Categoria: Cybersicurezza

I file compaiono con estensioni strane, sul desktop c’è una richiesta di riscatto e le macchine iniziano a cadere una dopo l’altra. In quel momento non ti serve un trattato sulla cybersicurezza: ti serve sapere cosa fare nei prossimi sessanta minuti. Perché quello che decidi lì —e soprattutto quello che fai per puro nervosismo— fa la differenza tra una brutta giornata e due settimane con l’attività ferma.

Questo non è un articolo di prevenzione. Dà per scontato che stia già succedendo e ti dà il piano di risposta all’incidente passo dopo passo: cosa toccare, cosa non toccare, chi chiamare e in che ordine ripristinare. Salvalo prima di averne bisogno, perché quando ne avrai bisogno non avrai tempo di cercarlo.

Perché le prime ore decidono tutto

Il ransomware non cifra alla velocità della luce. Quando vedi la richiesta di riscatto, la cifratura sta ancora avanzando nella rete: ogni minuto che una macchina infetta resta collegata sono più cartelle condivise, più server e —quello che fa più male— più backup che cadono. La finestra per contenere il danno si misura in minuti, non in ore. È lì che si gioca se domani apri o no.

L’altro nemico di quella prima ora è il panico. La reazione istintiva —spegnere tutto, riavviare i server, iniziare a cancellare ciò che sembra infetto, pagare il riscatto per finirla in fretta— è quasi sempre quella sbagliata. Contenere non significa reagire in fretta; significa reagire nell’ordine giusto. Un’azienda che isola con lucidità ripristina dal backup in due giorni. Una che improvvisa a fior di nervi finisce con l’incidente esteso, le prove distrutte e nessun backup pulito a cui tornare.

Il ransomware non punisce il guasto tecnico; punisce l’improvvisazione. Chi ha il piano scritto esegue; chi non ce l’ha discute mentre la cifratura avanza.

I primi passi giusti, in ordine

Questo è il copione della prima ora. Non improvvisarlo: fallo così com’è, dall’alto verso il basso.

• Isola dalla rete le macchine colpite. Stacca il cavo, spegni il Wi-Fi, taglia la VPN. L’obiettivo è fermare la propagazione all’istante. Isolare viene per primo, sempre, prima di indagare qualsiasi cosa.
• Non spegnere alla cieca. Scollegare dalla rete non è la stessa cosa che spegnere a freddo. Spegnere cancella informazioni volatili che servono a capire cos’è successo e come sono entrati, e in alcuni casi complica persino il recupero dei dati. Isola, ma lascia le macchine accese salvo diversa indicazione di chi gestisce l’incidente.
• Proteggi subito i backup. Prima di ogni altra cosa, assicurati che i backup non siano raggiungibili dalla rete compromessa. Se il ransomware li raggiunge, la conversazione è finita. Scollegali o verifica che siano isolati e immutabili.
• Taglia gli accessi remoti e gli account privilegiati. VPN, desktop remoto, accessi dei fornitori e account di amministratore. Da dove sono entrati possono rientrare, e spesso l’attaccante è ancora dentro a guardare come reagisci.
• Preserva le prove. Fotografa la richiesta di riscatto, annota l’ora, non cancellare log né file cifrati. Quell’informazione è oro per conoscere la portata, per l’assicurazione e, se serve, per la denuncia.
• Attiva il piano e metti una persona al comando. Qualcuno coordina, decide e comunica; gli altri eseguono. Avvisa il tuo fornitore di cybersicurezza gestita e inizia a documentare cosa è colpito. In una crisi, cinque persone che decidono in parallelo fanno più danni dell’attacco stesso.

Fatto questo, l’incendio è contenuto. Ora è il momento di valutare la portata con calma: cosa è cifrato, cosa no, e se ci sono indizi che siano stati anche sottratti dati —la cosiddetta doppia estorsione—, perché questo cambia i tuoi obblighi legali.

Cosa NON fare per nessun motivo

Metà di una buona risposta consiste nel non commettere gli errori che trasformano un incidente in un disastro irreversibile. Questi sono i quattro che costano di più.

