Emergenza informatica in azienda: cosa fare nella prima ora

Le emergenze informatiche hanno una caratteristica scomoda: capitano quando nessuno è pronto, di solito il venerdì pomeriggio o durante le ferie, e le prime decisioni le prende chi si trova lì, non chi ne sa di più. Per questo un foglio scritto in anticipo vale più di qualunque prodotto comprato dopo.

Questo articolo è quel foglio, nella versione generale. La versione della tua azienda va scritta con i tuoi nomi e i tuoi numeri, e va tenuta dove si trova anche quando i computer non si accendono: stampata, o su un telefono.

I due errori che costano di più

Prima di cosa fare, cosa non fare. Sono due, e sono entrambi istintivi.

1. Spegnere le macchine. Sembra la mossa sicura e invece cancella la memoria volatile, dove stanno le tracce di cosa stava girando: processi, connessioni aperte, a volte le chiavi di cifratura ancora in memoria. Va scollegata la rete, non tolta la corrente.
2. Riformattare e ripristinare subito. È la fretta di tornare operativi, e riporta l'azienda esattamente nella condizione in cui l'attacco è riuscito. Se non sai da dove è entrato, il ripristino è solo l'inizio del secondo attacco.

La prima ora, in ordine

1. Isolare. Scollega dalla rete le macchine coinvolte e quelle che ci somigliano. Se il dubbio riguarda l'intera rete, stacca la connessione a internet dal router: meglio fermare tutto per un'ora che scoprire domani che si è propagato.
2. Chiudere gli accessi da remoto. VPN, desktop remoto, accessi dei fornitori. È la porta da cui spesso è entrato ed è la porta da cui potrebbe rientrare mentre stai lavorando.
3. Mettere in salvo i backup. Se la destinazione è raggiungibile dalla rete, scollegala fisicamente o rendila non scrivibile. È il bersaglio che chi attacca cerca per primo.
4. Cambiare le credenziali privilegiate, da un dispositivo che non è coinvolto. Amministratore di dominio, amministratore dei servizi cloud, casella di posta principale.
5. Fotografare lo stato. Uno scatto con il telefono della schermata, del messaggio di riscatto, del nome dei file cifrati. Sono i dati con cui si identifica la famiglia del ransomware, e a volte esiste un decifratore pubblico.
6. Avvisare. Chi decide in azienda, chi si occupa dei sistemi, e il fornitore del gestionale se il gestionale è coinvolto.

Sei passi, e nessuno richiede competenze specialistiche: richiedono di essere scritti prima, perché nel momento in cui servono nessuno ha la lucidità per inventarli.

Le tre emergenze più frequenti

La riga di mezzo è quella che si sbaglia più spesso. Su una casella violata, cambiare la password non basta: le sessioni già autenticate continuano a funzionare, e spesso chi è entrato ha aggiunto una regola che inoltra silenziosamente la posta altrove. Vanno invalidate le sessioni e controllate le regole di inoltro.

Il foglio da preparare adesso

Una pagina, aggiornata una volta l'anno, con queste informazioni:

• Chi chiamare, in ordine, con i numeri: il responsabile interno, chi si occupa dei sistemi, i fornitori critici.
• Dove sono i backup, come si accede e chi ha le credenziali.
• Quali sono i tre sistemi senza i quali l'azienda si ferma, e in che ordine vanno ripristinati.
• Le credenziali di emergenza degli account amministrativi, conservate fuori dai sistemi che potrebbero essere coinvolti.
• Il testo già pronto da mandare a clienti e fornitori se il disservizio li tocca.

L'ultima voce sembra burocrazia e invece è quella che protegge la reputazione. Comunicare male durante un incidente fa più danni dell'incidente stesso, e nel mezzo della crisi nessuno scrive bene.

Quando conviene chiamare qualcuno da fuori

Non sempre serve. Un disco guasto o una stampante che non risponde si risolvono internamente. Conviene invece chiamare quando ricorre una di queste condizioni:

• Ci sono file cifrati o una richiesta di riscatto.
• Sospetti che qualcuno abbia avuto accesso a dati di clienti, perché in quel caso possono scattare obblighi di notifica al Garante entro 72 ore.
• Il problema si sta propagando da una macchina all'altra.
• Non riesci a stabilire se sia un guasto o un attacco, e quindi non sai se puoi toccare i dischi.

In queste situazioni le prime ore contano più delle competenze: un intervento che parte subito su una rete isolata correttamente lavora su un problema circoscritto, uno che parte il lunedì lavora su un'azienda intera.

Se un piano scritto oggi non esiste, prepararlo costa poche ore e si fa a mente fredda. È l'investimento con il rapporto migliore fra quello che costa e quello che evita.