Ransomware: esercitazione da tavolo per chiarire chi decide nelle prime fasi
Parliamo del tuo progetto →Una simulazione ransomware può far emergere contatti mancanti e decisioni senza responsabile. Ecco uno scenario da discutere senza intervenire sui sistemi reali.
Secondo il NCSC britannico, nel programma Exercise in a Box è disponibile un esercizio sul ransomware. Lo scenario che segue è una proposta editoriale originale Dedaloop: non riproduce l’esercizio ufficiale e non descrive un incidente reale.
Lo scenario simulato
Lunedì mattina, un collega segnala che alcuni file condivisi non si aprono. Poco dopo compare una richiesta di riscatto su un computer. Al momento non sappiamo se altri sistemi siano coinvolti o se siano stati sottratti dati. Nel verbale, questa incertezza va lasciata esplicita.
Convocate chi coordina l’operatività, chi gestisce l’IT, una persona della direzione e chi cura le comunicazioni. Assegnate un facilitatore e un verbalizzatore. Durante la simulazione non eseguite malware, non scollegate dispositivi e non cambiate configurazioni: l’obiettivo è discutere scelte, responsabilità e autorizzazioni.
Quattro decisioni da mettere alla prova
- Chi riceve la segnalazione e chi dichiara l’incidente? Fate individuare il contatto nel piano, senza suggerirlo a voce.
- Chi può autorizzare il contenimento e quali servizi rischiano di fermarsi? La scelta tecnica va affidata ai responsabili competenti, preservando le evidenze secondo il piano di risposta.
- Come si comunica se la posta aziendale non è utilizzabile? Verificate un canale alternativo già concordato e l’identità dei partecipanti.
- Chi decide quando riprendere il servizio? Un backup disponibile non basta a dimostrare che l’ambiente di rientro sia affidabile.
Rendere utile il verbale
Per ogni decisione annotate responsabile, informazioni necessarie, azione proposta e dubbio aperto. Distinguete fatti simulati, ipotesi e verifiche da svolgere. Se qualcuno propone di promettere una data di ripristino, chiedete quale evidenza la sostenga.
Il risultato atteso è un elenco breve di correzioni: per esempio un contatto alternativo mancante, un’autorità decisionale non definita o una prova di ripristino mai pianificata. Assegnate ogni correzione a una persona e verificate la chiusura in una seconda sessione.
Questa esercitazione prepara il coordinamento; non sostituisce un piano tecnico o l’assistenza durante un incidente. Gli eventuali obblighi di notifica vanno valutati dai responsabili competenti in base al caso concreto, senza trasformare il laboratorio in consulenza legale.