🚨 Piano di risposta agli incidenti informatici per le PMI di Torino

Cosa significa un piano di risposta agli incidenti per una PMI di Torino

Un piano di risposta agli incidenti informatici — in inglese Incident Response Plan — è l'insieme di procedure scritte che stabiliscono chi fa cosa, in quale ordine e con quali strumenti nel momento esatto in cui l'azienda subisce un attacco informatico: un ransomware che cifra i file, un account compromesso, un furto di dati, un sito bloccato. Non è un software e non è un antivirus: è un documento operativo che trasforma il panico in una sequenza di azioni già decise a mente fredda, quando ancora tutto funziona.

La differenza tra un'azienda che ha questo piano e una che non ce l'ha si misura nelle prime ore dopo l'attacco. Chi è preparato sa chi chiamare, quali sistemi staccare, dove sono i backup e come far ripartire l'attività; chi non lo è perde tempo prezioso mentre il danno cresce di minuto in minuto. Secondo il Rapporto Clusit, nel 2025 gli attacchi informatici gravi in Italia hanno registrato l'aumento più alto mai rilevato, e le piccole e medie imprese sono ormai il bersaglio preferito: il Cyber Index PMI 2026 stima che quasi una PMI italiana su quattro abbia subito una violazione informatica negli ultimi tre anni.

Per una PMI di Torino questo significa una cosa semplice: la domanda non è più se arriverà un incidente, ma quando — e se quel giorno l'azienda avrà un piano oppure improvviserà. In questo articolo AscenSys, società IT di Torino, spiega come costruire un piano di risposta agli incidenti su misura per una piccola impresa, cosa fare concretamente nelle prime 72 ore e come trasformare un attacco in un evento gestibile invece che in una crisi che rischia di chiudere l'azienda.

Senza un piano le prime ore dopo un attacco diventano un disastro

Quando parliamo con gli imprenditori torinesi che hanno subito un attacco, la scena si ripete quasi sempre uguale. "Una mattina i file sul server erano tutti cifrati e c'era un messaggio che chiedeva un riscatto", ci raccontano, "e per le prime due ore non sapevamo nemmeno da dove cominciare". È esattamente in quelle due ore che si decide gran parte del danno.

Cosa succede in una PMI che non ha un piano di risposta

Senza procedure decise in anticipo, ogni decisione viene presa nel momento peggiore — sotto pressione, con i sistemi fermi e i clienti che chiamano. Gli errori più comuni che vediamo sono sempre gli stessi:

• Nessuno sa chi comanda: il titolare, il dipendente più esperto e il consulente esterno si rimbalzano le decisioni, e intanto il ransomware continua a propagarsi sulla rete.
• Si spengono i computer nel modo sbagliato: staccare tutto di colpo può distruggere le tracce necessarie a capire come è entrato l'attaccante e persino compromettere il recupero dei dati.
• Si scopre che i backup non ci sono o non funzionano: molte aziende pensano di avere un backup fino al giorno in cui provano a ripristinarlo e scoprono che era fermo da mesi o che è stato cifrato anch'esso.
• Si ignora l'obbligo di notifica: se l'attacco coinvolge dati personali scatta l'obbligo di legge di avvisare il Garante entro 72 ore, e non farlo espone l'azienda a sanzioni che si sommano al danno tecnico.
• Si valuta di pagare il riscatto: nel panico sembra la via più rapida, ma pagare non garantisce di riavere i dati e finanzia i criminali, che spesso ricolpiscono chi ha già pagato.

Il risultato è quasi sempre lo stesso: giorni di fermo, costi imprevisti e clienti persi. Il danno medio di un incidente per una PMI italiana è stimato intorno ai 59.000 euro, ma per una piccola azienda la voce più pesante spesso non è il costo tecnico: è l'attività ferma, gli ordini che saltano e la fiducia dei clienti da ricostruire. Un piano di risposta agli incidenti non evita l'attacco, ma evita che l'attacco si trasformi in un tracollo.

