Per un’azienda finanziaria, un incidente di sicurezza è anche un evento regolamentare e reputazionale. Nell’UE il Digital Operational Resilience Act (DORA) si applica da gennaio 2025 e fissa aspettative sulla gestione e segnalazione degli incidenti ICT. Qualunque siano i vostri obblighi, ecco le basi da avere pronte prima che servano.
Un piano scritto che le persone hanno davvero letto
Chi dichiara un incidente, chi lo guida, chi decide di spegnere i sistemi e chi parla con i clienti. Tenetelo abbastanza breve da poterlo usare sotto pressione.
Elenchi di contatti che funzionano alle 3 di notte
Decisori interni, fornitori IT e di sicurezza, consulenti legali, assicuratori e regolatori competenti, con numeri fuori orario e un canale che non dipenda dalla vostra email.
Log affidabili
Log centralizzati e sincronizzati dei sistemi critici, conservati abbastanza a lungo per indagare. Senza log, la forensics diventa un tirare a indovinare.
Backup che avete ripristinato
Backup offline o immutabili dei dati critici, con un ripristino testato di recente. Un backup non testato è una speranza, non un controllo.
Regole di notifica definite in anticipo
Quali incidenti vanno segnalati, a chi e con quale rapidità, inclusi regolatori, autorità per la protezione dei dati e partner. Preparate dei modelli per non dover scrivere da zero.
Esercitazione
Fate un’esercitazione tabletop almeno una volta l’anno con il management presente. È il modo più economico per trovare le lacune in tutto quanto sopra.
Un incidente si giudica meno dal fatto che sia accaduto e più da quanto bene avete risposto.
Possiamo valutare la vostra preparazione, condurre un’esercitazione con il vostro team ed essere pronti ad aiutarvi se succede qualcosa.
Informazioni di carattere generale, non costituiscono consulenza legale o regolamentare per la vostra situazione specifica.