• Non pagare alla cieca. Pagare non garantisce di recuperare i dati —molti decryptor falliscono o funzionano a metà—, ti marchia come chi paga e finanzia l’attacco successivo. È l’ultima opzione, mai la prima, e solo dopo aver valutato a fondo se puoi ripristinare dal backup.
• Non ripristinare sopra l’infetto. Recuperare i dati su un sistema ancora compromesso, o senza aver chiuso la via d’ingresso, riavvia l’incubo nel giro di ore. Prima si pulisce o si reinstalla; poi si ripristina.
• Non nasconderlo. Zittire l’incidente perché non lo sappia nessuno ti espone a sanzioni per mancata notifica e distrugge la fiducia quando alla fine si saprà, e si saprà. La trasparenza ben gestita protegge; il silenzio aggrava.
• Non cancellare log né file. “Ripulire” di tua iniziativa distrugge le prove che ti servono per capire la portata, rispettare la legge e incassare l’assicurazione. Non toccare i log: sono il tuo miglior alleato.

Notifica e obblighi: anche l’orologio legale corre

Mentre contieni e ripristini, c’è un secondo orologio in moto che molti ignorano finché non è tardi. Se nell’attacco sono stati compromessi dati personali —di clienti, dipendenti o fornitori—, il GDPR ti obbliga a notificare la violazione al Garante entro 72 ore da quando ne vieni a conoscenza. Non aspetta che tu abbia ripristinato il servizio e non è opzionale: non notificare aggiunge una sanzione al disastro che hai già addosso.

E ci sono altri fronti da gestire in parallelo, senza rimandarli alla fine:

• Comunicazione agli interessati. Se la violazione comporta un rischio elevato per clienti o dipendenti, oltre al Garante bisogna informare loro direttamente. Prepara un messaggio chiaro e onesto, non un comunicato vuoto.
• Avviso all’assicurazione. Se hai una polizza cyber-risk, comunicalo il prima possibile: molte richiedono la notifica immediata e ti danno accesso a un team di risposta. Agire per conto tuo può lasciarti fuori dalla copertura.
• Denuncia e organismi. Presentare denuncia e avvisare i canali di riferimento come l’agenzia nazionale per la cybersicurezza lascia traccia ufficiale e ti dà supporto. La documentazione che hai preservato nella prima ora è proprio ciò che qui serve.

Aver individuato in anticipo chi redige la notifica, chi parla con l’assicurazione e chi con i clienti è ciò che permette di rispettare queste scadenze senza frenare il ripristino tecnico. Improvvisarlo con l’attività ferma è la ricetta per mancarle tutte e tre.

Come ti aiuta MagicBoxDesk: risposta agli incidenti e ripristino da backup pulito

Tutto quanto sopra suona semplice scritto con calma. Alle tre di notte, con l’attività ferma e il telefono che squilla, non lo è. Per questo il valore più grande non sta nell’avere il piano in un PDF, ma nell’avere qualcuno dall’altra parte che lo esegue con te. In MagicBoxDesk montiamo, manteniamo e azioniamo quel piano di risposta come servizio, all’interno del tuo IT in outsourcing, con supporto da remoto e in loco in tutta la Spagna.

• Risposta agli incidenti con un piano definito e provato: chi isola, chi decide, chi viene avvisato e in che ordine, per agire in minuti anziché improvvisare in giorni.
• Contenimento e analisi della portata: isoliamo ciò che è colpito, preserviamo le prove e stabiliamo se c’è stato furto di dati, senza distruggere l’informazione che ti serve dopo.
• Backup immutabili e isolati, con ripristini testati periodicamente, così che quando arriva il momento ci sia davvero un backup pulito a cui tornare.
• Ripristino nell’ordine giusto: identità e autenticazione per prime, poi ciò che fattura o produce, quindi posta e file, e le postazioni per ultime, reinstallate da un’immagine pulita.
• Supporto sugli obblighi legali: notifica della violazione nei termini, comunicazione all’assicurazione e agli interessati, con la documentazione in regola.
• Chiusura della via d’ingresso prima di riconnettere, così che l’attacco non ricominci non appena tutto riparte.

L’ideale è parlarne prima dell’incidente, non durante. Preparare il piano, i backup e gli accessi costa una frazione di quanto costa un riscatto o due settimane di fermo, ed è ciò che trasforma una crisi in un brutto momento. Se ce l’hai già addosso, ci siamo anche per aiutarti a contenere e ripristinare.

