Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Avere un backup aiuta a recuperare i dati, ma non prova che nessuno li abbia copiati. La valutazione deve distinguere indisponibilità, alterazione e riservatezza, considerando anche il tempo durante il quale i servizi sono rimasti bloccati.
La situazione.
Scenario illustrativo fittizio. Una società di assistenza tecnica trova cifrato il gestionale il lunedì mattina. Esiste una copia del venerdì che sembra integra. L’attaccante lascia un messaggio in cui minaccia la pubblicazione dei dati, senza presentare una prova. Per alcune ore non è possibile recuperare appuntamenti e richieste dei clienti.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Il backup copre il periodo interessato, ma devono essere verificati integrità, test di ripristino e dati mancanti.
- 02
L’assenza iniziale di prove di esfiltrazione non equivale alla prova che l’esfiltrazione non ci sia stata.
- 03
Il fermo operativo può produrre conseguenze sulle persone anche quando i dati sono recuperabili.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Un data breach non riguarda soltanto la pubblicazione di informazioni. L’indisponibilità o la perdita possono rientrare nella definizione del GDPR; la loro rilevanza dipende dal contesto. Un ritardo nelle prestazioni essenziali va analizzato diversamente da un breve fermo di informazioni non urgenti. Il ripristino è quindi una componente del contenimento, non l’intera analisi.
Il titolare deve ricostruire quando abbia avuto un ragionevole grado di certezza della violazione, senza attendere la relazione forense definitiva per iniziare la valutazione. Se ricorrono i presupposti di notifica, informazioni non ancora disponibili possono essere integrate per fasi secondo l’articolo 33. La minaccia dell’attaccante è un indicatore da verificare: né una prova automatica di diffusione né un elemento da ignorare.
Cosa fare, in pratica.
- 01
Isolare i sistemi coinvolti con il supporto tecnico, proteggendo copie, log e altre evidenze utili prima di reinstallare indiscriminatamente ogni macchina.
- 02
Ripristinare in un ambiente controllato e verificare che accessi compromessi, persistenze e vulnerabilità non vengano reintrodotti insieme ai dati.
- 03
Valutare dati interessati, eventuali copie sottratte, durata del blocco e impatto sulle persone, assegnando priorità ai servizi con conseguenze più serie.
- 04
Decidere gli adempimenti verso autorità e interessati in base al rischio, documentando informazioni mancanti e ragioni degli eventuali aggiornamenti successivi.
- 05
Rivedere segmentazione, autenticazione, privilegi e prove di recupero: la presenza di backup non sostituisce le misure che impediscono o limitano l’attacco.
L’errore da evitare.
Archiviare il caso come «nessuna violazione» appena il gestionale torna a funzionare, oppure decidere la notifica solo sulla richiesta di riscatto.
Tre verifiche da portare con te.
- Conoscenza dell’incidente e cronologia ricostruite.
- Ripristino e verifica di riservatezza trattati separatamente.
- Decisioni e aggiornamenti del rischio registrati.
Il recupero dei file e la protezione delle persone sono obiettivi collegati, ma non coincidono. Occorre verificarli entrambi.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.