Un incidente di cybersecurity può trasformarsi rapidamente in una corsa contro il tempo, specialmente quando si tratta di adempiere agli obblighi normativi. L’Agenzia per la Cybersicurezza Nazionale (ACN) impone tempi strettissimi per la notifica di incidenti significativi, spesso entro 24 ore dal rilevamento. Questo non è solo un requisito burocratico, ma un meccanismo fondamentale per la sicurezza nazionale e per la protezione degli asset critici. La tempestività e la completezza della notifica sono cruciali: un errore o un ritardo possono comportare sanzioni, danni reputazionali e la perdita di opportunità di supporto da parte delle autorità. Ho assistito in prima persona a situazioni in cui la mancanza di un piano chiaro ha aggravato l’impatto di un attacco, trasformando un problema tecnico in una crisi gestionale. Prepararsi significa non solo avere gli strumenti tecnici, ma anche le procedure chiare e il personale formato. Leggi anche: Fortinet PSIRT: Valutare l’Esposizione in Rete Segmentata
Testato su: Direttive ACN · Modulo di Notifica ACN v2.0 · Luglio 2026
Prerequisiti / Ambiente di test
Per affrontare efficacemente la notifica di un incidente ACN, è fondamentale disporre di alcuni prerequisiti organizzativi e tecnici:
- Piano di Risposta agli Incidenti (IRP): Un IRP ben definito che includa procedure specifiche per la gestione e la notifica degli incidenti di cybersecurity.
- Team di Sicurezza Designato: Un team con ruoli e responsabilità chiare per il rilevamento, l’analisi, il contenimento e la notifica degli incidenti.
- Strumenti di Monitoraggio e Logging: SIEM (Security Information and Event Management) e EDR (Endpoint Detection and Response) che consentano di raccogliere e analizzare rapidamente i log e le attività di sistema.
- Accesso al Modulo ACN: Avere a disposizione l’ultima versione del Modulo di Notifica di Incidente ACN, preferibilmente precompilato con i dati statici dell’organizzazione. Scarica il Modulo ACN Ufficiale
- Canali di Comunicazione: Canali di comunicazione sicuri e rapidi per la trasmissione delle informazioni all’ACN e per le comunicazioni interne.
1. Valutare l’obbligo di notifica
La prima, e più critica, fase è determinare se l’incidente rientra nei criteri di notifica stabiliti dall’ACN. Non tutti gli incidenti di sicurezza richiedono una notifica. I criteri si basano sull’impatto potenziale o effettivo sui servizi essenziali o sulle funzioni critiche dell’organizzazione. È essenziale consultare le linee guida ACN e la normativa NIS2 (Art. 21, comma 3) per comprendere il perimetro. Un incidente che causa un’interruzione significativa di un servizio essenziale o che compromette dati sensibili di vasta portata è quasi certamente soggetto a notifica. Leggi anche: NIS2 Ente Sanitario: Perimetro e Adeguamento Reale
Un esempio di criterio potrebbe essere:
incident_severity:
- high: { impact: "service_disruption_critical", data_compromise: "sensitive_large_scale" }
- medium: { impact: "service_degradation_major", data_compromise: "personal_moderate" }
- low: { impact: "minor_inconvenience", data_compromise: "none" }
notification_threshold:
- "if severity is high or medium, notify ACN within 24 hours"
- "if data_compromise includes sensitive_large_scale, notify ACN within 24 hours regardless of service impact"2. Raccogliere le informazioni essenziali
Una volta stabilito l’obbligo di notifica, è necessario raccogliere con urgenza tutte le informazioni richieste dal modulo ACN. Questo include dettagli tecnici sull’incidente, la sua natura, l’impatto stimato, le vulnerabilità sfruttate, le azioni di contenimento e mitigazione già intraprese, e i tempi di rilevamento e notifica.
Ecco un elenco di informazioni chiave da raccogliere:
- Data e ora di rilevamento dell’incidente:
YYYY-MM-DD HH:MM:SS - Tipo di incidente: (es. attacco ransomware, data breach, attacco DDoS, compromissione sistema)
- Descrizione dettagliata: Cosa è successo, come è stato rilevato, quali sistemi sono stati coinvolti.
- Impatto stimato: Numero di utenti/servizi colpiti, durata dell’interruzione, entità della perdita di dati.
- Vulnerabilità sfruttate: CVE o altre informazioni tecniche se note.
- Azioni di contenimento: Misure immediate adottate per limitare i danni.
- Misure di mitigazione: Azioni a lungo termine per ripristinare e prevenire futuri incidenti.
- Contatti dell’organizzazione: Referenti tecnici e legali.
# Esempio di script per raccogliere informazioni di base (pseudocodice)
echo
