Un attacco informatico non finisce necessariamente quando viene individuato. È proprio in quel momento che per il Team IT inizia una delle fasi più delicate: capire cosa è successo, quali sistemi sono stati compromessi, se l’attaccante è ancora presente nella rete e soprattutto come mantenere o ripristinare l’operatività. La domanda diventa quindi: quanto tempo serve per tornare operativi? È questo il tema del secondo appuntamento di Cyber Attack Stories, la serie di webinar di Serenissima Informatica dedicata alla cybersecurity attraverso casi reali.
Il 3 novembre 2026, con “The Day After The Attack: sopravvivere, ripartire, rafforzarsi”, seguiremo idealmente il Team IT nel momento successivo alla scoperta di un incidente: dalla detection al contenimento, dal backup al ripristino, fino alla Business Continuity.
Rilevare l’attacco prima che diventi una crisi
Tra l’accesso iniziale e il momento in cui un ransomware cifra i sistemi possono trascorrere giorni o settimane.
È in questa finestra temporale che gli attaccanti possono muoversi nella rete, acquisire credenziali, individuare informazioni di valore ed esfiltrare dati.
Analizzeremo il caso di una nota catena GDO coinvolta nel 2025 in un episodio attribuito al gruppo ransomware Lynx per affrontare proprio questo scenario: un attacco in cui la sottrazione dei dati e la minaccia della loro pubblicazione diventano strumenti di pressione.
Per ridurre il tempo di permanenza dell’attaccante serve visibilità.
Un sistema di monitoraggio dell’infrastruttura può evidenziare variazioni anomale nel comportamento dei sistemi, mentre un SIEM può correlare eventi provenienti da fonti differenti e segnalare attività sospette.
L’EDR permette invece di analizzare ciò che accade sugli endpoint, andando oltre il semplice riconoscimento di un malware.
E se un comportamento anomalo si verifica alle 2 di notte?
È qui che un servizio MDR – Managed Detection and Response può affiancare l’azienda con monitoraggio, analisi e risposta gestita alle minacce.
L’obiettivo è ridurre il tempo che intercorre tra “qualcosa non va” e “abbiamo capito cosa sta succedendo”.
Per ripartire, a volte bisogna prima fermarsi
Il caso di una celebre azienda dell’occhialeria, già analizzato nel primo episodio della serie dal punto di vista dell’accesso iniziale, torna qui con una domanda diversa:
come si riparte dopo un ransomware?
L’attacco subito provocò interruzioni delle attività produttive e la compromissione di sistemi e dati aziendali. Le ricostruzioni pubblicate sull’incidente descrivono interventi di isolamento della rete e spegnimento preventivo di sistemi per limitare la propagazione dell’attacco, seguiti dalle attività di bonifica e ripristino. È una lezione importante: durante un incidente, la priorità non è semplicemente riaccendere i sistemi, ma capire quali sistemi siano ancora affidabili e quali possano essere ripristinati in sicurezza.
E qui entra in gioco il backup.
Un backup efficace deve essere disponibile quando serve davvero: deve essere protetto, verificato e possibilmente isolato dall’ambiente produttivo.
Durante il webinar approfondiremo anche la regola 3-2-1-1-0:
3 copie dei dati, 2 supporti differenti, 1 copia offsite, 1 copia offline o immutabile e 0 errori nei test di ripristino.
Perché il backup non serve quando tutto funziona. Serve quando non funziona più nulla.
Quando il disastro non è informatico
La continuità operativa non riguarda soltanto gli attacchi cyber.
Nel 2021 un incendio colpì il datacenter di un’azienda internazionale di Web Hosting, causando l’indisponibilità di numerosi servizi e rendendo evidente quanto la dipendenza da una singola infrastruttura possa trasformarsi in un rischio operativo.
Il caso dimostra un principio fondamentale: avere i dati non significa necessariamente essere in grado di continuare a lavorare.
Per questo un piano di Business Continuity e Disaster Recovery deve stabilire quali servizi sono prioritari, dove devono essere ripristinati, quali persone devono intervenire e in quanto tempo l’organizzazione deve tornare operativa.
Ma soprattutto deve essere testato. Un piano che esiste solo sulla carta potrebbe non essere sufficiente nel momento dell’emergenza.
Dalla sicurezza alla resilienza
I casi analizzati nel webinar mostrano diversi livelli di una stessa strategia:
- monitorare, per accorgersi rapidamente delle anomalie;
- rilevare, attraverso SIEM ed EDR;
- rispondere, anche con servizi MDR;
- proteggere i dati, attraverso backup affidabili;
- ripristinare, secondo procedure definite e testate;
- garantire la continuità, attraverso Business Continuity e Disaster Recovery.
È il passaggio dalla semplice cybersecurity alla resilienza operativa.
Nel primo episodio di Cyber Attack Stories – The Breach: come phishing, credenziali rubate e vulnerabilità possono bloccare il business vediamo come un attacco può iniziare: una vulnerabilità, una credenziale rubata, una persona ingannata.
In questo secondo appuntamento facciamo il passo successivo: cosa succede quando quella prima difesa non è bastata?
Perché prepararsi a un incidente non significa aspettarsi che accada. Significa essere pronti a continuare a lavorare anche quando qualcosa va storto.
Partecipa al webinar Cyber Attack Stories – parte 2
Scopri come monitoraggio, SIEM, EDR, MDR, backup, Business Continuity e Disaster Recovery possono contribuire a ridurre l’impatto di un incidente e accelerare il ritorno all’operatività.
Compila il form presente su questa pagina per iscriverti al primo appuntamento di Cyber Attack Stories – The Day After The Attack: sopravvivere, ripartire, rafforzarsi
"*" indica i campi obbligatori
