Incident Response for professional firms: what to do in the first 24 hours after a cyber attack

In questa guida operativa analizziamo nel dettaglio il protocollo di risposta e gestione di una violazione informatica all’interno di studi legali e notarili, studi commercialisti e strutture di consulenza fiscale. L’approfondimento esamina l’evoluzione dello scenario delle minacce cyber e la specifica vulnerabilità degli studi professionali, fornendo una timeline tecnica scandita per le prime ventiquattro ore dall’evento per isolare la compromissione e preservare le evidenze forensi. Vengono inoltre chiariti gli adempimenti normativi di conformità, distinguendo l’obbligo di notifica del data breach al Garante Privacy entro 72 ore dai requisiti contrattuali di supply chain legati al recepimento della Direttiva NIS2 (D.Lgs. 138/2024), per concludere con l’analisi dei cinque errori operativi da evitare, le strategie di continuità basate su backup immutabili e una sezione di risposte puntuali alle domande più frequenti.

La vulnerabilità sistemica degli studi professionali nel panorama cyber attuale

La digitalizzazione integrale delle attività professionali ha profondamente trasformato l’operatività quotidiana di studi legali e notarili, studi commercialisti e consulenti fiscali. La gestione del processo civile telematico, l’archiviazione documentale in cloud, l’uso della posta elettronica certificata e dei sistemi di gestione documentale hanno incrementato la flessibilità operativa dello staff. Allo stesso tempo, insieme all’accesso remoto ai fascicoli, hanno moltiplicato i punti di vulnerabilità esposti verso l’esterno. Di conseguenza, gli studi professionali rappresentano oggi uno dei bersagli prioritari per il crimine informatico.

La motivazione risiede nell’altissimo valore strategico dei dati trattati. Un singolo studio legale detiene informazioni confidenziali su acquisizioni societarie, contenziosi pendenti, vertenze brevettuali e accordi di riservatezza; i notai gestiscono trasferimenti patrimoniali e rogiti; i commercialisti conservano dati finanziari e credenziali di accesso ai portali tributari. La violazione di queste banche dati genera conseguenze rilevanti sotto il profilo economico. Ma il danno più grave riguarda la lesione del vincolo fiduciario e del segreto professionale che lega il professionista ai propri assistiti. Per comprendere l’ampiezza di queste minacce, è possibile consultare la nostra panoramica sui advanced cybersecurity services for firms and businesses.

Secondo le analisi internazionali dell’IBM Security Cost of a Data Breach Report, la preparazione organizzativa e l’adozione di capacità strutturate di Incident Response riducono significativamente tempi, costi e impatto complessivo di una violazione. L’entità del beneficio varia in funzione della maturità tecnologica, della rapidità di rilevazione e della tipologia di attacco. Tuttavia, una quota rilevante di strutture professionali non dispone ancora di procedure formalizzate. Come abbiamo evidenziato nella nostra disamina sui risks of Shadow AI in law firms and protection of professional secrecy, l’utilizzo non regolamentato di strumenti e assistenti esterni espone la rete a canali di accesso non presidiati, rendendo indispensabile l’adozione di un framework operativo rigoroso e tempestivo.

Threat types: from double extortion ransomware to transactional fraud

L’evoluzione delle tecniche di aggressione documentata dai report periodici dell’ENISA (Agenzia dell’Unione Europea per la Cybersicurezza) highlight two primary risk vectors for professional firms:

Ransomware and preventive exfiltration of confidential documents

Gli attacchi ransomware moderni non si limitano più a bloccare i sistemi mediante cifratura, ma operano secondo la logica della doppia estorsione. Gli attaccanti penetrano nell’infrastruttura, possono rimanere all’interno della rete per giorni o settimane (dwell time) ed esfiltrano archivi documentali completi. Solo in seguito attivano il malware che rende inaccessibili i server, minacciando la divulgazione pubblica o la cessione nel dark web dei fascicoli riservati qualora non venga versato il riscatto richiesto.

