Che cos’è un attacco informatico e perché oggi il rischio è maggiore
Un attacco informatico è qualsiasi tentativo deliberato di accedere in modo non autorizzato ai vostri sistemi informativi, di rubare o alterare dati o di bloccare il funzionamento dei servizi. Per gli attaccanti le aziende medie e grandi sono interessanti perché dispongono delle risorse per pagare un riscatto e spesso non hanno un team di sicurezza operativo in modo continuativo.
Gli attacchi sono oggi per lo più organizzati e automatizzati. Gli attaccanti acquistano password rubate o accessi alla rete, si muovono in silenzio nei sistemi per giorni o settimane, cancellano o cifrano per prima cosa i backup e solo dopo lanciano il ransomware. Per questo la prontezza dipende, più che da un singolo prodotto, dal presidio delle basi. Valutate la vostra con lo strumento in questa pagina.
I tipi di attacco più frequenti
| Tipo di attacco | Come si svolge | Protezione chiave |
|---|---|---|
| Ransomware | Cifratura dei sistemi e spesso furto di dati con minaccia di pubblicazione | Backup immutabili, ripristino testato, segmentazione della rete |
| Phishing | E-mail o pagina falsa che induce l’utente a cedere la password o a installare codice malevolo | MFA, filtraggio della posta, formazione del personale |
| Compromissione della posta aziendale (BEC) | L’attaccante finge di essere un dirigente o un fornitore e chiede un bonifico | Procedura di verifica dei pagamenti su un secondo canale, MFA |
| Sfruttamento di vulnerabilità | Attacco a sistemi non aggiornati esposti a internet (VPN, firewall, server web) | Gestione delle vulnerabilità, patching tempestivo |
| Attacco tramite fornitore | Intrusione attraverso l’accesso remoto o il software di un fornitore esterno | Controllo degli accessi dei fornitori, requisiti di sicurezza contrattuali |
| DDoS | Sovraccarico di un servizio fino a renderlo irraggiungibile | Protezione presso il provider di rete o nel cloud |
Le cinque aree della prontezza
Lo strumento in questa pagina valuta la prontezza in cinque aree che nella pratica si rivelano decisive.
- Governance e responsabilità. Qualcuno deve essere responsabile della sicurezza e riferire periodicamente ai vertici sui rischi. Senza un inventario dei sistemi critici non si sa che cosa proteggere e ripristinare per primo.
- Backup e ripristino. La regola 3-2-1 (tre copie, due supporti, una copia altrove) è la base. È essenziale che almeno una copia sia immutabile o fisicamente isolata e che il ripristino sia testato regolarmente. Un backup da cui non avete ancora provato a ripristinare è solo un’ipotesi.
- Identità e accessi. L’autenticazione a più fattori (MFA) per posta, accesso remoto e cloud blocca la maggior parte degli attacchi con password rubate. Gli account amministrativi devono essere separati e monitorati.
- Rilevamento e risposta. Log raccolti in modo centralizzato, monitoraggio 24/7 e un piano di risposta esercitato riducono il tempo tra intrusione e rilevamento. È il tempo che incide di più sull’entità del danno.
- Persone. Una formazione breve e regolare e le simulazioni di phishing riducono il numero di truffe riuscite; un modo semplice per segnalare le e-mail sospette consente di reagire in fretta.
Backup: l’ultima linea di difesa
Quando tutte le altre misure falliscono, sono i backup a decidere se potrete ripristinare l’attività. Gli attaccanti lo sanno, quindi cancellare o cifrare le copie è oggi uno dei primi passi dell’attacco. Se l’attaccante ha accesso amministrativo al dominio e al server di backup, anche le copie sono a rischio.
- Immutabilità. Almeno una copia dovrebbe essere conservata in modo da non poter essere modificata o cancellata per un periodo definito, nemmeno con privilegi amministrativi. In alternativa, una copia fisicamente isolata (air gap).
- Credenziali separate. Il sistema di backup non dovrebbe far parte dello stesso dominio della produzione e l’accesso va protetto con MFA.
- Seconda sede. Una copia in un altro data center o nel cloud protegge anche da incendio, allagamento o indisponibilità della sede.