La proposta AscenSys: un piano di risposta agli incidenti su misura per la PMI

Preparare una PMI a rispondere a un incidente non significa consegnarle un manuale di cento pagine che nessuno leggerà. AscenSys, società IT di Torino, costruisce un piano di risposta agli incidenti essenziale e realmente utilizzabile, tarato sulla dimensione e sui sistemi dell'azienda, e — soprattutto — si mette a fianco dell'impresa nel momento in cui l'incidente accade davvero. Il principio è chiaro: le decisioni difficili vanno prese prima, non durante l'emergenza.

Cosa contiene il piano di risposta che prepariamo per una PMI

Il piano che AscenSys redige per una piccola impresa è un documento snello ma completo, che risponde in anticipo alle domande che nell'emergenza non c'è tempo di porsi:

• Ruoli e contatti: chi coordina la risposta, chi decide, chi contatta i fornitori IT, il legale e le autorità — con numeri di telefono aggiornati e reperibili anche a sistemi spenti.
• Procedure di contenimento: cosa isolare e come, per fermare la propagazione senza distruggere le prove necessarie all'analisi.
• Mappa dei backup: dove sono le copie dei dati, come sono protette e come si avvia un ripristino verificato. Integriamo soluzioni di backup gestito come StrongBox Cloud, di cui AscenSys è Partner Ufficiale, con copie cifrate e isolate che il ransomware non può raggiungere.
• Schema delle notifiche: quando e come notificare il Garante Privacy e, per i soggetti in perimetro, la segnalazione a CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale.
• Piano di ripristino operativo: la sequenza con cui far ripartire i sistemi critici per tornare a lavorare nel minor tempo possibile.

La risposta gestita: non lasciamo sola la PMI durante l'attacco

Un piano vale quanto la capacità di eseguirlo. Per questo AscenSys affianca la parte preventiva con una risposta gestita: monitoriamo i sistemi con soluzioni di sicurezza come quelle di ESET, di cui AscenSys è Partner, per riconoscere un incidente il prima possibile, e interveniamo al fianco dell'azienda per contenere l'attacco, coordinare il ripristino e ricostruire cosa è successo. Colleghiamo inoltre gli accessi e le identità alla protezione di Microsoft 365, di cui AscenSys è Cloud Solution Provider, così da bloccare rapidamente un account compromesso. L'obiettivo non è solo rimettere in piedi i sistemi, ma farlo in modo che lo stesso attacco non possa ripetersi.

Le sette fasi della risposta a un incidente informatico in una PMI

La gestione professionale di un incidente segue una sequenza precisa, riconosciuta a livello internazionale e adattata da AscenSys alla realtà di una piccola impresa. Rispettare l'ordine è ciò che distingue una risposta efficace da un'improvvisazione che peggiora le cose. Ecco le sette fasi, valide sia come struttura del piano sia come guida operativa nel momento dell'attacco.

1. Preparazione: prima che accada nulla si scrive il piano, si assegnano i ruoli, si verificano i backup e si formano le persone. È la fase che rende possibili tutte le altre.
2. Identificazione: si riconosce che è in corso un incidente e se ne valuta la portata — quali sistemi sono coinvolti, se ci sono dati personali, da quanto tempo dura.
3. Contenimento: si isolano i sistemi colpiti per fermare la propagazione, disconnettendoli dalla rete senza spegnerli in modo brutale, così da preservare le tracce dell'attacco.
4. Eradicazione: si rimuove la causa dell'incidente — il malware, l'accesso abusivo, l'account compromesso — e si chiude la falla che ha permesso l'ingresso.
5. Ripristino: si riportano in funzione i sistemi partendo da backup verificati e puliti, controllando che l'ambiente sia sicuro prima di rimetterlo online.
6. Notifica alle autorità: se sono coinvolti dati personali si notifica il Garante Privacy entro 72 ore dalla scoperta, come previsto dall'articolo 33 del GDPR; i soggetti in perimetro NIS2 inviano a CSIRT Italia un preallarme entro 24 ore, la notifica completa entro 72 ore e una relazione finale entro un mese.
7. Analisi post-incidente: a emergenza chiusa si ricostruisce cosa è successo, si documentano le lezioni apprese e si rafforzano le difese per evitare che accada di nuovo.

