Come si presenta un incidente informatico in una piccola impresa?
Un incidente informatico in una piccola impresa raramente si manifesta in modo evidente; di solito sembra un'anomalia insolita che qualcuno menziona di sfuggita. Il NCSC elenca segnali di allarme come computer lenti, persone che non riescono più ad accedere ad account o file, messaggi con richieste di riscatto, email sospette inviate dal proprio dominio e richieste di pagamento inattese.
Considera uno studio di commercialisti fittizio con 14 persone, Halden & Rowe. Alle 4.40pm di un venerdì, la responsabile d'ufficio, Priya, riceve questo messaggio da un socio: 'il mio Outlook ha mandato un sacco di email che non ho scritto io?? 2 clienti hanno risposto chiedendo del nuovo conto bancario per le fatture. anche il disco condiviso mi chiede di accedere di nuovo e la password non funziona. vado a prendere i bambini a scuola torno alle 6'. Nessuno si occupa di informatica a tempo pieno, il fornitore di servizi informatici gestiti chiude alle 5.30pm e il fine settimana si avvicina.
Quali sono le fasi della risposta agli incidenti per un piccolo gruppo di lavoro?
Le fasi della risposta agli incidenti per un piccolo team sono riconoscere, contenere, segnalare, ripristinare e imparare; la prima ora si concentra soprattutto sulle prime tre. La guida di NCSC alla risposta e al ripristino per le piccole imprese usa un modello simile in cinque fasi: preparare, identificare, risolvere, segnalare e imparare.
1. Riconosci il problema e avvia un registro
Tratta la segnalazione come un possibile incidente, non come una seccatura. Apri un registro indicando l'ora, chi ha fatto la segnalazione, cosa ha osservato e ogni azione intrapresa. Il NCSC suggerisce di annotare quali servizi si sono interrotti, quando è iniziato il problema e quanto è esteso.
2. Contieni i danni
Blocca la diffusione senza distruggere le prove. Scollega dalla rete il dispositivo colpito invece di spegnerlo, perché CISA segnala che lo spegnimento può far perdere le prove conservate in memoria. Reimposta la password dell'account compromesso da un dispositivo non infetto e disconnettilo da tutte le sessioni.
3. Chiedi aiuto per tempo
Chiama il tuo fornitore di servizi informatici o chi gestisce i tuoi sistemi prima della chiusura. Nel Regno Unito, il NCSC indica alle aziende, alle organizzazioni e agli enti di beneficenza che stanno subendo un incidente informatico di chiamare Report Fraud al numero 0300 123 2040 e premere l'opzione 9. Negli Stati Uniti, CISA e IC3 dell'FBI accettano segnalazioni.
4. Segnala e informa
Denuncia il reato alle forze dell'ordine e informa le persone coinvolte. Se nel Regno Unito potrebbero essere stati esposti dati personali, l'ICO richiede di ricevere una notifica, ove possibile entro 72 ore, quando è probabile che la violazione metta a rischio le persone.
5. Ripristina e impara
Ripristina i dati da copie di sicurezza integre e verificate, correggi le vulnerabilità sfruttate e svolgi una breve revisione quando la situazione si è stabilizzata. Annota cosa ha funzionato e cosa cambieresti.
Come si svolge la prima ora se gestita male o bene?
Una cattiva gestione della prima ora è silenziosa e improvvisata. Priya elimina le strane email inviate, chiede al socio di cambiare la password lunedì e non dice nulla ai clienti. Entro lunedì l'aggressore ha avuto accesso alla casella per tutto il fine settimana, le prove sono scomparse e un cliente ha pagato il truffatore.
Una buona gestione della prima ora è calma e documentata. Alle 4.45pm Priya apre un registro e annota il messaggio del socio parola per parola. Alle 4.50pm chiama il fornitore informatico, che disabilita gli accessi alla casella di posta e impone la reimpostazione della password con autenticazione a più fattori. Alle 5.05pm telefona ai due clienti usando i numeri presenti negli archivi dello studio e dice loro di non effettuare pagamenti verso coordinate bancarie modificate. Alle 5.20pm il fornitore trova una regola che inoltra le fatture a un indirizzo esterno e la documenta per le indagini. Prima delle 6pm Priya segnala l'incidente e fissa la verifica di lunedì. Nulla di tutto questo richiede competenze tecniche.
Gli strumenti di IA possono aiutare durante la risposta agli incidenti?
Gli strumenti IA possono aiutarti a prepararti e a comunicare, ma non dovrebbero prendere decisioni di contenimento né avere accesso a elementi di prova sensibili. Usali per preparare in anticipo la bozza di un piano di una pagina, trasformare un registro provvisorio in una cronologia o redigere un avviso ai clienti da far controllare a una persona. Non incollare mai registri, password o dati personali in uno strumento non approvato.
Come si verifica che la risposta a un incidente abbia funzionato?
Verifica la tua risposta all'incidente accertandoti che l'accesso dell'autore dell'attacco sia stato bloccato, che le persone a rischio siano informate e che il registro permetta di spiegare ogni decisione a chi non era presente.
Accesso bloccato
Password reimpostate, sessioni terminate, regole sospette della casella di posta o nuovi account amministratore registrati e gestiti dal fornitore di servizi informatici.
Persone informate
I clienti e il personale coinvolti e, dove richiesto, le autorità di vigilanza o le forze dell'ordine sono stati informati attraverso canali affidabili.
Riscontri conservati
Non è stato eliminato nulla per fare ordine e il registro riporta orari, azioni e chi ha preso ogni decisione.
Lezioni registrate
La revisione indica una modifica da apportare, ad esempio attivare ovunque l'autenticazione a più fattori.
Quali sono gli errori più comuni nella risposta agli incidenti?
L'errore più comune è aspettare di essere sicuri, perché quando un incidente è certo il danno si è già esteso. Altri errori: eliminare le prove per fare ordine, spegnere i dispositivi invece di scollegarli dalla rete, avvisare le persone dalla casella di posta compromessa, non informare i clienti e non avere un numero dell'assistenza informatica da contattare fuori orario.
Dove si colloca questa lezione in Tosheo.ai?
Questa lezione appartiene alla categoria Sicurezza informatica e al corso di sicurezza informatica. In Tosheo.ai l'attività pratica ti presenta un rapporto disordinato come quello di Priya, ti chiede di preparare il registro e le azioni della prima ora e valuta il lavoro con una griglia di criteri visibile. È formazione di sensibilizzazione, non un corso professionale di risposta agli incidenti o di informatica forense, e non sostituisce il tuo fornitore di servizi informatici.
Fonti e ambito
NCSC, guida per le piccole imprese: risposta e ripristino (verificato il 19 October 2026) ↗
NCSC, passaggio 2: capire cosa sta succedendo (verificato il 19 October 2026) ↗
CISA, ho subito un attacco ransomware (verificato il 19 October 2026) ↗
ICO, segnalare una violazione dei dati personali (verificato il 19 ottobre 2026) ↗