Lezione 12: Piano di sicurezza, incidenti e verifica finale

Introduzione e obiettivi

Eccoci all'ultima lezione del modulo. Nelle tre lezioni precedenti del Modulo 3 abbiamo costruito, mattone su mattone, una cultura della sicurezza per chi lavora con i dati dell'edilizia digitale: nella Lezione 9 i fondamenti (la triade CIA, le minacce, il phishing, l'igiene delle password); nella Lezione 10 la protezione di dati e modelli BIM nel Common Data Environment con permessi, versioning e backup (ISO 19650); nella Lezione 11 la sicurezza dell'infrastruttura — IoT, reti, dispositivi mobili, supply chain — chiusa con l'analisi del rischio e il registro dei rischi. Adesso è il momento di mettere tutto insieme.

Questa lezione non introduce molti concetti nuovi: prende quelli già visti e li trasforma in strumenti operativi che porterai in cantiere e in studio. Imparerai a scrivere un piano minimo di sicurezza — il documento che dice "ecco cosa facciamo, chi lo fa e ogni quanto" — e a gestire un incidente quando, nonostante tutto, qualcosa va storto. Perché la domanda giusta non è "se" subirai un attacco, ma "quando", e soprattutto "quanto sei pronto a reagire". Una piccola impresa edile che sa cosa fare nelle prime due ore di un ransomware perde un giorno; una che improvvisa perde una settimana e, a volte, le commesse.

Concretamente, in questa lezione esploreremo:

• Il piano minimo di sicurezza: come si scrive, le tre famiglie di misure (tecniche, organizzative e formazione) e una tabella pronta da adattare a uno studio o a una piccola impresa edile;
• La gestione di un incidente: i quattro tempi — rilevare, contenere, ripristinare, comunicare — con l'obbligo GDPR di notifica del data breach entro 72 ore;
• Una simulazione ransomware: un role-play di "cosa facciamo nelle prime due ore", con una checklist operativa;
• Il project work integrato: la consegna che chiude il corso, dal caso alla presentazione di gruppo;
• La verifica finale: come sei valutato, i pesi e la rubrica, con il mini-test sull'intero Modulo 3.

Costruire un piano minimo di sicurezza

Un piano minimo di sicurezza è un documento breve e concreto che risponde a tre domande: cosa proteggiamo, con quali misure e chi è responsabile di cosa. Non è un trattato: per uno studio tecnico o una piccola impresa edile bastano poche pagine. Il suo valore non sta nella lunghezza ma nel fatto che esista, sia scritto e sia condiviso: finché la sicurezza vive solo "nella testa dell'informatico" non è un piano, è un'illusione. Il registro dei rischi che hai costruito nel laboratorio della Lezione 11 (asset → minacce → misure) è la materia prima: il piano lo trasforma in azioni assegnate e ricorrenti.

Le tre famiglie di misure

Le contromisure di sicurezza si raggruppano sempre in tre famiglie. Un piano completo le tocca tutte e tre, perché una sola non basta: il miglior firewall del mondo è inutile se l'operaio clicca sull'allegato di phishing, e la migliore formazione non protegge un server senza backup.

• Misure tecniche: ciò che si configura e si installa — antivirus/EDR, backup 3-2-1, cifratura, MFA, segmentazione della rete, aggiornamenti, gestione dei permessi nel CDE. Sono le difese che abbiamo visto nelle Lezioni 10 e 11.
• Misure organizzative: le regole e i ruoli — chi può accedere a cosa, chi aggiorna i firmware, ogni quanto si verificano i backup, cosa si fa quando arriva un nuovo subappaltatore, come si revoca un account a chi lascia l'azienda. Sono procedure, non software.
• Formazione: le persone. Riconoscere il phishing, usare un password manager, sapere a chi segnalare un'anomalia. È la misura con il miglior rapporto costo/beneficio, perché l'errore umano è la prima causa di incidente.

Una tabella di piano minimo per uno studio/impresa edile

Ecco un piano minimo pronto da adattare, costruito sul caso "Costruzioni Verdi srl" del laboratorio della Lezione 11 (piccolo studio/impresa, ~8 persone, CDE in cloud, tablet di campo, un cantiere con telecamere e sensori). La colonna "Responsabile" e "Frequenza" sono ciò che trasforma un elenco di buoni propositi in un piano vero.