Business Email Compromise

Attraverso campagne di spear phishing mirate o l’impiego di malware infostealer, gli attaccanti sottraggono le credenziali di accesso alle caselle email e PEC dello studio. Senza alterare la normale ricezione dei messaggi, creano regole silenziose di inoltro per intercettare comunicazioni inerenti a compravendite immobiliari, chiusura di contratti o pagamento di fatture, sostituendo i codici IBAN legittimi con conti correnti di transito gestiti da reti criminali.

The timeline of the first 24 hours: technical reaction operating protocol

La reazione nelle prime ventiquattro ore dalla scoperta dell’incidente deve seguire una rigorosa scansione cronologica, ispirata ai principi di incident response del NIST e alla nostra esperienza sul campo, per neutralizzare la minaccia, preservare le evidenze utili e avviare il ripristino in sicurezza:

0-2 hours: Isolation, containment and device management

La priorità assoluta consiste nel circoscrivere l’infezione evitando azioni distruttive:

• Confermare la veridicità dell’incidente attraverso la correlazione degli allarmi e l’esclusione di falsi positivi;
• Immediately activate the default response team (IT contacts, legal counsel, and firm management);
• Isolate compromised devices from the local network by disconnecting the ethernet cable and disabling Wi-Fi cards;
• Gestire in modo mirato l’alimentazione: non spegnere automaticamente i sistemi compromessi, ma coinvolgere tempestivamente il team IT o gli specialisti forensi per valutare se acquisire i dati volatili residenti nella RAM oppure interrompere l’esecuzione dell’attacco per bloccarne la propagazione;
• Segregare logicamente e fisicamente le unità di backup per impedire che il ransomware possa raggiungere gli archivi storici;
• Block, when technically reliable and without side effects, the indicators of compromise (IoCs) detected in outgoing traffic.

2-6 AM: Technical investigation, scope, and credential rotation

Contenuto il perimetro iniziale, l’analisi tecnica si concentra sulla comprensione delle dinamiche di intrusione:

• Identificare il vettore di ingresso iniziale (phishing, credenziali sottratte tramite infostealer, vulnerabilità di VPN o RDP esposte);
• Eseguire la revoca coordinata delle sessioni attive e la rotazione delle credenziali compromesse o a rischio, includendo account privilegiati, gestionali e ambienti cloud, pianificando le attività con il team IT per non compromettere l’analisi e il contenimento;
• Ispezionare approfonditamente i log di autenticazione, i registri di sistema e il traffico di rete per mappare i movimenti laterali dell’attaccante;
• Valutare preliminarmente la tipologia di dati coinvolti (dati personali, documentazione relativa a procedimenti giudiziari, coordinate finanziarie o proprietà intellettuale).

6 AM - 12 PM: Containment verification, persistence, and remediation

In questa fase si verifica l’efficacia del contenimento e si avvia la rimozione delle cause profonde:

• Eseguire una scansione approfondita per verificare la presenza di meccanismi di persistenza installati dall’attaccante (task pianificati, nuovi account di servizio, token alterati o web shell);
• Apply security patches and fix misconfigurations on the systems before proceeding with reconnection;
• Collect and preserve evidence in a documented manner: when necessary and technically possible, commission specialists to acquire forensic images or collect logs, audit trails, authentication events, and cloud configurations in compliance with the chain of custody;
• Prepare the internal communication for the studio's collaborators, providing clear instructions and prohibiting premature external communications.

12:00 - 24:00: Controlled restoration and institutional communications

La chiusura delle prime ventiquattro ore è orientata al ripristino controllato e al coinvolgimento degli stakeholder istituzionali:

• Attivare prontamente la polizza di assicurazione cyber, richiedendo l’assistenza di periti e specialisti forensi indicati o convenzionati dalla compagnia;
• Verificare l’integrità dei backup e valutare l’eventuale presenza di file o configurazioni compromessi prima di avviare il ripristino dei dati, partendo da copie il più possibile precedenti alla compromissione ed eseguendo le operazioni in un ambiente isolato con successivo monitoraggio;
• Initiate the gradual and prioritized restoration of essential operational services in segregated and constantly monitored network environments;
• Formalize the technical minutes and share the evidentiary framework with the legal team for statutory compliance.

Il quadro normativo e di conformità: GDPR e NIS2, due piani da non confondere

Un incidente informatico può attivare obblighi normativi differenti che devono essere valutati separatamente sul piano giuridico e contrattuale.

