// Glossario IT
Incident Response Plan
Il documento che definisce in anticipo ruoli, procedure e azioni da seguire quando si verifica un incidente di sicurezza.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Un incident response plan definisce in anticipo, prima che un incidente accada davvero, chi fa cosa: chi ha l'autorità di dichiarare un incidente, come si contiene la minaccia, chi va informato internamente ed esternamente, quali sistemi vanno isolati e in che ordine, e come si documenta tutto ciò che accade per l'analisi successiva e per eventuali obblighi normativi.
Perché conta
Un piano scritto ma mai testato ha un valore molto limitato: durante un incidente reale, con la pressione del momento, seguire procedure mai provate concretamente è molto più difficile che eseguire un piano già collaudato con simulazioni realistiche (tabletop exercise). Le aziende che gestiscono meglio un incidente non sono quelle senza mai un problema, ma quelle che hanno già provato come reagire prima che il problema si presentasse davvero.
In pratica
Il piano deve contenere contatti aggiornati (interni, fornitori, assicurazione, autorità), criteri per classificare la gravità, procedure di contenimento e gli obblighi di notifica: per chi rientra nella NIS2, preallarme al CSIRT Italia entro 24 ore e notifica entro 72 ore, come spiego nella guida su incidenti e supply chain. Va provato con esercitazioni periodiche e aggiornato dopo ogni incidente. Riferimento: NIST SP 800-61 Rev. 3, Incident Response Recommendations.