Il ransomware blocca i server di venerdì pomeriggio, il telefono squilla, i clienti vogliono sapere cosa sta succedendo e il team IT è ancora occupato a capire l’entità del danno. Chi parla con la stampa? Cosa si dice ai clienti? E quanto tempo c’è esattamente per notificare l’autorità di protezione dei dati?
La maggior parte delle PMI svizzere ha un piano tecnico per gli incidenti informatici, qualcuna anche uno buono, ma quasi nessuna ha un piano per la comunicazione: cosa dire, quando dirlo e chi è responsabile di farlo. La CISA (l’agenzia americana per la cybersicurezza), insieme all’FBI e a partner internazionali, ha pubblicato a settembre 2026 una guida che affronta proprio questa lacuna: “Communicating Under Pressure: Best Practices for Service Providers”. È scritta per grandi fornitori di servizi, ma i principi valgono anche per un’azienda di 20 persone a Zurigo o Berna.
Tre principi
La CISA riassume il tutto in tre parole: chiarezza, responsabilità, trasparenza. A prima vista sembra ovvio, ma non lo è affatto quando l’infrastruttura è a terra e tutti intorno a te sono nel panico. L’errore più comune durante gli incidenti cyber è uno di due estremi: silenzio totale in attesa di “informazioni confermate”, oppure dichiarazioni affrettate che poi devono essere corrette. Entrambi distruggono la fiducia, e una volta che la fiducia è andata ricostruirla diventa molto difficile.
Lo abbiamo visto con l’hack di Xplain in Svizzera nel 2023. Per settimane le agenzie federali coinvolte hanno comunicato poco o niente, i media si sono ricostruiti la storia da soli, e il disastro comunicativo alla fine ha fatto probabilmente più danni del furto di dati stesso..
Cosa raccomanda la CISA
La guida è sorprendentemente pratica e va ben oltre i soliti luoghi comuni. I punti chiave:
Prima dell’incidente (cioè adesso):
- Creare un team interfunzionale che gestisca la comunicazione durante una crisi, assicurandosi che includa non solo personale IT ma anche qualcuno per le relazioni con i clienti, qualcuno che conosca i requisiti legali (obbligo di notifica nLPD!) e un portavoce designato
- Preparare canali di comunicazione di backup perché se i server email sono fuori uso servono alternative: liste SMS, catene telefoniche, ev. anche un broadcast WhatsApp
- Creare modelli per diversi scenari come ransomware, violazione dati o interruzione del sistema, e anche se sembra esagerato per una piccola azienda, anche un documento di una sola pagina aiuta enormemente quando lo stress sale alle stelle
Durante l’incidente:
- Comunicare solo fatti confermati e rinunciare completamente a qualsiasi speculazione
- Dire chiaramente cosa si sa, cosa non si sa e cosa è ancora sotto indagine
- Fornire aggiornamenti regolari con data e ora anche quando non c’è niente di nuovo (soprattutto allora, perché dimostra che la situazione è sotto controllo)
- Adattare le informazioni ai diversi destinatari perché i clienti hanno bisogno di informazioni diverse rispetto alle autorità o ai giornalisti
- In caso di attacchi informatici coordinarsi con le forze dell’ordine e non pubblicare dettagli tecnici che potrebbero aiutare l’attaccante
L’ultimo punto viene dimenticato sorprendentemente spesso. Se si annuncia pubblicamente “abbiamo trovato e corretto la vulnerabilità nel nostro VPN”, l’attaccante sa che deve cercare un’altra strada (o che la sua backdoor non è stata ancora scoperta).
Il contesto svizzero
Dal settembre 2023 la legge svizzera sulla protezione dei dati riveduta (nLPD/revDSG) richiede di notificare l’IFPDT entro 72 ore dalla scoperta di una violazione della sicurezza dei dati che comporta un rischio elevato per le persone interessate. 72 ore sembrano tante ma in realtà non lo sono, soprattutto quando il ransomware colpisce di venerdì pomeriggio e la scadenza scade già lunedì mattina.
In più, da aprile 2025 gli operatori di infrastrutture critiche devono segnalare al NCSC entro 24 ore. Senza un piano di comunicazione le aziende perdono le prime ore critiche a discutere su “cosa possiamo dire” invece di concentrarsi sul contenimento e il ripristino. La CISA raccomanda proprio per questo dei flussi di lavoro paralleli: un team si occupa della risposta tecnica, un altro della comunicazione, un terzo dei briefing alla direzione e delle notifiche alle autorità. Anche con cinque persone si possono dividere questi ruoli in modo sensato.
Cosa non fare
La CISA mette in guardia esplicitamente contro tre cose:
Primo: linguaggio vago e spin da PR. “Prendiamo l’incidente molto seriamente” non dice assolutamente nulla e la gente se ne accorge. Qualcosa come “martedì alle 14:30 abbiamo rilevato un accesso non autorizzato al nostro database clienti, sono interessati i dati di circa 3000 clienti e le password erano conservate in forma crittografata” è molto più utile.
Secondo: conclusioni affrettate sulla causa. Finché l’indagine è in corso si dice “stiamo indagando sulla causa” e non “un attore statale ci ha attaccato”, a meno che non lo si sappia con certezza.
Terzo: messaggi incoerenti tra i canali. Se l’email interna ai dipendenti dice una cosa diversa dal comunicato stampa, qualcuno se ne accorgerà, e a quel punto si ha un problema di credibilità oltre a tutto il resto.
In pratica
La guida CISA è gratuita e disponibile in inglese. Anche se è scritta per fornitori di servizi i principi funzionano per qualsiasi azienda, e siamo onesti: la maggior parte delle PMI non ha bisogno di un piano di crisi di 50 pagine. Un foglio A4 con i numeri di telefono importanti, una chiara assegnazione di chi gestisce la comunicazione e due o tre modelli per la prima notifica ai clienti porta già abbastanza lontano.
La domanda è se ci si prende il tempo di preparare tutto questo prima che succeda qualcosa…