparano prima, non durante.
Ora 0: contenere
- Scollega dalla rete i computer colpiti. Cavo staccato o Wi-Fi spento. Non spegnerli del tutto, se puoi evitarlo: in memoria ci sono informazioni utili.
- Isola i backup prima di ogni altra cosa. Se il ransomware ci arriva, il discorso è chiuso.
- Taglia l’accesso remoto: VPN, desktop remoto, accessi dei fornitori. Da dove è entrato può rientrare.
Ora 1: valutare la portata
Prima di toccare altro, bisogna sapere cosa è cifrato e cosa no: postazioni, server, cartelle condivise, backup, e se ci sono indizi che si siano portati via dei dati oltre ad averli cifrati. Quest’ultima cosa cambia gli obblighi di legge.
Qui tocca anche decidere chi comanda: una persona coordina e comunica. In una crisi, cinque persone che prendono decisioni in parallelo fanno più danni dell’incidente stesso.
Ora 2: obblighi
Se ci sono dati personali compromessi, il GDPR concede 72 ore per notificare all’autorità di controllo. Non è facoltativo e non aspetta che tu abbia recuperato il servizio. Conviene aver individuato in anticipo chi redige quella notifica.
Il riscatto non si paga mai senza aver esaurito la strada del ripristino. E anche esaurendola, pagare non garantisce di recuperare niente.
Ore 3 e 4: recuperare nell’ordine giusto
La tentazione è ripristinare tutto insieme. È un errore: si ripristina prima ciò che regge l’attività, e solo su macchine già bonificate o reinstallate.
- Directory e autenticazione per prime: senza identità non funziona nient’altro.
- Poi il sistema che fattura o produce. Quello che ferma l’azienda se è giù.
- Subito dopo, posta e file condivisi.
- Le postazioni di lavoro per ultime, reinstallate da un’immagine pulita.
Quello che evita il 90% di queste giornate
Backup immutabili, doppio fattore su tutti gli accessi remoti, segmentazione della rete perché un computer infetto non arrivi al server, e utenti senza permessi di amministratore sulla propria macchina. Non è affascinante, ma è quello che funziona.
