SOLO PER ESERCITAZIONE — KIT PER IL FACILITATORE SULL'ESERCITAZIONE TEORICA SUI RANSOMWARE Team editoriale CyberPlay | 13 settembre 2026 Esercitazione fittizia originale. Durata consigliata: 60 minuti. Prima dell'uso, inserire il canale di segnalazione interno, il referente per la risposta, il contatto di riserva, il responsabile della continuità operativa e il canale di approvazione delle comunicazioni. Non inserire dati riservati reali nei materiali di formazione. PREPARAZIONE INTERNA Data e facilitatore: ____________________ Canale di segnalazione dell'incidente: ____________________ Canale di contatto alternativo: ____________________ Responsabile della continuità operativa: ____________________ Responsabile dell'approvazione delle comunicazioni: ____________________ Contatti specialistici necessari: ____________________ 1. DEFINIRE TRE OBIETTIVI PRIMA DELLA SESSIONE Scegliere un perimetro gestibile: riconoscere quando passare la gestione al livello superiore, coordinarsi quando il normale canale di comunicazione non è disponibile e autorizzare una procedura aziendale temporanea. Descrivere cosa dovrebbe dimostrare una discussione efficace per ciascun obiettivo. Evitare di voler testare l'intera architettura di ripristino e ogni obbligo normativo in un unico incontro introduttivo. La pubblicazione NIST SP 800-61 Rev. 3 colloca la risposta agli incidenti all'interno della più ampia gestione del rischio di sicurezza informatica. Utilizzare l'esercitazione teorica per collegare le decisioni quotidiane del team a tale struttura di risposta. Anche la CISA pubblica scenari di esercitazione sulla sicurezza informatica, inclusi quelli sui ransomware. Tali risorse sono utili per un programma di simulazioni più formale dopo che il team ha approfondito queste questioni fondamentali di coordinamento. 2. ASSEGNARE RUOLI E RESPONSABILITÀ DECISIONALI Coinvolgere un facilitatore, una persona addetta ai verbali, il referente per gli incidenti, un rappresentante delle operazioni aziendali, un responsabile delle comunicazioni verso i clienti e un dirigente appropriato. Includere i responsabili della privacy, dell'ufficio legale o degli obblighi specifici di settore laddove lo scenario lo richieda. In una piccola organizzazione una persona può ricoprire più ruoli, ma le responsabilità devono rimanere ben definite. Ruolo | Responsabilità nell'esercitazione Facilitatore | Presentare la situazione fittizia, gestire i tempi e mantenere la discussione all'interno del perimetro stabilito. Addetto ai verbali | Registrare decisioni, ipotesi, carenze, responsabili e scadenze di verifica. Coordinatore dell'incidente | Spiegare la procedura di passaggio di livello e coordinare la gestione autorizzata della risposta. Responsabile delle operazioni aziendali | Identificare le attività critiche e le opzioni di continuità consentite. Responsabile delle comunicazioni | Definire i canali di approvazione dei messaggi interni ed esterni. Dirigenza e specialisti | Risolvere le questioni di autorità decisionale e individuare gli obblighi che richiedono una valutazione. 3. PREPARARE L'AULA E LE REGOLE DELL'ESERCITAZIONE Portare l'elenco aggiornato dei contatti per gli incidenti, le istruzioni di segnalazione, il piano di continuità e la procedura di approvazione delle comunicazioni. Utilizzare copie cartacee o non in rete dove opportuno, in modo che la discussione possa affrontare l'ipotesi di indisponibilità dei normali sistemi. Verificare i recapiti mediante una fase di preparazione concordata; non allertare i veri soccorritori con una chiamata di prova a sorpresa. Contrassegnare chiaramente tutti i materiali come esercitazione. Esporre le regole a voce: i partecipanti descrivono le azioni anziché eseguirle; non vengono effettuate modifiche in produzione, azzeramenti di account o notifiche ai clienti; un vero incidente interrompe l'esercitazione. Gli aspetti ignoti vanno annotati, non colmati con ipotesi di comodo. Se qualcuno afferma "L'IT ripristinerà tutto", chiedere quale piano approvato e quale responsabile supportino tale previsione. 