Perché la fase di preparazione conta più di tutte le altre

Le sei fasi che seguono la preparazione si possono eseguire bene solo se il lavoro è stato fatto prima. Nel pieno di un attacco ransomware non c'è tempo di scoprire dove sono i backup, chi ha le password di amministratore o quale fornitore chiamare: quelle informazioni devono essere già scritte, aggiornate e accessibili. Secondo l'Agenzia per la Cybersicurezza Nazionale, la capacità di reagire rapidamente è uno dei fattori che più incide sull'entità del danno finale. È qui che un partner IT locale come AscenSys fa la differenza per una PMI di Torino: prepariamo il piano insieme all'azienda, lo teniamo aggiornato e siamo raggiungibili quando serve davvero.

📌 Caso Reale: PMI Commerciale, Provincia di Torino

Un'azienda commerciale della provincia di Torino, con circa 18 dipendenti tra sede e magazzino, si è rivolta ad AscenSys dopo aver vissuto in prima persona cosa significa non avere un piano. Un lunedì mattina il gestionale e i file condivisi erano cifrati da un ransomware entrato nel fine settimana attraverso un allegato e-mail: l'azienda è rimasta paralizzata per giorni, senza sapere come muoversi.

La situazione di partenza

Al momento dell'attacco non esisteva alcuna procedura. "Ci siamo trovati a decidere tutto in mezz'ora, mentre gli ordini si accumulavano e non riuscivamo a fatturare", ha raccontato il titolare. I backup erano su un disco collegato allo stesso server, e quindi erano stati cifrati anch'essi; nessuno sapeva se e come notificare l'accaduto alle autorità; e la tentazione di pagare il riscatto era forte, pur senza alcuna garanzia di riavere i dati.

L'intervento di AscenSys

Dopo aver aiutato l'azienda a superare l'emergenza, AscenSys ha costruito un piano di risposta agli incidenti su misura. Sono stati definiti ruoli e catena di comando, con una scheda di emergenza cartacea consultabile anche a sistemi spenti. Il backup è stato ricostruito con copie cifrate e isolate dalla rete, testate periodicamente con ripristini reali. È stato preparato lo schema delle notifiche al Garante entro 72 ore e attivato un monitoraggio continuo per riconoscere un eventuale nuovo attacco nelle prime fasi. Al personale è stata fornita una breve formazione su come segnalare subito un sospetto.

I risultati

• Tempi di reazione definiti: in caso di nuovo incidente l'azienda sa esattamente chi fa cosa dal primo minuto
• Backup a prova di ransomware: copie isolate e verificate, così un attacco non cancella anche le copie di sicurezza
• Conformità garantita: procedura di notifica pronta, senza rischio di sanzioni per omessa comunicazione
• Personale consapevole: i dipendenti riconoscono e segnalano i tentativi di attacco prima che diventino incidenti

Il titolare ha commentato: "La cosa che ci ha spaventato di più non è stato l'attacco in sé, ma non sapere cosa fare. Adesso abbiamo un piano, e questo cambia tutto: sappiamo che se succede di nuovo siamo pronti a reagire in modo ordinato."

Vuoi un piano di risposta agli incidenti pronto prima che serva?

Se la tua PMI di Torino non ha un piano scritto per gestire un attacco informatico, il momento per prepararlo è adesso — non nel pieno dell'emergenza, quando ogni minuto perso si trasforma in danno. Un piano di risposta agli incidenti ben fatto non evita gli attacchi, ma decide la differenza tra un disagio di poche ore e una crisi che rischia di fermare l'azienda per giorni.

AscenSys, società IT di Torino, prepara piani di risposta agli incidenti su misura per le piccole e medie imprese del territorio: definiamo ruoli e procedure, mettiamo in sicurezza i backup, predisponiamo lo schema delle notifiche a Garante e ACN e restiamo al fianco dell'azienda quando l'incidente accade. Niente documenti standard: interventi calibrati sulla realtà concreta di una PMI.

Contattaci per un assessment gratuito della sicurezza e della capacità di risposta della tua azienda: verifichiamo insieme dove sei più esposto e prepariamo il piano prima che serva. Telefono: 011 800 1449 — email: generale@ascensys.it — oppure scrivici su 💬 Chatta subito con noi

Domande frequenti (FAQ)