Accesso prolungato post-uscita — lacuna nell'offboarding

Sequenza di iniezioni (T+0 → T+72h)

I tempi seguono il cronometro dell'art. 25 del DLgs 138/2024 (pre-notifica 24h / notifica 72h). Il facilitatore legge ogni iniezione al momento indicato oppure comprime l'esercizio in un blocco di 60-90 minuti.

1. T+0

   T+0. 10:15. Il nuovo amministratore di sistema nota accessi notturni alla VPN con l'account di un collaboratore che ha lasciato l'azienda sei settimane fa. L'account non è mai stato disattivato. I log mostrano 19 sessioni nelle ultime quattro settimane, tutte da un IP di un paese estero. Alcune sessioni hanno toccato file sul server di condivisione — disegni, proposte commerciali, elenchi fornitori.

   Iniezione 1 di 6

2. T+15min

   T+15min. L'amministratore disattiva l'account immediatamente. Convoca il responsabile IT e l'amministratore delegato. Documenta i timestamp di tutte le sessioni. Non si sa ancora cosa sia stato esfiltrato — si sa solo che c'è stato accesso.

   Iniezione 2 di 6

3. T+1h

   T+1h. L'amministratore delegato chiede se questo è un incidente significativo. L'azienda ha 220 dipendenti, fattura circa 25 milioni di euro all'anno, qualifica come soggetto importante ai sensi del DLgs 138/2024. Il Direttore Risorse Umane conferma che il processo di uscita del collaboratore è stato normale — non conflittuale, ma la checklist di offboarding ha fallito alla voce di revoca delle utenze tecniche.

   Iniezione 3 di 6

4. T+4h

   T+4h. L'analisi forense dettaglia i file a cui si è avuto accesso — 380 file, inclusa la proposta commerciale per il cliente principale in corso. Non c'è ancora conferma di esfiltrazione ma il pattern degli accessi è compatibile con una copia verso l'esterno. La direzione discute se denunciare alla Polizia Postale e al CSIRT Italia. L'ufficio legale valuta l'art. 615-ter c.p. (accesso abusivo a sistema informatico).

   Iniezione 4 di 6

5. T+24h

   T+24h. Decisione presa: pre-notifica al CSIRT Italia tramite piattaforma ACN (incidente significativo, impatto sostanziale su informazioni commerciali riservate + perdita di riservatezza di informazioni del cliente). Denuncia presentata alla Polizia Postale. Audit forense della postazione dell'ex collaboratore per identificare il canale di uscita dei file. Cliente principale informato in riunione dedicata.

   Iniezione 5 di 6

6. T+72h

   T+72h. Notifica completa (72h) al CSIRT Italia trasmessa. Polizia Postale conferma l'apertura dell'indagine. Piano di rientro: checklist di offboarding rivista (include ora la revoca di TUTTE le utenze tecniche entro 2 ore dall'uscita, validazione da parte di due colleghi); gestione dei privilegi rivista (strumento PAM da valutare); audit trimestrale delle utenze dormienti aggiunto al calendario. Cliente principale rafforza il contratto con clausola di notifica immediata.

   Iniezione 6 di 6