KLKin Levi
Risorse

Matrice delle decisioni negli incidenti per CEO, CISO e CTO

Definisci chi può autorizzare sei decisioni critiche, i limiti della delega e quando coinvolgere un livello superiore. Modifica e scarica la matrice in CSV.

Kin Levi

Un titolo professionale, da solo, non stabilisce l’autorità durante una crisi. Questa matrice aiuta a trasformare il piano di risposta in poteri decisionali espliciti. Compilala per un servizio e uno scenario definiti, verificala con il responsabile dell’incidente e i responsabili aziendali, poi approva la delega secondo il processo dell’organizzazione.

Scarica la matrice vuota (.csv)

Definisci le autorità prima che aumenti la pressione

  1. Distingui i ruoli

    Separa coordinamento dell’incidente, esecuzione tecnica, accettazione del rischio aziendale e comunicazione esterna. Discuti il contributo di CEO, CISO, CTO, responsabile del servizio e responsabile dell’incidente. Assegna a ogni decisione il ruolo effettivamente autorizzato e un sostituto; nelle piccole organizzazioni una persona può ricoprire più ruoli.

  2. Delimita l’azione delegata

    Specifica servizi, ambienti dei clienti, modifiche agli accessi, durata e impatto coperti dalla delega. Definisci evidenze richieste e punto oltre il quale l’azione supera l’autorità. Approvare l’isolamento di un carico di lavoro non deve diventare implicitamente il permesso di fermare tutti i servizi.

  3. Simula l’assenza di chi approva

    In un’esercitazione da tavolo, rendi irraggiungibile il decisore principale e introduci una priorità aziendale in conflitto. Verifica se il sostituto può agire, se funziona un canale indipendente e se la decisione viene registrata. Un elenco di contatti è utile quando l’autorità di ciascuno è chiara.

Esempio: contenimento entro un confine di servizio

In un servizio ospitato ipotetico, un accesso sospetto riguarda l’ambiente di un cliente. Il piano approvato permette al responsabile dell’incidente di isolarlo per un periodo definito, mentre uno specialista della piattaforma esegue la modifica. Evidenze di accessi ad altri ambienti richiedono il coinvolgimento dell’autorità aziendale designata e della direzione tecnica. Se il decisore principale è assente, il sostituto documentato opera negli stessi limiti. Il registro conserva evidenze, autorizzazione, perimetro e momento del riesame. L’esempio illustra una delega senza prescrivere quei ruoli a ogni organizzazione né affermare che il contenimento sia riuscito.

Crea la matrice delle decisioni

Le risposte rimangono in questa pagina e il browser le usa per creare il file. Scaricalo prima di chiudere o ricaricare: il sito non salva la scheda compilata.

Indica servizio, scenario, piano di risposta applicabile e condizione di riesame o scadenza della delega.

1. Dichiarare l’incidente e nominarne il responsabile

Evidenze da considerare: Eventi osservati, servizi coinvolti, fiducia nella valutazione e criteri del piano di risposta.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

2. Contenere accessi o isolare un servizio

Evidenze da considerare: Accesso sospetto, perimetro, danno ai clienti, fattibilità tecnica, reversibilità e alternative di continuità.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

3. Preservare evidenze prima di una modifica distruttiva

Evidenze da considerare: Artefatti rilevanti, vincoli di acquisizione, custodia, urgenza e dati che un ripristino o una ricostruzione potrebbero distruggere.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

4. Autorizzare aggiornamenti esterni e notifiche

Evidenze da considerare: Fatti verificati, destinatari coinvolti, responsabile della comunicazione e obblighi valutati dagli specialisti competenti.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

5. Riportare un servizio in produzione

Evidenze da considerare: Controlli su identità e dati, prove di ripristino, restrizioni residue, monitoraggio, ritorno allo stato precedente e accettazione aziendale.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

6. Chiudere l’incidente e assegnare azioni successive

Evidenze da considerare: Esposizione aperta, impegni verso i clienti, controlli temporanei, responsabili delle correzioni e scadenze.

Quale ruolo approvato può decidere? Chi lo sostituisce in caso di assenza e come viene contattato?

Cosa può essere autorizzato senza un’altra approvazione? Definisci confini, durata ed effetti operativi accettabili.

Quale evidenza, impatto o tempo trascorso supera la delega? Indica il destinatario dell’escalation e il prossimo riesame.

Convalida la delega nell’organizzazione

Compilare questa pagina non conferisce autorità e non sostituisce un piano approvato. Verifica la matrice con i responsabili aziendali, tecnici, legali e della comunicazione coinvolti. Risolvi autorità assenti o in conflitto prima di un incidente reale. Conserva una copia accessibile e aggiornala quando cambiano servizi, persone o poteri. Le risposte restano nel browser fino al download; il sito non salva la matrice compilata.

Metodo e riferimenti

Scheda decisionale originale con fonti primarie sulla risposta agli incidenti. Non è un modello ufficiale NIST o CISA.

Continua a leggere

Modello di briefing sulla cybersicurezza per il consiglio →