Piano di risposta agli incidenti informatici per le PMI di Torino

Un piano di risposta agli incidenti informatici — in inglese Incident Response Plan — è l'insieme di procedure scritte che stabiliscono chi fa cosa, in quale ordine e con quali strumenti nel momento esatto in cui l'azienda subisce un attacco informatico: un ransomware che cifra i file, un account compromesso, un furto di dati, un sito bloccato. Non è un software e non è un antivirus: è un documento operativo che trasforma il panico in una sequenza di azioni già decise a mente fredda, quando ancora tutto funziona.

La differenza tra un'azienda che ha questo piano e una che non ce l'ha si misura nelle prime ore dopo l'attacco. Chi è preparato sa chi chiamare, quali sistemi staccare, dove sono i backup e come far ripartire l'attività; chi non lo è perde tempo prezioso mentre il danno cresce di minuto in minuto. Secondo il Rapporto Clusit, nel 2025 gli attacchi informatici gravi in Italia hanno registrato l'aumento più alto mai rilevato, e le piccole e medie imprese sono ormai il bersaglio preferito: il Cyber Index PMI 2026 stima che quasi una PMI italiana su quattro abbia subito una violazione informatica negli ultimi tre anni.

Per una PMI di Torino questo significa una cosa semplice: la domanda non è più se arriverà un incidente, ma quando — e se quel giorno l'azienda avrà un piano oppure improvviserà. In questo articolo AscenSys, società IT di Torino, spiega come costruire un piano di risposta agli incidenti su misura per una piccola impresa, cosa fare concretamente nelle prime 72 ore e come trasformare un attacco in un evento gestibile invece che in una crisi che rischia di chiudere l'azienda.

Quando parliamo con gli imprenditori torinesi che hanno subito un attacco, la scena si ripete quasi sempre uguale. "Una mattina i file sul server erano tutti cifrati e c'era un messaggio che chiedeva un riscatto", ci raccontano, "e per le prime due ore non sapevamo nemmeno da dove cominciare". È esattamente in quelle due ore che si decide gran parte del danno.

Cosa succede in una PMI che non ha un piano di risposta

Senza procedure decise in anticipo, ogni decisione viene presa nel momento peggiore — sotto pressione, con i sistemi fermi e i clienti che chiamano. Gli errori più comuni che vediamo sono sempre gli stessi:

• Nessuno sa chi comanda: il titolare, il dipendente più esperto e il consulente esterno si rimbalzano le decisioni, e intanto il ransomware continua a propagarsi sulla rete.
• Si spengono i computer nel modo sbagliato: staccare tutto di colpo può distruggere le tracce necessarie a capire come è entrato l'attaccante e persino compromettere il recupero dei dati.
• Si scopre che i backup non ci sono o non funzionano: molte aziende pensano di avere un backup fino al giorno in cui provano a ripristinarlo e scoprono che era fermo da mesi o che è stato cifrato anch'esso.
• Si ignora l'obbligo di notifica: se l'attacco coinvolge dati personali scatta l'obbligo di legge di avvisare il Garante entro 72 ore, e non farlo espone l'azienda a sanzioni che si sommano al danno tecnico.
• Si valuta di pagare il riscatto: nel panico sembra la via più rapida, ma pagare non garantisce di riavere i dati e finanzia i criminali, che spesso ricolpiscono chi ha già pagato.

Il risultato è quasi sempre lo stesso: giorni di fermo, costi imprevisti e clienti persi. Il danno medio di un incidente per una PMI italiana è stimato intorno ai 59.000 euro, ma per una piccola azienda la voce più pesante spesso non è il costo tecnico: è l'attività ferma, gli ordini che saltano e la fiducia dei clienti da ricostruire. Un piano di risposta agli incidenti non evita l'attacco, ma evita che l'attacco si trasformi in un tracollo.

Preparare una PMI a rispondere a un incidente non significa consegnarle un manuale di cento pagine che nessuno leggerà. AscenSys, società IT di Torino, costruisce un piano di risposta agli incidenti essenziale e realmente utilizzabile, tarato sulla dimensione e sui sistemi dell'azienda, e — soprattutto — si mette a fianco dell'impresa nel momento in cui l'incidente accade davvero. Il principio è chiaro: le decisioni difficili vanno prese prima, non durante l'emergenza.