- Ripristino testato. Verificate regolarmente di poter ripristinare sistemi interi, non solo singoli file, e quanto tempo richiede. Confrontate il risultato con il fermo che l’attività può permettersi.
- Ordine di ripristino. Stabilite in anticipo quali sistemi ripristinare per primi. Di norma sono identità, rete, applicazioni aziendali chiave e comunicazioni.
Il ruolo dei vertici
Un attacco informatico non è solo un incidente tecnico. Durante l’evento occorre prendere in fretta decisioni di business: quali servizi fermare, come informare clienti e partner, se coinvolgere esperti esterni, come comunicare con i media e quando notificare le autorità. Queste decisioni spettano ai vertici, che devono quindi partecipare alla preparazione e alle esercitazioni.
Una buona prassi è che la direzione partecipi almeno una volta l’anno a un’esercitazione da tavolo (tabletop) in cui il team simula uno scenario di attacco ransomware. L’esercizio fa emergere rapidamente contatti mancanti, competenze poco chiare e ipotesi che non reggono. Per i soggetti rientranti nel D.Lgs. 138/2024 la formazione degli organi di vertice è anche un obbligo di legge.
Le prime 72 ore dopo un attacco informatico
Le prime ore decidono se l’incidente sarà gestibile. Il quadro seguente è generale e va adattato al vostro piano di risposta.
| Tempo | Passaggi chiave |
|---|---|
| Prima ora | Attivate il team di risposta e informate la direzione. Isolate dalla rete i sistemi infetti, ma non spegneteli né cancellateli. Disabilitate gli account compromessi e gli accessi remoti. |
| Entro 24 ore | Valutate l’entità: quali sistemi e dati sono coinvolti, se i backup sono integri. Mettete al sicuro log e prove. I soggetti rientranti nel D.Lgs. 138/2024 inviano la pre-notifica. Decidete come comunicare con dipendenti e clienti. |
| Entro 72 ore | I soggetti obbligati inviano la notifica dell’incidente con la valutazione iniziale. In caso di violazione di dati personali informate il Garante per la protezione dei dati personali. Avviate il ripristino dei sistemi chiave da copie verificate come integre, nell’ordine definito dal piano. |
| Dopo 72 ore | Eliminate la causa dell’intrusione (vulnerabilità, password rubate), rafforzate il monitoraggio e preparate la relazione finale e l’elenco dei miglioramenti. |
L’incidente può essere segnalato al CSIRT Italia, che offre anche supporto specialistico. I reati, come l’estorsione, vanno denunciati alla Polizia Postale. Le autorità sconsigliano il pagamento del riscatto, perché non garantisce la restituzione dei dati e finanzia nuovi attacchi.
Normativa: D.Lgs. 138/2024, NIS2 e protezione dei dati
Per molte aziende medie e grandi la preparazione a un attacco non è più soltanto una buona pratica, ma un obbligo di legge. Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, impone ai soggetti obbligati misure di gestione dei rischi e la notifica degli incidenti significativi entro 24 ore, 72 ore e un mese. Per verificare se siete soggetti alla norma, consultate la guida NIS2 e D.Lgs. 138/2024.
Se l’attacco coinvolge dati personali, il Regolamento generale sulla protezione dei dati (GDPR) richiede la notifica all’autorità di controllo, in Italia il Garante per la protezione dei dati personali, entro 72 ore e, in alcuni casi, anche la comunicazione agli interessati.
Da dove cominciare
- Compilate la valutazione della prontezza e partite dalle tre misure suggerite.
- Verificate che almeno un backup sia immutabile e che il ripristino sia stato testato negli ultimi sei mesi.
- Introducete l’MFA ovunque l’accesso sia possibile da internet.
- Preparate un breve piano di risposta con i contatti e mettetelo alla prova con un’esercitazione per i vertici.
Humanfrog, in qualità di partner Veeam Silver, fornisce backup con copie immutabili nei data center TIER III, supporta l’introduzione dell’MFA e dei servizi di sicurezza gestiti e la redazione dei piani di risposta. Per verificare la valutazione con un esperto, scriveteci.