The data breach notification to the Data Protection Authority (Articles 33 and 34 GDPR)

Se la violazione coinvolge dati personali e presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve notificare il data breach al Data Protection Commissioner senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne viene a conoscenza. Il termine decorre dal momento della conoscenza della violazione: non è necessario attendere la conclusione dell’indagine tecnica completa, poiché la notifica iniziale può essere validamente integrata in un secondo momento con le informazioni acquisite successivamente. È fondamentale ricordare che qualsiasi violazione deve essere valutata e documentata dal titolare, con indicazione delle circostanze, delle conseguenze e dei provvedimenti adottati, anche quando non viene notificata all’Autorità o comunicata agli interessati.

Qualora la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati, l’articolo 34 del GDPR prevede anche l’obbligo di informare direttamente gli interessati, salvo le specifiche eccezioni di legge (ad esempio qualora siano state applicate misure tecniche adeguate che rendano i dati incomprensibili alle persone non autorizzate, come la cifratura, o quando la comunicazione individuale richiederebbe uno sforzo sproporzionato).

The NIS2 Directive and Supply Chain Management (Legislative Decree 138/2024)

La disciplina NIS2, recepita in Italia dal decreto legislativo 4 settembre 2024, n. 138, si applica ai soggetti che rientrano nei settori e nei requisiti previsti dalla normativa nazionale, distinguendoli in entità essenziali e importanti. Per tali soggetti, un incidente che presenta i requisiti di significatività previsti dalla normativa può attivare una procedura di notifica articolata in un preallarme (Early Warning) entro ventiquattro ore allo CSIRT Italy and in a subsequent notification within seventy-two hours, in accordance with applicable procedures. NIS2 notifications must be submitted through the channels and procedures specified by ACN and CSIRT Italia (via the ACN Services Portal), always referring to the most recent version of the official instructions. Professional firms are not automatically subject to NIS2 simply because they provide services to companies subject to the directive.

However, as clarified by the ACN Guidelines on Supply Chain Security and explored in more detail in our guide on corporate cybersecurity and NIS2 requirements, law firms may be indirectly involved: clients subject to these regulations contractually require their legal and tax service providers to provide documented guarantees, security clauses, standardized incident management procedures, and prompt cooperation in the event of a security breach.

Conoscere gli obblighi normativi è solo metà del lavoro: altrettanto importante è evitare gli errori operativi che, nella pratica, compromettono anche la risposta meglio pianificata.

I cinque errori critici da evitare assolutamente durante la risposta all’incidente

L’esperienza maturata sul campo evidenzia come gli errori procedurali commessi durante l’emergenza possano trasformare un incidente circoscritto in una grave compromissione operativa. Ecco i cinque comportamenti da evitare categoricamente:

• Formattare o reinstallare immediatamente i sistemi compromessi, cancellando le evidenze tecniche indispensabili per comprendere l’attacco e documentare la diligenza dello studio;
• Ritenere che l’incidente sia concluso non appena viene bloccato il malware visibile, tralasciando la verifica di eventuali backdoor o account secondari creati dall’attaccante per rientrare successivamente;
• Diffondere comunicati esterni prematuri o frammentari verso la clientela prima di aver verificato con certezza il reale perimetro dell’incidente;
• Omit or delay the involvement of legal counsel and the insurance company in the very first hours after discovery;
• Avviare il ripristino dell’infrastruttura facendo cieco affidamento su copie di backup non preventivamente verificate e scansionate contro infezioni latenti.

Continuità operativa e l’approccio integrato di Lanpartners

L’efficacia della risposta poggia sulla qualità dell’infrastruttura preventiva. Lanpartners supporta gli studi professionali nella progettazione di architetture resilienti che integrano la tecnologia di backup immutabile (Write Once, Read Many – WORM). Questa tecnologia rende i dati archiviati non modificabili e non eliminabili durante il periodo di conservazione configurato, in base alle policy di accesso configurate. In caso di attacco ransomware, un backup immutabile riduce la dipendenza dal pagamento del riscatto e aumenta significativamente la capacità di ripristinare i dati in sicurezza, come illustrato nei nostri Managed IT services for law firms and notary offices.

