Dopo un incidente
Proteggere ciò che resta
Dopo un accesso non autorizzato, una cancellazione o un attacco ransomware, i dati possono risultare cifrati, alterati o non più raggiungibili. Riavvii, sincronizzazioni e ripristini affrettati possono modificare i supporti coinvolti, propagare file compromessi o eliminare informazioni utili per comprendere la situazione.
La valutazione del recupero deve partire dalla conservazione degli originali e dal coordinamento con chi gestisce l’incidente, distinguendo dati disponibili, copie utilizzabili e sistemi ancora esposti.
Aree di valutazione
Recupero dopo un incidente
Dati e supporti
Individua dischi, archivi e copie coinvolti prima di agire: mantenere separati gli originali permette di valutare la disponibilità dei dati senza aggiungere sovrascritture.
- Supporti e archivi interessati
- Copie disponibili e relativa cronologia
Verifiche
La leggibilità dei file non dimostra che il sistema sia sicuro. Il recupero dei dati va coordinato con le verifiche di chi gestisce l’incidente.
- Separazione tra copie e sistemi coinvolti
- Controlli prima del ripristino operativo
Copie da verificare
Raccogli le informazioni sull’evento e sulle copie disponibili, evitando operazioni improvvisate: il tipo di danno determina quali verifiche siano possibili e appropriate.
- Date delle copie e ultimo accesso valido
- Log disponibili e interventi già eseguiti
Scenari di recupero
Descrivere il danno
Situazioni indicative per orientare la valutazione, senza promettere decifrature o risultati prima dell’analisi.
Dati aziendali cancellati
- Dati disponibili da verificare.
File cifrati o alterati
- Condizioni del recupero da valutare.
Copie dopo l’incidente
- Copie e registrazioni da confrontare.
Criteri di valutazione
Le priorità dopo l’incidente
Definisci quali dati servono, conserva le copie disponibili e coordina le verifiche con i responsabili dell’incidente prima di decidere come procedere al ripristino operativo.
dati
verificabili
Controlla leggibilità e contenuti senza modificare i supporti originali coinvolti.
evento
e cronologia
Registra le operazioni già svolte e conserva i riferimenti temporali.
Dopo un incidente informatico, recuperare un file e ripristinare un sistema sono passaggi distinti: prima del riutilizzo occorre verificare i dati e coordinarsi con chi gestisce la sicurezza.
Nota operativa sul recupero dati
- File cifrati da ransomware
Conserva file cifrati, eventuali note ricevute e copie precedenti. La possibilità di recupero dipende dal caso: non presumere che la decifratura sia disponibile o garantita.
- Cancellazioni e dati alterati
Se informazioni o cartelle sono state eliminate, limita le scritture sul supporto e annota quando è avvenuto l’evento: nuove operazioni possono compromettere ulteriormente i dati residui.
- Copie di sicurezza coinvolte
Una copia esistente può essere incompleta, alterata o successiva all’incidente. Confronta versioni e date, conservando gli originali prima di qualsiasi prova di ripristino.
- Archivi applicativi e database
Database e applicazioni richiedono verifiche sulle relazioni tra i dati, oltre alla leggibilità dei file. Prima di importarli nuovamente, documenta versioni, modifiche e dipendenze dell’ambiente interessato.
- Cronologia e informazioni tecniche
Raccogli orari, messaggi di errore e interventi già eseguiti, mantenendo i log disponibili. Queste informazioni aiutano a delimitare il problema senza attribuirne prematuramente la causa.
- Rientro nell’ambiente operativo
Il ripristino richiede controlli sui dati recuperati e il coordinamento con i responsabili della sicurezza: la disponibilità dei file non dimostra che l’incidente sia risolto.