Le prime decisioni influenzano tutto il resto.
Durante un incidente cyber occorre limitare il danno senza distruggere le tracce necessarie a capire cosa è successo. Isolare sistemi, revocare sessioni, preservare log e ripristinare servizi sono attività interdipendenti che richiedono priorità, responsabilità e comunicazioni chiare.
NESQ può affiancare il team interno, i fornitori tecnologici e i consulenti legali o privacy. Il lavoro tecnico viene organizzato in coerenza con il contesto aziendale e con gli eventuali obblighi di documentazione o notifica, senza sostituire le valutazioni giuridiche del cliente.
Fasi operative
- Attivazione: raccolta dei primi elementi, classificazione dell'urgenza e definizione dei contatti.
- Contenimento: isolamento selettivo, blocco degli accessi e protezione degli asset non coinvolti.
- Analisi: timeline, vettore iniziale, persistenza, movimenti laterali e possibile accesso ai dati.
- Eradicazione: rimozione di account, malware, regole e configurazioni malevole.
- Ripristino: ritorno graduale in produzione con controlli rafforzati e monitoraggio.
- Post-incident: lezioni apprese, rischio residuo e piano di miglioramento.
Fonti ed evidenze
L'analisi può coinvolgere endpoint, server, firewall, VPN, identity provider, cloud, email, EDR/XDR e SIEM. Le acquisizioni vengono commisurate alle esigenze dell'incarico e documentate, preservando integrità e tracciabilità quando è richiesta una successiva valutazione forense.
Output
- registro delle attività e delle decisioni tecniche;
- timeline preliminare e successivamente consolidata;
- indicatori di compromissione e perimetro dei sistemi coinvolti;
- raccomandazioni per contenimento, ripristino e monitoraggio;
- relazione finale con cause, impatto tecnico e azioni correttive.