La reperibilità è una scelta del vertice
Considero l’esaurimento del team di reperibilità un rischio cyber. Buoni strumenti non garantiscono una risposta affidabile se tutto dipende da persone svegliate di notte e attese al lavoro come sempre al mattino. L’urgenza permanente affida a chi risponde decisioni che la direzione ha lasciato aperte. Riporterei questi compromessi dove si possono assegnare risorse, autorità e spazio per il recupero.
Decidere quando interrompere
Prima del calendario chiarirei la promessa: contenere subito un incidente grave e indagare continuamente ogni segnale richiedono capacità diverse. Definirei le soglie considerando il danno aziendale plausibile prima della successiva verifica presidiata, la solidità e la pertinenza delle evidenze, e l’utilità di agire immediatamente.
Un evento in corso con danni contenibili richiede una risposta. Indizi ambigui ma potenzialmente gravi possono richiedere una verifica breve, seguita dall’escalation se resta il dubbio decisivo. Ciò che viene rinviato conserva un responsabile. Soglie alte possono ritardare il riconoscimento di un attacco; soglie basse possono indebolire il giudizio attraverso continue interruzioni. Farei approvare entrambi i rischi.
Il contesto cambia la risposta
Immaginiamo un accesso amministrativo da un luogo insolito durante una manutenzione prevista. Se l’account è autorizzato e l’attività corrisponde alla modifica approvata, può essere ragionevole attendere una verifica presidiata. Se invece un account estraneo all’intervento crea nuovi accessi, lo stesso segnale iniziale giustifica un’azione immediata. Voglio regole che consentano alle evidenze di cambiare il percorso. La promessa resta però incompleta se per contenere il danno serve il consenso di qualcuno non raggiungibile.
Pianificare carico, cambi e recupero
Valuterei orari, durata del lavoro, interruzioni dello stesso riposo, competenze coinvolte e attività rimaste in agenda. Allargare la rotazione richiede preparazione, accessi e poteri reali. Un incidente prolungato richiede altri ruoli, un cambio e consegne utilizzabili.
Il recupero deve modificare gli impegni successivi. Affiderei al responsabile la riassegnazione delle attività e al coordinatore dell’incidente il passaggio di consegne. Saltare una riunione lasciando intatta la scadenza non basta. Un servizio esterno può aiutare, ma richiede un mandato chiaro e supporto interno disponibile; aggiungere persone comporta formazione e coordinamento.
Dare un proprietario alla domanda
Assegnerei le chiamate ricorrenti a chi può correggere la causa, arricchire il segnale o rivedere la copertura. Automatizzare può ridurre il lavoro, ma anche bloccare attività legittime: servono limiti e condizioni per l’intervento umano. Se il budget viene rinviato, renderei esplicita la riduzione dell’impegno. La risposta che cerco deve reggere senza eroismi, con costi e rischi assunti dalla direzione.