La proposta di sicurezza di Lanpartners combina strumenti di detection and response per identificare le minacce in tempo reale, monitoraggio continuo degli endpoint per individuare comportamenti anomali prima che degenerino in incidenti, analisi delle vulnerabilità (Vulnerability Assessment) per anticipare i punti deboli dell’infrastruttura, protezione avanzata della posta elettronica contro phishing e Business Email Compromise, e verifiche periodiche delle configurazioni cloud per garantire che l’archiviazione documentale resti sempre sicura e conforme, con modalità di presidio e supporto definite in base al livello di servizio attivato.

Completano l’offerta le simulazioni periodiche di phishing per addestrare lo staff e la consulenza per supportare lo studio nella definizione e nella documentazione di processi e controlli di sicurezza coerenti con i principi e i controlli dei sistemi di gestione della sicurezza delle informazioni secondo ISO/IEC 27001, anche valorizzando l’esperienza maturata da Lanpartners come azienda certificata (ISO/IEC 27001 Certification of Lanpartners), consentendo allo studio di attestare la maturità e l’affidabilità dei propri processi di sicurezza.

FAQ on Incident Response and cybersecurity

Nota: Le seguenti indicazioni hanno finalità informative e operative generali e non sostituiscono la valutazione specifica di un professionista IT, legale o privacy sul caso concreto.

What is meant by an Incident Response plan for a professional practice?

L’Incident Response è l’insieme strutturato di procedure tecniche, organizzative e legali volte a identificare, contenere, neutralizzare e rimediare a una violazione di sicurezza informatica, riducendo al minimo i tempi di inattività, le perdite di dati e i rischi sanzionatori.

Should you always turn off the computer when a cyber attack is suspected?

Non necessariamente. Lo spegnimento non deve essere automatico: la decisione va concordata con il team IT o con specialisti forensi, valutando se sia prioritario preservare i dati volatili nella memoria RAM per comprendere l’attacco oppure interrompere immediatamente l’attività del dispositivo per evitare ulteriore propagazione.

How does the 72-hour period for notifying a data breach to the Italian Data Protection Authority (Garante Privacy) run?

Il termine di 72 ore decorre dal momento in cui il titolare viene a conoscenza della violazione di dati personali che può comportare un rischio per i diritti e le libertà degli interessati. Non è necessario attendere la conclusione dell’indagine tecnica completa: la notifica può essere trasmessa tempestivamente e integrata in un secondo momento con le informazioni acquisite successivamente. Tutte le violazioni devono essere comunque documentate nel registro interno con circostanze, conseguenze e contromisure.

How does the NIS2 Directive impact a professional firm operating as a supplier?

Per i soggetti rientranti nell’ambito di applicazione del D.Lgs. 138/2024, un incidente che soddisfa i requisiti di significatività previsti dalla normativa può comportare un preallarme entro 24 ore allo CSIRT Italia e una notifica successiva entro 72 ore. Per uno studio professionale che opera come fornitore, l’obbligo diretto non deriva automaticamente dal rapporto contrattuale: tuttavia, i clienti soggetti a NIS2 richiedono garanzie documentate, audit e procedure di collaborazione in caso di compromissione della supply chain.

How does an immutable backup protect the firm from ransomware attacks?

Il backup immutabile adotta una tecnologia che rende i dati non modificabili e non cancellabili durante il periodo di ritenzione configurato. Questo impedisce al malware di alterare le copie di riserva, aumentando la capacità di recupero e riducendo la dipendenza dal pagamento del riscatto.

Request a Security Check-up and Vulnerability Assessment for your Studio

Non attendere che un incidente metta a rischio la riservatezza dei tuoi fascicoli e la continuità del tuo lavoro. Gli esperti di Lanpartners effettuano una valutazione completa della tua infrastruttura IT, analizzando le vulnerabilità perimetrali, la resilienza dei sistemi di backup e il grado di preparazione del team attraverso test di phishing controllati. Al termine della valutazione riceverai un report chiaro con le priorità di intervento e le azioni concrete da mettere in campo. Prenota oggi stessa una consulenza riservata sulla nostra pagina Lanpartners Contact Information and protect your firm's fiduciary assets.