Nota come quasi ogni riga sia il "seguito naturale" di una lezione del modulo: i backup e i permessi vengono dalla Lezione 10, la segmentazione e la cifratura dei mobili dalla Lezione 11, l'anti-phishing dalla Lezione 9. Il piano non inventa nulla: ordina. Ed è esattamente la sezione "Sicurezza" che valuteremo nel project work.

Gestione di un incidente

Un incidente di sicurezza è qualsiasi evento che mette a rischio la riservatezza, l'integrità o la disponibilità (di nuovo la triade CIA) dei dati e dei sistemi: un ransomware che cifra il server, un account email compromesso, un tablet rubato, una telecamera di cantiere violata, un file di registro presenze inviato per errore al fornitore sbagliato. Prima o poi capita. La differenza tra un'azienda che se la cava e una che affonda non sta nell'evitare l'incidente, ma nel reagire con ordine. E reagire con ordine significa seguire quattro tempi, sempre gli stessi.

I quattro tempi: rilevare, contenere, ripristinare, comunicare

• 1. Rilevare. Accorgersi che qualcosa non va: file che non si aprono o hanno estensioni strane, un messaggio di riscatto, un PC lentissimo, un accesso anomalo nei log, una segnalazione di un collega ("mi è arrivata una mail strana e ho cliccato"). Più tardi te ne accorgi, più il danno cresce: per questo la formazione e i log contano.
• 2. Contenere. Fermare l'emorragia prima di pensare a riparare. In pratica: scollegare dalla rete il PC o il server colpito (staccare il cavo o il Wi-Fi, non spegnerlo necessariamente, per non perdere prove), isolare la VLAN compromessa, sospendere gli account sospetti, cambiare le password chiave. L'obiettivo è impedire che il problema si propaghi agli altri sistemi — ed è qui che la segmentazione della Lezione 11 ripaga: se le reti sono separate, il contenimento è già metà fatto.
• 3. Ripristinare. Tornare operativi in sicurezza: ripartire dai backup (quelli offline, non raggiungibili dal ransomware), ricostruire i sistemi puliti, correggere la causa che ha permesso l'attacco (la password debole, il firmware vecchio, il plugin malevolo). Ripristinare senza correggere la causa significa farsi colpire di nuovo dopo pochi giorni.
• 4. Comunicare. Avvisare chi di dovere: la direzione, le persone coinvolte, eventuali clienti o fornitori e — se ci sono dati personali a rischio — le autorità. È il tempo più trascurato e quello con conseguenze legali. Comunicare male o tardi un data breach può costare più dell'attacco stesso.

L'obbligo GDPR: la notifica del data breach entro 72 ore

Quando l'incidente coinvolge dati personali (anagrafiche dei lavoratori, badge di accesso, foto del SAL in cui si riconoscono persone, dati di contatto di clienti e fornitori) non è più solo un problema tecnico: diventa un data breach ai sensi del GDPR, già incontrato nelle Lezioni 4 e 11. La regola da ricordare a memoria è la notifica entro 72 ore:

• se la violazione comporta un rischio per i diritti e le libertà delle persone, il titolare del trattamento deve notificarla al Garante per la protezione dei dati personali entro 72 ore da quando ne è venuto a conoscenza;
• se il rischio è elevato, vanno informati anche gli interessati (le persone i cui dati sono stati violati), in modo chiaro e tempestivo;
• se non si fa in tempo a raccogliere tutte le informazioni, si fa una notifica iniziale e poi si integra: l'importante è non superare le 72 ore in silenzio;
• ogni violazione va annotata nel registro delle violazioni, anche quelle che non raggiungono la soglia di notifica, documentando cosa è successo, perché si è deciso di notificare o no e quali misure si sono prese.

Le 72 ore non si fermano il venerdì sera né ad agosto. Ecco perché la procedura incidenti del piano deve dire chi valuta se c'è un data breach e chi contatta il Garante: deciderlo nel panico, di sabato, è troppo tardi.

