Il gestionale si riapre. I documenti sono tornati al loro posto. Dopo ore di lavoro, qualcuno propone di comunicare che l’incidente è risolto. In questa scena immaginaria, il recupero è una buona notizia. Ma quale problema è stato risolto, esattamente?
Il backup può consentire di recuperare informazioni rese indisponibili. Non dimostra, da solo, che nessuno le abbia copiate prima della cifratura. E non risponde alla domanda su quali accessi o vulnerabilità abbiano consentito l’attacco. Sono questioni diverse, che devono incontrarsi prima di una dichiarazione rassicurante.
Tre domande, tre riscontri
La prima domanda è operativa: il servizio funziona di nuovo, con dati integri e utilizzabili? La seconda riguarda la compromissione: quali sistemi, account e informazioni sono stati coinvolti? La terza è giuridica: quali conseguenze per le persone e quali comunicazioni sono richieste? Un esito positivo della prima verifica non costituisce automaticamente la risposta alle altre due.
Le raccomandazioni NIST SP 800-61r3, pubblicate nell’aprile 2025, collegano il recupero alla verifica dell’integrità delle risorse e alla rimozione delle cause della compromissione prima del ritorno in produzione. È un riferimento tecnico, non una norma italiana. NIST.
Propongo quindi di distinguere due decisioni: autorizzare la ripresa di un servizio e dichiarare conclusa la gestione dell’incidente. La prima potrebbe essere possibile mentre restano accertamenti e attività aperte. La seconda deve rendere conto di ciò che è stato verificato e delle responsabilità per quanto rimane da fare.
La notifica non dipende soltanto dal furto
Il Garante ricorda che una violazione di dati personali può riguardare anche integrità e disponibilità. La notifica all’autorità va effettuata senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che sia improbabile un rischio per i diritti e le libertà delle persone. Le violazioni devono essere documentate anche quando non vengono notificate. Garante.
L’EDPB, nelle linee guida 01/2021, presenta scenari ransomware con esiti diversi. Il caso ospedaliero mostra che anche senza esfiltrazione la compromissione della disponibilità può avere conseguenze elevate per le persone. Il punto è valutare il caso concreto, non applicare l’equazione “backup disponibile, notifica inutile”. EDPB, esempi.
Nemmeno “non abbiamo ancora trovato prove di sottrazione” equivale necessariamente a “abbiamo escluso la sottrazione”. Occorre chiedersi quali tracce fossero disponibili, per quale intervallo e con quali limiti. Questa distinzione non autorizza a rinviare gli adempimenti in attesa di una certezza assoluta: la valutazione e le indagini devono procedere tempestivamente. Le linee guida EDPB 9/2022 chiariscono il momento della conoscenza e la gestione della notifica. EDPB, notifica.
Una chiusura che si possa spiegare
Una scheda di avanzamento può indicare il servizio ripristinato, le verifiche compiute, i dati potenzialmente coinvolti, le incertezze, le decisioni sulle comunicazioni e il responsabile di ogni attività residua. È una proposta organizzativa, non un modulo normativo.
La raccolta delle evidenze va coordinata con contenimento e ripristino: conservare tracce non significa lasciare operare un attaccante, e ripartire non dovrebbe cancellare senza valutazione ciò che serve all’indagine. Le scelte tecniche spettano a personale competente e autorizzato.
Se si applicano altri regimi, come NIS2, gli obblighi pertinenti richiedono una verifica distinta: una valutazione GDPR non li esaurisce. Evitiamo anche nella comunicazione esterna una formula unica per situazioni diverse. “Servizio ripristinato, accertamenti in corso” può descrivere un avanzamento reale senza promettere più di quanto sia stato dimostrato.
Il backup rimane essenziale. La sua riuscita, però, è una parte della risposta: recuperare i dati che abbiamo perso non ci dice automaticamente che cosa sia accaduto alle copie che potrebbero essere altrove.