Maturità Gestione delle crisi informatiche · Resilienza dopo un attacco
La vostra capacità di reggere e ripartire dopo un attacco, misurata e tradotta in un piano d’azione.
12 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 12 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità Gestione delle crisi informatiche · Resilienza dopo un attacco
12 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Quadro di gestione delle crisi cyber, allineato a ISO 22301, ISO/IEC 27035 e alla guida ANSSI di gestione delle crisi cyber avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 12 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che li collega) a trasformare una constatazione in una traiettoria.
La capacità di ripristinare i sistemi essenziali a partire dai backup è verificata?
- N1
Nessun test di ripristino. L’esistenza dei backup viene constatata dai log, senza verifica della loro effettiva utilizzabilità.
- N2
Alcuni ripristini vengono effettuati occasionalmente, in occasione di una richiesta utente o di un incidente, senza un perimetro definito né un resoconto.
- N3
Un piano di test copre i sistemi essenziali identificati, con ripristini periodici e un resoconto documentato dei risultati.
- N4
I test vengono effettuati su un ambiente isolato, includono la ricostruzione della directory e misurano i tempi ottenuti, confrontati con i tempi obiettivo validati dalle funzioni aziendali.
- N5
I test integrano uno scenario di compromissione dei backup online, gli scostamenti temporali alimentano il piano di investimento, e il dispositivo viene rivisto dopo ogni esercitazione e ogni evoluzione dell’architettura.
Azione per passare da N2 a N3
Stabilire l’elenco dei sistemi essenziali con le funzioni aziendali, inserire un ripristino di test trimestrale nel calendario operativo esistente e produrre un resoconto breve, presentato in comitato sicurezza.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazione
Di cosa parla questo quadro di riferimento
La gestione della crisi cyber non è la gestione dell’incidente. L’incidente si tratta nei processi esistenti, con i team già in campo. La crisi inizia quando l’evento supera le capacità di gestione ordinarie: più funzioni aziendali coinvolte, sistemi non disponibili, decisioni da prendere senza informazioni complete, comunicazione da gestire verso clienti, autorità e dipendenti. Il quadro di riferimento valuta il dispositivo che subentra in quel preciso momento: criteri di attivazione, cellula di crisi decisionale e cellula operativa, mezzi di comunicazione di riserva, procedure degradate, strategia di ripristino e capacità di trarre insegnamenti.
È un ambito difficile da presidiare perché la prova manca finché non accade nulla. Alcune domande concrete permettono di fare chiarezza rapidamente: chi decide di isolare un sistema di produzione, e questa decisione può essere presa una domenica alle tre di notte senza attendere il comitato direttivo? Per quanto tempo l’attività può funzionare senza il sistema informativo, e questa durata è stata verificata con le funzioni aziendali o è solo una stima dell’IT? I backup sono mai stati ripristinati davvero, su un ambiente separato, e in quanto tempo?
Un equivoco ricorrente consiste nel confondere il piano di continuità operativa con il dispositivo di crisi cyber. Il piano di continuità classico presuppone che il sistema informativo resti disponibile su un sito di riserva. Un attacco ransomware invalida questa ipotesi, poiché colpisce la directory, i backup online e talvolta gli stessi strumenti di comunicazione interna. I requisiti europei recenti, NIS 2 e DORA, hanno inoltre spostato il tema dall’ambito tecnico a quello della governance, con termini di notifica brevi e una responsabilità esplicita degli organi di direzione.
Un audit di conformità si conclude con un sì o un no: il piano esiste, l’esercitazione è stata svolta. La diagnosi di maturità pone una domanda diversa: a quale livello di padronanza si colloca la pratica, e quale azione precisa consente di passare al livello superiore. Tra un piano di crisi scritto e mai messo alla prova, un piano testato una volta l’anno su carta e un dispositivo collaudato con esercitazioni di simulazione con passaggio tecnico reale, la differenza è considerevole, mentre i tre casi rispondono sì alla stessa domanda di audit.
In Datamensio, il quadro di riferimento è pronto all’uso. Potete anche adattarlo al vostro contesto: l’IA regola gli ambiti, le domande e i livelli, oppure costruisce una versione personalizzata a partire dai vostri documenti, piano di crisi, schede operative o resoconti di esercitazioni.
Norma di riferimento: Quadro di gestione delle crisi cyber, allineato a ISO 22301, ISO/IEC 27035 e alla guida ANSSI di gestione delle crisi cyber
Gli ambiti valutati
Governance del dispositivo di crisi
Politica di gestione della crisi, collocazione gerarchica, ruoli e sostituzioni, coinvolgimento degli organi di direzione, budget e risorse dedicate.
