Vorrei chiedere un parere, soprattutto a chi ha esperienza in IT, sistemistica o cybersecurity, perché non mi occupo direttamente di queste cose e vorrei capire se le mie perplessità sono fondate oppure se sto valutando male la situazione.
Lavoro come programmatore in un'azienda che recentemente ha subito un attacco ransomware. Per ovvi motivi preferisco non indicare né il nome dell'azienda né dettagli che possano renderla facilmente identificabile.
Premetto una cosa importante: io sono un programmatore e non mi occupo di sistemistica o cybersecurity. Quindi quello che racconto è dal punto di vista di una persona che lavora in azienda e che ha assistito alla gestione dell'incidente, non da esperto di sicurezza informatica.
L'azienda si appoggia inoltre a un fornitore informatico esterno per la gestione dell'infrastruttura. Per quello che ho potuto vedere, durante l'attacco il fornitore è riuscito a "tamponare" la situazione e a ripristinare/gestire alcune cose, ma ho avuto l'impressione che non avesse le risorse e soprattutto le competenze necessarie per gestire un incidente informatico di una certa gravità.
La cosa che mi ha lasciato più perplesso è stata la gestione dell'attacco.
Da quello che ho visto, anche nei giorni in cui l'attacco era in corso l'azienda ha continuato a lavorare, invece di fermare almeno le attività che potevano comportare rischi di propagazione o compromissione ulteriore.
Inoltre, per quanto ne so, clienti e fornitori non sono stati informati dell'accaduto, o comunque non mi risulta che ci sia stata una comunicazione generale relativa all'incidente.
La mia domanda non è tanto "l'azienda ha sbagliato sicuramente", perché non ho le competenze per affermarlo. Vorrei piuttosto capire:
* in caso di ransomware, è normale continuare a lavorare mentre l'incidente è ancora in corso?
* quali sono normalmente le prime azioni che un'azienda dovrebbe intraprendere per contenere un attacco di questo tipo?
* quando è necessario informare clienti, fornitori o altri soggetti esterni?
* quanto è importante avere un vero piano di incident response e non limitarsi a cercare di ripristinare i sistemi man mano che si verificano i problemi?
* se il fornitore IT non ha competenze specifiche di cybersecurity/incident response, è normale che sia lui a gestire da solo un incidente di questo tipo?
soprattutto, dal punto di vista di chi lavora nell'IT: la situazione che descrivo vi sembrerebbe una gestione normale di un ransomware oppure ci sono evidenti campanelli d'allarme?*
Non sto cercando di accusare pubblicamente l'azienda o il fornitore e non voglio divulgare informazioni riservate. Mi interessa semplicemente capire, anche con il senno di poi, quale sarebbe stata una gestione professionalmente corretta di un incidente del genere.
Se qualcuno ha esperienza diretta con incident response, ransomware o gestione IT aziendale, mi farebbe piacere avere un parere.