Cosa contiene il piano di risposta che prepariamo per una PMI

Il piano che AscenSys redige per una piccola impresa è un documento snello ma completo, che risponde in anticipo alle domande che nell'emergenza non c'è tempo di porsi:

• Ruoli e contatti: chi coordina la risposta, chi decide, chi contatta i fornitori IT, il legale e le autorità — con numeri di telefono aggiornati e reperibili anche a sistemi spenti.
• Procedure di contenimento: cosa isolare e come, per fermare la propagazione senza distruggere le prove necessarie all'analisi.
• Mappa dei backup: dove sono le copie dei dati, come sono protette e come si avvia un ripristino verificato. Integriamo soluzioni di backup gestito come StrongBox Cloud, di cui AscenSys è Partner Ufficiale, con copie cifrate e isolate che il ransomware non può raggiungere.
• Schema delle notifiche: quando e come notificare il Garante Privacy e, per i soggetti in perimetro, la segnalazione a CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale.
• Piano di ripristino operativo: la sequenza con cui far ripartire i sistemi critici per tornare a lavorare nel minor tempo possibile.

La risposta gestita: non lasciamo sola la PMI durante l'attacco

Un piano vale quanto la capacità di eseguirlo. Per questo AscenSys affianca la parte preventiva con una risposta gestita: monitoriamo i sistemi con soluzioni di sicurezza come quelle di ESET, di cui AscenSys è Partner, per riconoscere un incidente il prima possibile, e interveniamo al fianco dell'azienda per contenere l'attacco, coordinare il ripristino e ricostruire cosa è successo. Colleghiamo inoltre gli accessi e le identità alla protezione di Microsoft 365, di cui AscenSys è Cloud Solution Provider, così da bloccare rapidamente un account compromesso. L'obiettivo non è solo rimettere in piedi i sistemi, ma farlo in modo che lo stesso attacco non possa ripetersi.

La gestione professionale di un incidente segue una sequenza precisa, riconosciuta a livello internazionale e adattata da AscenSys alla realtà di una piccola impresa. Rispettare l'ordine è ciò che distingue una risposta efficace da un'improvvisazione che peggiora le cose. Ecco le sette fasi, valide sia come struttura del piano sia come guida operativa nel momento dell'attacco.

1. Preparazione: prima che accada nulla si scrive il piano, si assegnano i ruoli, si verificano i backup e si formano le persone. È la fase che rende possibili tutte le altre.
2. Identificazione: si riconosce che è in corso un incidente e se ne valuta la portata — quali sistemi sono coinvolti, se ci sono dati personali, da quanto tempo dura.
3. Contenimento: si isolano i sistemi colpiti per fermare la propagazione, disconnettendoli dalla rete senza spegnerli in modo brutale, così da preservare le tracce dell'attacco.
4. Eradicazione: si rimuove la causa dell'incidente — il malware, l'accesso abusivo, l'account compromesso — e si chiude la falla che ha permesso l'ingresso.
5. Ripristino: si riportano in funzione i sistemi partendo da backup verificati e puliti, controllando che l'ambiente sia sicuro prima di rimetterlo online.
6. Notifica alle autorità: se sono coinvolti dati personali si notifica il Garante Privacy entro 72 ore dalla scoperta, come previsto dall'articolo 33 del GDPR; i soggetti in perimetro NIS2 inviano a CSIRT Italia un preallarme entro 24 ore, la notifica completa entro 72 ore e una relazione finale entro un mese.
7. Analisi post-incidente: a emergenza chiusa si ricostruisce cosa è successo, si documentano le lezioni apprese e si rafforzano le difese per evitare che accada di nuovo.

Perché la fase di preparazione conta più di tutte le altre

Le sei fasi che seguono la preparazione si possono eseguire bene solo se il lavoro è stato fatto prima. Nel pieno di un attacco ransomware non c'è tempo di scoprire dove sono i backup, chi ha le password di amministratore o quale fornitore chiamare: quelle informazioni devono essere già scritte, aggiornate e accessibili. Secondo l'Agenzia per la Cybersicurezza Nazionale, la capacità di reagire rapidamente è uno dei fattori che più incide sull'entità del danno finale. È qui che un partner IT locale come AscenSys fa la differenza per una PMI di Torino: prepariamo il piano insieme all'azienda, lo teniamo aggiornato e siamo raggiungibili quando serve davvero.