Rilevamento e qualificazione
Fonti di rilevamento, catena di allerta, criteri di qualificazione di un incidente come crisi, soglie di attivazione, presidio al di fuori dell’orario lavorativo.
Cellule di crisi e mobilitazione
Composizione della cellula decisionale e della cellula operativa, deleghe decisionali, rubrica di mobilitazione, sala di crisi fisica e di riserva.
Procedure e schede operative
Scenari coperti, schede operative per ruolo, procedure di isolamento e contenimento, disponibilità dei documenti in versione offline.
Comunicazione di crisi
Portavoce designati, messaggi preparati per pubblico, canali di riserva indipendenti dal sistema informativo, coordinamento con clienti e partner.
Notifica normativa e rapporti con le autorità
Identificazione degli obblighi applicabili, termini di notifica, contatti stabiliti con le autorità competenti, denuncia e assicurazione cyber.
Continuità operativa in modalità degradata
Analisi di impatto sulle attività, durate di interruzione accettabili validate dalle funzioni aziendali, procedure manuali, definizione delle priorità delle attività essenziali.
Backup e capacità di ricostruzione
Isolamento e immutabilità dei backup, perimetro coperto, test di ripristino reali, piano di ricostruzione della directory e delle infrastrutture tecniche di base.
Ripristino e ritorno alla normalità
Criteri di uscita dalla crisi, sequenza di rimessa in servizio, misure di irrobustimento prima della riconnessione, sorveglianza rafforzata post-incidente.
Esercitazioni e addestramento
Frequenza e formato delle esercitazioni, realismo degli scenari, coinvolgimento dei dirigenti e delle funzioni aziendali, passaggio tecnico effettivo, monitoraggio delle azioni derivanti dalle esercitazioni.
Ecosistema e dipendenze
Fornitori critici e outsourcing IT, clausole contrattuali di mobilitazione, fornitori di risposta agli incidenti referenziati, coordinamento con la catena di approvvigionamento.
Lezioni apprese e miglioramento
Raccolta dei fatti durante la crisi, registro degli eventi, debriefing strutturato, azioni correttive monitorate nel tempo, aggiornamento del dispositivo.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
Questa diagnosi porta a una certificazione?
No. Datamensio misura la maturità del dispositivo di crisi e prepara alle scadenze, ma non certifica. La diagnosi funge da base documentata se in seguito avviate un percorso ISO 22301 o una revisione da parte di terzi.
Qual è la differenza rispetto a un audit di conformità del piano di crisi?
L’audit verifica l’esistenza dei documenti e si conclude con uno scostamento o una conformità. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione che consente di salire di un livello. Un piano scritto e mai messo alla prova e un dispositivo collaudato tramite esercitazioni ottengono lo stesso risultato in audit, ma mai lo stesso punteggio di maturità.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 30 minuti. La versione completa, in modalità collaborativa, coinvolge la sicurezza, la produzione informatica, la continuità operativa e la comunicazione. La maggior parte del tempo è dedicata alla raccolta presso questi contributori.
Bisogna aver già vissuto una crisi per rispondere?
No. Le domande riguardano i dispositivi in essere e le prove disponibili, resoconti di esercitazioni, schede operative, test di ripristino. Un’organizzazione che ha vissuto una crisi recente dispone semplicemente di più materiale per oggettivare le proprie risposte.
Si può adattare il quadro di riferimento?
Sì. Potete modificare le domande, i livelli, aggiungere ambiti propri del vostro settore o della vostra organizzazione multi-sede. L’IA costruisce anche una versione personalizzata a partire dal vostro piano di crisi e dai vostri resoconti di esercitazioni. Il controllo del quadro di riferimento resta vostro.
Come confrontare più entità del gruppo?
Lo stesso quadro di riferimento viene distribuito a ogni business unit, il che rende i punteggi comparabili per ambito. Una roadmap trasversale consolida gli audit e raggruppa le azioni comuni, con l’IA che le prioritizza in base al loro impatto sul punteggio.
Come si collega questa diagnosi a NIS 2 e DORA?
Questi testi normativi impongono obblighi di notifica, continuità e test che si sovrappongono direttamente agli ambiti del quadro di riferimento. La diagnosi costituisce una base riutilizzabile per queste due scadenze, senza duplicare la raccolta dati.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.