In MagicBoxDesk ci occupiamo della tua sicurezza e del tuo piano di risposta perché tu ti occupi del tuo business. Chiedi un preventivo senza impegno e ti diciamo cosa ti serve davvero perché le prime ore di un ransomware giochino a tuo favore e non contro di te.

Prima di chiederti come si implementa la ISO 27001, c’è una domanda che decide tutto il resto: alla tua azienda conviene davvero certificarsi? Perché certificarsi costa denaro, ore delle tue persone e un impegno che non finisce il giorno in cui ti consegnano il sigillo, ma si rinnova ogni anno. E non a tutte le PMI conviene. Ad alcune, moltissimo. Ad altre, è buttare budget per vanità.

Questo articolo non parla di da dove iniziare né di checklist di implementazione. Parla di prendere la decisione con criterio: cosa ti dà davvero il certificato, quando il ritorno è evidente, quanto costa senza cifre gonfiate e quale alternativa hai se ciò che vuoi è essere sicuro ma il pezzo di carta ancora non te lo chiede nessuno.

Cosa ti dà davvero la ISO 27001 (e cosa no)

Innanzitutto, per togliere il fumo: la ISO 27001 non ti rende immune a un attacco. Non è un antivirus, né un firewall, né la garanzia che non ti entrerà un ransomware. È un sistema di gestione della sicurezza delle informazioni: un modo ordinato e verificato di sapere quali dati hai, quali rischi corrono e cosa fai per trattarli. Il certificato attesta che quel sistema esiste e funziona, non che sei invulnerabile.

Allora, cosa ti dà in cambio dello sforzo? In pratica, tre cose concrete. La prima è una chiave commerciale: ti apre porte che senza il sigillo restano chiuse —grandi clienti, gare d’appalto, contratti internazionali—. La seconda è fiducia dimostrabile: accorcia i cicli di vendita e ti risparmia gli interminabili questionari di sicurezza che i grandi clienti ti mandano prima di firmare. E la terza, la più sottovalutata, è ordine interno reale: per certificarti devi mettere per iscritto chi accede a cosa, come si fanno i backup e cosa succede quando qualcosa non funziona. Quell’ordine vale anche se non appendi mai il certificato al muro.

La domanda utile non è «mi certifico?», ma «quanto business perdo per non essere certificato?». Con quel numero sul tavolo, la decisione si prende da sola.

Quando SÌ conviene certificarsi

La ISO 27001 diventa conveniente quando dietro c’è un motivo commerciale o normativo chiaro. Se ti riconosci in uno di questi casi, la risposta di solito è sì senza troppi giri:

• Un cliente te la richiede per continuare a lavorare. È il caso più frequente e il più facile da decidere: se perdere quel cliente ti fa più male del costo di certificarti, conviene. Punto.
• Vuoi partecipare a gare d’appalto o entrare tra i grandi clienti. In molti capitolati e processi di qualifica il certificato è requisito di accesso: senza, non ti valutano nemmeno.
• Gestisci dati sensibili di terzi. Se sei un fornitore tecnologico, gestisci dati di clienti o tratti informazioni critiche, la certificazione è l’argomento che dissipa i dubbi di chi ti assume.
• Operi in un settore regolamentato o all’interno di una catena di fornitura esigente. Sempre più aziende trasferiscono i propri obblighi —inclusa la pressione di normative come NIS2— ai loro fornitori. Te la chiedono anche se la legge non ti obbliga direttamente.
• Sei in fase di crescita e vuoi giocare in un’altra categoria. Se il tuo obiettivo è vendere ad aziende più grandi o espanderti all’estero, il certificato smette di essere un lusso e diventa una condizione per competere.

E al contrario: se nessuno te lo chiede, non vendi a grandi clienti e la tua vera priorità è semplicemente non prenderti uno spavento, forse il sigillo non ti serve ancora. Ti servono i controlli. Ne parliamo più sotto.