4. SEGUIRE IL PROGRAMMA PROPOSTO DI 60 MINUTI L'organizzazione fittizia è una piccola società di servizi con un'area di lavoro condivisa per i documenti, una coda di assistenza clienti e attività programmate da completare nel pomeriggio. Sostituire questi dettagli con funzioni aziendali fittizie analoghe, se necessario. Evitare di usare nomi di clienti reali o dati sensibili effettivi. Il facilitatore fornisce le informazioni gradualmente, in modo che il gruppo sia costretto a decidere in condizioni di incertezza. Tempo | Fase | Questione da risolvere 0–10 minuti | Presentazione iniziale e ruoli | Cosa può decidere ciascuna persona e come verranno annotate le lacune? 10–20 minuti | Evento 1: file non disponibili | In che modo viene segnalata la situazione e passata al livello superiore? 20–30 minuti | Evento 2: chat abituale inaffidabile | Come si coordinano i team attraverso il canale di riserva approvato? 30–40 minuti | Evento 3: i clienti chiedono aggiornamenti | Chi approva il messaggio e una procedura di lavoro temporanea? 40–50 minuti | Evento 4: incertezza sul ripristino | Quali priorità aziendali e informazioni guidano la risposta? 50–60 minuti | Debriefing | Quali interventi di miglioramento necessitano di responsabili, scadenze e verifiche? 5. EVENTO 1: UN DIPENDENTE NON RIESCE AD APRIRE I FILE CONDIVISI Leggere questo aggiornamento fittizio: "Alle 09:10, un collega segnala che diversi file condivisi presentano nomi anomali e non si aprono. Un altro dipendente riferisce la comparsa di una schermata di lavoro con una richiesta di riscatto. Il consueto canale di segnalazione è ancora utilizzabile." Chiedere al gruppo di descrivere la prima notifica, a chi è diretta e come il responsabile aziendale viene informato del possibile impatto sul lavoro. Il compito del dipendente è seguire le istruzioni approvate di segnalazione e reazione immediata, fornendo indicazioni precise su quanto osservato. Il gruppo non deve improvvisare misure tecniche di contenimento. Le linee guida sui ransomware della CISA includono considerazioni sull'isolamento coordinato e sulla conservazione delle prove; interventi come scollegare o spegnere i sistemi comportano conseguenze operative e sono di competenza esclusiva del team di risposta autorizzato secondo le procedure stabilite. - Quali fatti sono accertati e quali sono solo ipotesi? - Chi ha l'autorità di dichiarare o coordinare un incidente? - Cosa deve fare il dipendente che segnala il problema in attesa di istruzioni? - Come viene gestita la segnalazione se il contatto principale non risponde? 6. EVENTO 2: IL SOLITO CANALE DI CHAT DIVENTA INAFFIDABILE Leggere questo aggiornamento fittizio: "Alle 09:25, alcuni dipendenti non riescono a utilizzare la solita applicazione di chat. Un messaggio all'interno di un gruppo esistente, apparentemente inviato dal supporto tecnico, invita tutti a spostarsi su una nuova chat pubblica per ricevere istruzioni sul ripristino." Chiedere come i partecipanti verificano tale istruzione e dove sia documentato il canale di riserva approvato. Non bisogna dare per scontato che una conversazione di gruppo abituale renda attendibile qualsiasi nuova istruzione. Il coordinatore dell'incidente deve illustrare la soluzione alternativa stabilita e spiegare come il team riconoscerà le direttive autorizzate. Se non esiste un canale alternativo, registrare la carenza e discutere su chi debba definirlo. Evitare di creare un vero gruppo di emergenza durante l'esercitazione senza rispettare le normali procedure aziendali di approvazione e accesso. 7. EVENTO 3: LE RICHIESTE DEI CLIENTI SPINGONO VERSO SOLUZIONI DI FORTUNA Leggere questo aggiornamento fittizio: "Alle 09:40, un cliente richiede con urgenza un aggiornamento sullo stato delle attività. Un membro del team propone di trasferire l'esportazione dei dati dei clienti di ieri su un account cloud personale per poter proseguire il lavoro. L'esportazione potrebbe contenere informazioni non aggiornate." Chiedere chi ha il potere di autorizzare la continuità operativa, quali informazioni siano sicure da usare e come debba essere approvato il messaggio verso l'esterno. Una soluzione alternativa di supporto Il team vuole ripristinare il servizio rapidamente, ma non dispone di alcuna approvazione per l'uso di un servizio di archiviazione cloud personale. 1. Trasferire subito il file esportato e registrare l'operazione in un secondo momento. 2. Attendere in silenzio fino al completo ripristino di tutti i sistemi. 