I primi 60 minuti di un incidente: cosa fare (e cosa non fare)

La prima ora di un incidente è quella in cui si commettono gli errori più costosi. Non perché manchi la competenza, ma perché sotto pressione l’istinto spinge a fare la cosa sbagliata: spegnere tutto, reinstallare, cancellare il file sospetto e tornare operativi. Ogni azione affrettata può risolvere il sintomo del momento e, nello stesso gesto, distruggere ciò che Le servirà per capire l’accaduto, notificare correttamente e — se necessario — difendersi in giudizio.

L’obiettivo dei primi sessanta minuti non è risolvere l’incidente. È guadagnare il controllo senza bruciare le opzioni future. Due esigenze convivono e a volte confliggono: contenere il danno e preservare le prove. Sapere come tenerle insieme è ciò che distingue una risposta professionale da una reazione.

Contenere non significa spegnere

La reazione più comune davanti a una macchina compromessa è staccare la corrente. È quasi sempre l’azione sbagliata. Spegnere brutalmente un sistema cancella la memoria volatile: processi in esecuzione, connessioni di rete attive, chiavi di cifratura ancora in RAM, artefatti che vivono solo finché la macchina è accesa. Sono spesso le prove più preziose per ricostruire cosa stesse facendo l’attaccante.

Contenere significa isolare, non distruggere. Scolleghi il sistema dalla rete — cavo, Wi-Fi, segmentazione a livello di switch o firewall — ma lo lasci acceso finché non ha deciso come acquisirne lo stato. Isolare interrompe la capacità dell’attaccante di muoversi lateralmente o esfiltrare dati, senza azzerare la scena.

L’ordine di volatilità

Se deve acquisire prove, raccolga prima ciò che sparisce prima. La prassi forense segue l’ordine di volatilità: memoria e stato del sistema, connessioni e processi, poi lo storage persistente come dischi e log. Una copia della RAM presa prima di spegnere può contenere ciò che nessun disco conserverà mai — credenziali in chiaro, indicatori di comando e controllo, tracce di ciò che l’attaccante stava eseguendo in quel preciso istante. Se non ha gli strumenti o le competenze per farlo, isoli e non tocchi: meglio una scena congelata di una scena contaminata. Il gesto peggiore, quasi sempre, è quello fatto per fare qualcosa.

Catena di custodia dal minuto zero

Ogni prova che potrebbe finire davanti a un’autorità, un assicuratore o un giudice deve avere una storia tracciabile: chi l’ha raccolta, quando, come, dove è conservata e chi vi ha avuto accesso. Questa è la catena di custodia, e comincia al minuto zero, non quando arriva l’avvocato. Annoti gli orari con un fuso orario esplicito, calcoli gli hash crittografici delle copie, tenga un registro delle azioni. Una prova senza custodia documentata è una prova che l’altra parte può contestare.

Comunica su un canale separato

Se l’attaccante è dentro la posta o la piattaforma di collaborazione, sta leggendo il Suo piano mentre lo scrive. Sposti il coordinamento su un canale fuori banda — telefoni, una chat separata, un ambiente non toccato dall’incidente. Costituisca una war room con un unico punto di verità e decida presto chi parla con l’esterno. Silenzio operativo non significa nascondere: significa non allertare l’avversario e non generare panico prima di avere fatti.

Documenta mentre agisci, non dopo

Nel mezzo dell’incidente ogni azione sembra ovvia; a settimane di distanza, davanti a un assicuratore o a un’autorità, non lo è più. Tenga un registro cronologico contestuale: cosa ha osservato, cosa ha deciso, cosa ha fatto e a che ora. Non è burocrazia, è la spina dorsale di tutto ciò che verrà dopo — la notifica, la ricostruzione tecnica, l’eventuale contenzioso. La memoria di chi ha gestito la crisi è la fonte meno affidabile che avrà; le note prese sul momento sono la più affidabile.

Cosa non fare nella prima ora

Non reinstalli né ripristini i sistemi colpiti: cancella le prove e spesso non elimina l’accesso dell’attaccante. Non cancelli file sospetti: li isoli. Non riavvii per vedere se il problema sparisce. Non usi le stesse credenziali che potrebbero essere compromesse. Non pubblichi comunicati né risponda all’attaccante senza il coinvolgimento di chi gestirà legale, tecnica e comunicazione. E non aspetti per coinvolgere chi di dovere: un legale interpellato presto può proteggere la riservatezza del lavoro investigativo.

In sintesi

I primi sessanta minuti si vincono con la disciplina, non con la velocità. Isoli invece di spegnere, raccolga il volatile prima del persistente, documenti la catena di custodia dal primo gesto e coordini su un canale che l’attaccante non controlla. Chi decide queste cose durante l’incidente arriva sempre tardi. Chi le ha decise prima, semplicemente le esegue.