Quanto costa davvero

È qui che molti si sorprendono, perché il costo della ISO 27001 non è una fattura unica. Sono quattro voci distinte, e conviene vederle tutte prima di decidere:

• Consulenza di implementazione. L’accompagnamento per costruire il sistema: ambito, analisi dei rischi, politiche e controlli. È la voce più visibile e varia molto in base alla dimensione della tua azienda e a quanto è ordinata la tua infrastruttura di partenza.
• Tempo interno del tuo team. Il costo nascosto che nessuno mette a budget. Le tue persone devono fornire informazioni, approvare politiche e applicare ciò che viene documentato. Se nessuno ha ore per il progetto, si eternizza e costa di più.
• Audit di certificazione. Lo fattura un ente accreditato indipendente, a parte dalla consulenza. È quello che emette il certificato dopo aver verificato il tuo sistema in due fasi.
• Mantenimento annuale. Il certificato dura tre anni, ma ogni anno c’è un audit di sorveglianza. Un sistema abbandonato crolla da solo, quindi bisogna tenerlo vivo: sono ore e, spesso, strumenti.

Non ti darò una cifra definitiva perché sarebbe una bugia: dipende dalla tua dimensione, dall’ambito che definisci e da quanto hai già fatto. Ed è proprio qui la buona notizia. Più è ordinata la tua base tecnica —backup testati, controllo degli accessi, aggiornamenti al giorno—, più economica risulta l’implementazione, perché stai già rispettando metà della norma senza saperlo. Il modo più rapido per far schizzare il costo è certificare tutta l’azienda in un colpo solo quando potevi iniziare da un ambito circoscritto e ampliarlo dopo.

L’alternativa: implementare i controlli senza certificarsi

Ecco la sfumatura che quasi nessuno ti racconta: ciò che ti protegge non è il certificato, sono i controlli. Il sigillo è l’attestazione che un terzo ha verificato che quei controlli esistono. Se nessuno ti sta chiedendo il pezzo di carta, puoi tenerti la parte che davvero ti blinda e risparmiarti l’audit esterno e il suo rinnovo annuale.

In pratica significa implementare le misure che derivano dalla norma stessa —analisi dei rischi, backup che si ripristinano davvero, controllo degli accessi, gestione degli incidenti, formazione del team, controllo dei fornitori— ma senza passare dall’ente certificatore. Hai una buona sicurezza, rispetti di fatto buona parte di ciò che richiedono i tuoi clienti ed eviti il costo ricorrente del certificato. È la via intelligente quando la tua priorità è non prenderti uno spavento, non vincere una gara.

Il vantaggio aggiuntivo è che quel lavoro non si butta: il giorno in cui un cliente ti richiederà la ISO 27001, avrai già il 70% della strada fatta e la certificazione sarà una formalità da ufficializzare e documentare, non un progetto da zero. Iniziare dai controlli e certificarsi quando arriva il momento è, quasi sempre, la decisione più conveniente. Una buona base di cybersicurezza e conformità è esattamente quel punto di partenza.

Come MagicBoxDesk ti aiuta a decidere (e ad arrivare fino al certificato)

La maggior parte delle società di consulenza ti vende il certificato senza chiederti se ne hai bisogno. In MagicBoxDesk facciamo il contrario: la prima cosa è dirti onestamente se alla tua azienda conviene certificarsi o se ti basta implementare i controlli. Guardiamo chi te lo chiede, quale business è in gioco e in che stato è la tua infrastruttura, e su questo ti diamo una raccomandazione con i numeri, non una vendita.

E se la risposta è che sì, conviene, ti portiamo fino in fondo. Poiché gestiamo in outsourcing il reparto IT di PMI e aziende in tutta la Spagna, non ci limitiamo a redigere politiche: partiamo dai tuoi backup, dai tuoi accessi e dai tuoi sistemi reali, implementiamo i controlli tecnici che sostengono la norma e ti accompagniamo fino all’audit di certificazione. Poi restiamo con te con monitoraggio, backup e cybersicurezza gestita affinché gli audit di sorveglianza annuali si superino senza spaventi. Puoi vedere tutto ciò che copriamo nella nostra pagina dei servizi.

Quindi, prima di spendere un solo euro in un certificato che forse non ti serve —o di lasciarti sfuggire un contratto per non averlo—, lascia che te lo diciamo chiaro. Richiedi un preventivo senza impegno e ti diciamo se ti conviene, quanto ti costerebbe davvero e in quale tempo reale lo avresti pronto.