3. Segnalare l'esigenza di continuità al responsabile autorizzato e adottare esclusivamente una procedura temporanea approvata. Risposta per il facilitatore: Segnalare l'esigenza operativa al livello superiore e ottenere una decisione approvata sulla continuità. La necessità di continuare a lavorare non autorizza automaticamente l'uso di una nuova destinazione per i dati. Debriefing: Chiedere quale livello minimo di servizio possa proseguire in sicurezza, quale messaggio per i clienti possa essere approvato subito e quali decisioni rimangano di competenza esclusiva del team di risposta. 8. EVENTO 4: I TEMPI DI RIPRISTINO E L'ESPOSIZIONE DEI DATI SONO INCERTI Leggere questo aggiornamento fittizio: "Alle 10:00, il team di risposta non ha ancora confermato quando l'area di lavoro condivisa tornerà accessibile. Un soggetto esterno afferma che i dati aziendali sono stati sottratti. La rivendicazione non è stata confermata. La direzione chiede quali servizi debbano essere ripristinati per primi e cosa sia opportuno comunicare ai clienti." Chiedere al gruppo di distinguere, nel registro delle decisioni, i fatti accertati, le rivendicazioni e gli elementi ancora ignoti. Il responsabile operativo può chiarire dipendenze e priorità, mentre il team tecnico valuta le alternative di ripristino. I referenti specialistici designati valutano gli obblighi di notifica e gli altri adempimenti legali o contrattuali. Non bisogna inventare un termine di notifica valido per ogni caso né far negoziare i normali dipendenti con chi avanza la richiesta. L'esercitazione deve chiarire a chi spettino queste decisioni e di quali informazioni tali figure abbiano bisogno. 9. DEBRIEFING CON REGISTRO DELLE DECISIONI E PIANO DI MIGLIORAMENTO Chiedere cosa ha funzionato, in quali circostanze il team si è basato su presunzioni e quale procedura mancante abbia complicato le scelte. Registrare ogni carenza in modo che possa essere affrontata e risolta. L'indicazione "La comunicazione è stata poco chiara" è troppo generica. Una formulazione come "Pubblicare e verificare il canale di emergenza per gli incidenti, a cura del coordinatore dell'incidente, prima della prossima simulazione" definisce invece un intervento concreto. Voce del registro | Cosa inserire Osservazione | Il passaggio preciso in cui una decisione o un passaggio di consegne è risultato difficoltoso. Conseguenza | Quale attività operativa o di risposta potrebbe subire ritardi o essere gestita in modo errato. Azione | La modifica pratica necessaria per rimediare alla carenza. Responsabile e scadenza | La persona incaricata di attuare la modifica e la data stabilita. Verifica | Come il team accerterà l'efficacia della nuova procedura. 10. VERIFICARE I MIGLIORAMENTI E COLLEGARE L'ADDESTRAMENTO INDIVIDUALE Inviare il registro delle decisioni attraverso la procedura interna concordata e pianificare una revisione degli interventi previsti. Mantenere gli appunti dell'esercitazione limitati a quanto strettamente necessario a tale scopo. Nelle sessioni successive, modificare una variabile — come un referente non reperibile o un diverso servizio bloccato — per verificare se la procedura aggiornata regge ancora. Una sessione teorica di per sé non garantisce che i backup vengano ripristinati correttamente né che un piano tecnico di ripristino sia stato realmente collaudato. Gli scenari sui ransomware di CyberPlay offrono l'opportunità di svolgere esercitazioni individuali prima o dopo la discussione di gruppo. Utilizzare il catalogo tematico per individuare il gioco più adatto, quindi collegare una decisione specifica al reale flusso di segnalazione aziendale. È fondamentale distinguere i livelli: il gioco consente di allenare le scelte personali, l'esercitazione teorica mette alla prova il coordinamento, mentre il ripristino tecnico esige verifiche operative autorizzate a parte. SCHEDA DI INTERVENTO DA COMPILARE Osservazione: ____________________ Conseguenza: ____________________ Azione: ____________________ Responsabile: ____________________ Scadenza: ____________________ Metodo di verifica: ____________________ FONTI BIBLIOGRAFICHE Incident Response Recommendations and Considerations, SP 800-61 Rev. 3 — https://csrc.nist.gov/pubs/sp/800/61/r3/final Cybersecurity Scenarios — https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios #StopRansomware Guide — https://www.cisa.gov/stopransomware/ransomware-guide