PROCEDURA INCIDENTI (da tenere nel piano minimo, una pagina)

1. RILEVARE     -> chi se ne accorge avvisa SUBITO il referente (tel: ____)
2. CONTENERE    -> isolare dalla rete il sistema colpito, NON spegnere,
                   sospendere account sospetti, cambiare password chiave
3. VALUTARE     -> sono coinvolti DATI PERSONALI? c'e' rischio per le persone?
                   (decide: titolare + DPO se presente)
4. COMUNICARE   -> se si': NOTIFICA al Garante entro 72h dal rilevamento;
                   se rischio elevato, informare anche gli interessati;
                   avvisare direzione e, se serve, clienti/fornitori
5. RIPRISTINARE -> ripartire dai BACKUP OFFLINE, ricostruire pulito,
                   CORREGGERE LA CAUSA (password, firmware, plugin...)
6. REGISTRARE   -> annotare tutto nel registro delle violazioni e
                   aggiornare il registro dei rischi e il piano

Simulazione ransomware: le prime due ore

Adesso facciamo un role-play. La teoria della sezione precedente si fissa solo se la "agisci": in aula divideremo i ruoli (chi è il geometra che ha cliccato, chi il titolare, chi il referente IT, chi gestisce la comunicazione) e simuleremo le prime due ore di un attacco. È il momento in cui le decisioni contano di più e in cui, senza una procedura, si fanno i danni peggiori.

Lo scenario

Lunedì mattina, ore 8:40, studio "Costruzioni Verdi srl". Una geometra apre un PC e trova sul desktop un file di testo: "I tuoi file sono stati cifrati. Per riaverli paga entro 48 ore". I documenti di una commessa — modelli, computi, foto del SAL — hanno estensioni strane e non si aprono. Il giorno prima qualcuno aveva ricevuto una fattura PDF "urgente" da un fornitore e l'aveva aperta. Sul server di rete ci sono anche le anagrafiche dei lavoratori e i badge di cantiere. Cosa si fa adesso?

La morale del role-play: chi nelle prime due ore segue una lista perde un PC e qualche ora; chi improvvisa spesso cifra anche i backup (perché erano collegati in rete), perde giorni di lavoro e arriva tardi alla notifica delle 72 ore. Tutte le difese viste nel modulo — backup offline, segmentazione, MFA, formazione — nella simulazione mostrano il loro valore concreto: non sono burocrazia, sono i minuti e i dati che ti salvano.

Il project work integrato

Il project work integrato è il vero esame del corso e l'esercitazione finale di questa lezione. Non è un compito a parte: è il punto in cui i tre moduli si chiudono in un unico elaborato sul caso che vi ha seguito dalla Lezione 1. A gruppi, prendete il vostro edificio/cantiere e raccontate l'intero percorso del dato — da dove nasce, come lo analizzate per decidere, come lo proteggete.

Le quattro tappe dell'elaborato

1. Dal caso alla mappa delle fonti dati (Modulo 1). Partite dal vostro edificio/cantiere e costruite la mappa delle fonti dati: modello BIM/IFC, sensori IoT, fogli di SAL, consumi, anagrafiche, open data. Classificate i dati per tipo e origine e indicate la qualità e gli eventuali dati personali (richiama Lezioni 1–4).
2. Dalla mappa alla dashboard con KPI e decisione (Modulo 2). Scegliete alcuni KPI significativi (costi/tempi, consumi, CO₂, sicurezza, scarti), costruite una dashboard a una pagina e usatela per motivare una decisione data-driven sul caso (richiama Lezioni 5–8). La decisione deve essere misurabile, non un'opinione.
3. Dalla decisione al piano minimo di sicurezza (Modulo 3). Proteggete i dati e il modello BIM del caso: partite dal registro dei rischi della Lezione 11 e scrivete un piano minimo di sicurezza (misure tecniche, organizzative, formazione) con responsabili e frequenze, e una breve procedura incidenti (richiama Lezioni 9–12).
4. La presentazione. Raccontate il percorso in una presentazione di gruppo di 8–10 minuti: problema, dati, decisione, sicurezza. Chiarezza e rispetto dei tempi contano quanto i contenuti.

Come funziona la verifica finale

La verifica finale chiude il modulo UFC 9. Non è una singola prova "tutto o niente": è la somma di ciò che hai prodotto lungo le 12 lezioni più due prove finali (il test scritto e la presentazione del project work). La soglia di superamento è 60/100. Vediamo come si compone il voto e con quale rubrica si valuta il project work, così sai esattamente dove concentrare l'energia.

I pesi della valutazione

Il voto finale combina quattro voci. Le consegne di laboratorio e il project work pesano insieme il 60%: la valutazione premia il fare, coerentemente con il metodo del corso (learning by doing).

La rubrica del project work

Il project work si valuta su quattro criteri, ciascuno con tre livelli (Base 1, Adeguato 2, Ottimo 3). Sono gli stessi quattro pilastri del corso: i dati, l'analisi/decisione, la sicurezza e la capacità di comunicarli.

