---
title: Cos'è un Incident Response Team e come costruirlo efficacemente
description: "Incident Response Team appropriato è fondamentale nella gestione di un incidente di sicurezza informatica: ecco come costruirne uno efficace"
---

[Tutti i segreti della Cybersecurity: il blog di Cyberoo](https://blog.cyberoo.com)

# [Cos'è un Incident Response Team e come costruirlo efficacemente](https://blog.cyberoo.com/come-costituire-un-incident-response-team-efficace)

 Scritto da [cyberoo-admin](https://blog.cyberoo.com/author/cyberoo-admin) | 17 marzo 2020

Affidarsi a un Computer Security Incident Response Team (CSIRT, team di risposta agli incidenti di sicurezza informatica, n.d.r.) è il modo migliore per [difendersi dagli attacchi informatici](https://blog.cyberoo.com/come-difendersi-dagli-attacchi-informatici), gestire e affrontare il verificarsi di un incidente di sicurezza informatica. Non si tratta solo di assolvere alla [cyber compliance](https://blog.cyberoo.com/come-costituire-un-incident-response-team-efficace) verso la **normativa NIS** (d.lgs. del 18 maggio 2018 n.65) e il relativo **regolamento di esecuzione (UE) 2018/151** (30 gennaio 2018), che rispettivamente richiedono e rendono applicabili l’adozione di misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi, e a prevenire e minimizzare l’impatto degli incidenti a carico della sicurezza delle reti e dei sistemi informativi, per assicurare la continuità del servizio per le organizzazioni.

Le aziende Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Essenziali (FSD) e quelle che lavorano con queste entità sono chiamati a non improvvisare in presenza di segnali potenziali o conclamati di attacco informatico e a dotarsi di un appropriato CSIRT.

Ma come organizzare e rendere pienamente operativa una struttura così strategica per la sicurezza aziendale? È necessario **individuare ruoli, responsabilità, procedure**, che, nell’ambito delle policy aziendali, del budget disponibile e degli obiettivi di business dell’organizzazione, possano intervenire per la prevenzione e gestione degli incidenti di sicurezza.

### **Definizione di Incident Response Team**

Il Computer Security Incident Response Team (CSIRT) è un'entità organizzativa, normalmente formalizzata nell’organigramma aziendale, formata da **due o più membri del personale**, a cui è assegnata la responsabilità di **coordinare e supportare la risposta a un evento o incidente di sicurezza informatica** ([fonte Cyber Infrastructure US CERT GOV](https://www.us-cert.gov/bsi/articles/best-practices/incident-management/defining-computer-security-incident-response-teams)). Obiettivo di un CSIRT è la riduzione massima e il controllo dei danni derivanti da incidenti di sicurezza, fornendo una guida efficace per le attività di risposta e recupero e la prevenzione di incidenti futuri.  

Le attività del CSIRT, nella sostanza, sono varie e molto eterogenee: questo dipende sia dalla moltitudine di diverse criticità con cui può avere a che fare, sia dai diversi livelli di gestione necessari. Benché vi siano molti framework e modelli pronti a regolare l’operato di uno CSIRT, tutti sono riconducibili a sei pilastri principali: **preparazione, identificazione, contenimento, eradicazione, recovery, post mortem,** con l’ultimo passaggio che consiste in un’analisi approfondita di come si è gestita la criticità. 

 

## **Composizione e ruoli di un Incident Response Team (CSIRT)**

Nella composizione del gruppo che opera come Incident Response Team sono necessarie figure diversificate che spaziano fra: **Management, Technical lead, Legal support, Communications, Interface to the security committee, Security officer**. Ognuna di queste figure può essere coinvolta secondo una matrice ruoli responsabilità sotto raffigurata, in cui sono distinte le responsabilità dell’**Owner** che prende le decisioni e possiede il processo, **Helper** che aiuta il processo, **Advisor** che consiglia sul processo, **Implementer** che svolge il lavoro e **Updater** che aggiorna lo stato e le azioni degli altri membri del team.

*Credits* [*Science Direct*](https://www.sciencedirect.com/topics/computer-science/incident-response-team)

## **Cosa fa un CSIRT: i compiti di un Incident Response Team**

Le **responsabilità** chiave di un Computer Security Incident Response Team includono: la creazione e gestione di un piano di risposta agli incidenti (IRP), investigazione e analisi degli incidenti, gestione delle comunicazioni interne e degli aggiornamenti durante o immediatamente dopo gli incidenti, comunicazione sugli incidenti verso dipendenti, azionisti, clienti e stampa, attuazione della remediation dell’incidente, raccomandazioni post-incident per modifiche a tecnologia, politica, governance e formazione.

Affinché l’incident Response Team **operi efficacemente** è necessario che tutte le attività sopraccitate siano ricomprese in apposite **procedure** comunicate al personale coinvolto, accessibili al bisogno, sintetizzate per rapida consultazione e richiamate nel **processo di Incident Management aziendale** emesso e gestito nell’ambito dei processi aziendali, ed eventualmente certificato secondo le normative ISO 27001: 2013, NISF CSF, ISA/IEC 62443.

Gli Incident Response Team possono variare il loro focus dipendentemente dal **settore** a cui appartiene l’organizzazione. Per esempio, gli CSIRT delle **forze dell'ordine** possono concentrarsi sulla persecuzione di incidenti di criminalità informatica, raccogliendo e analizzando i dati di informatica forense dai sistemi interessati o coinvolti. Quelli di **tipo governativo** o **privati** possono essere coinvolti nella formazione sulla consapevolezza della sicurezza e nelle attività generali di gestione degli incidenti, ma non svolgono mai attività forensi, che sono curate da investigatori e professionisti ad hoc.

 

## Differenze tra CSIRT, CERT e SOC

Per non confondere il ruolo dei **CSIRT** con quello dei **Computer Emergency Response Team** **(CERT)** e quello dei **Security Operations Center (SOC)**, si ricorda che: 

- un CERT raccoglie e diffonde informazioni sulla sicurezza; 
- il CSIRT risponde agli incidenti; 
- il SOC è il luogo in cui si monitora e difende la rete, i server, le applicazioni e i computer endpoint.  

Uno schema esplicativo è qui rappresentato:

*Credit* [*Exabeam*](https://www.exabeam.com/incident-response/csirt/)

SOC, CERT e CSIRT lavorano in modo ciclico, senza soluzione di continuità, e anche i momenti di (relativa) calma impongono al team di incident response di prepararsi a cogliere ogni minimo alert per entrare tempestivamente in azione. Per fare questo, è essenziale uno studio e aggiornamento continuo di policy, tool e competenze, al fine di approcciare nel modo corretto ogni criticità e garantire il più possibile la business continuity all’infrastruttura colpita. 

[Visualizza articolo completo](https://blog.cyberoo.com/come-costituire-un-incident-response-team-efficace)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "cyberoo-admin"
  },
  "dateModified" : "2026-07-15T09:49:56.066Z",
  "datePublished" : "2020-03-17T11:30:00Z",
  "headline" : "Come costituire un Incident Response Team efficace",
  "image" : {
    "@type" : "ImageObject",
    "height" : 1080,
    "url" : "https://f.hubspotusercontent30.net/hubfs/6892231/Computer%20Security%20Incident%20Response%20Team.jpg",
    "width" : 1920
  },
  "mainEntityOfPage" : "https://blog.cyberoo.com/come-costituire-un-incident-response-team-efficace",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "Blog"
  }
}
```