Mini-test di autoverifica (intero modulo)

Sezione A: domande a risposta multipla

1. Cosa indica la triade CIA in cybersecurity?
   a) Controllo, Integrazione, Accesso   b) Confidenzialità, Integrità, Disponibilità   c) Cifratura, Identità, Autorizzazione   d) Cloud, Internet, App
2. Cos'è il Common Data Environment (CDE) nella ISO 19650?
   a) Un formato di file BIM   b) L'ambiente unico e condiviso dove si gestiscono dati e modelli di progetto   c) Un antivirus per cantieri   d) Una rete VPN
3. A cosa serve il modello RBAC dei permessi?
   a) A cifrare i backup   b) A dare a ciascuno l'accesso solo a ciò che gli serve, in base al ruolo   c) A velocizzare il CDE   d) A notificare i data breach
4. Cosa prevede la regola di backup "3-2-1"?
   a) 3 password, 2 firewall, 1 antivirus   b) 3 copie dei dati, su 2 supporti diversi, 1 delle quali offline/fuori sede   c) 3 utenti, 2 admin, 1 ospite   d) Backup ogni 3 giorni
5. Qual è la prima cosa da fare quando arriva una fattura PDF "urgente" e inattesa da un fornitore?
   a) Aprirla subito per non perdere tempo   b) Diffidare: verificare mittente e richiesta prima di aprire allegati o link (possibile phishing)   c) Inoltrarla a tutto l'ufficio   d) Stamparla
6. Cosa significa "segmentare" la rete di cantiere?
   a) Aumentare la potenza del Wi-Fi   b) Dividerla in zone separate (VLAN) che non si parlano, così un danno resta confinato   c) Usare un solo SSID   d) Disattivare la cifratura
7. Perché un dispositivo IoT (es. una telecamera) con password di default è pericoloso?
   a) Consuma troppa energia   b) È facilmente individuabile e attaccabile, e può fare da porta d'ingresso verso altri sistemi   c) Rallenta la rete   d) Non registra video
8. Entro quanto tempo va notificato al Garante un data breach con rischio per le persone?
   a) 24 ore   b) 72 ore dal momento in cui se ne viene a conoscenza   c) 7 giorni   d) 30 giorni
9. Qual è l'ordine corretto dei quattro tempi nella gestione di un incidente?
   a) Comunicare, ripristinare, contenere, rilevare   b) Rilevare, contenere, ripristinare, comunicare   c) Ripristinare, rilevare, comunicare, contenere   d) Contenere, comunicare, rilevare, ripristinare
10. Cosa sono NIS2 e ISO/IEC 27001?
    a) Due formati IFC   b) NIS2 è una direttiva con obblighi di sicurezza/notifica per soggetti importanti; ISO 27001 è una certificazione volontaria di gestione della sicurezza basata sul rischio   c) Due tipi di firewall   d) Due plugin BIM

Sezione B: domande a risposta aperta

11. (2 punti) Descrivi, nell'ordine, cosa fai nelle prime due ore di un attacco ransomware che ha cifrato il server con i modelli BIM e le anagrafiche dei lavoratori. Indica almeno una misura per ciascuno dei quattro tempi (rilevare, contenere, ripristinare, comunicare) e spiega quando scatta l'obbligo delle 72 ore.
12. (2 punti) Scrivi tre righe di un piano minimo di sicurezza per uno studio edile, una per ciascuna famiglia di misure (tecnica, organizzativa, formazione). Per ogni riga indica la misura, il responsabile e la frequenza.

TECNICA:        Backup 3-2-1 con copia offline
                Responsabile: referente IT   Frequenza: giornaliero
                + test di ripristino mensile

ORGANIZZATIVA:  Matrice permessi del CDE (RBAC) + revoca account
                Responsabile: BIM coordinator/titolare
                Frequenza: a ogni nuovo progetto e a ogni uscita

FORMAZIONE:     Training anti-phishing e igiene password
                Responsabile: titolare/docente esterno
                Frequenza: annuale + onboarding nuovi assunti

Riepilogo del corso

Ci siamo: questa è l'ultima lezione del modulo UFC 9. Hai percorso l'intera filiera del dato nell'edilizia digitale — dal riconoscerlo, all'analizzarlo per decidere, fino a proteggerlo. Ecco, in un colpo d'occhio, il corso che hai completato.