Vai al contenuto
Home / Servizi / Risposta agli Incidenti
DFIR 24/7 · SLA 1h critico · 4h alto · 8h medio

Incident Response e Forense Digitale per Aziende in Italia

Quando si verifica una violazione, ogni minuto conta. SOC 24/7 secondo NIST SP 800-61 e forense digitale con catena di custodia per il tribunale. Berghem è una società di incident response con sede a São Paulo, team interno e operatività in Italia ed Europa tramite Berilo.

Cosa copre il programma di risposta agli incidenti di Berghem?

Il programma di risposta di Berghem copre l'intero ciclo dell'incidente — dalla preparazione con playbook e tabletop, al contenimento in ore via SOC 24/7, fino alla perizia forense che ricostruisce la kill chain e produce perizia firmata per il tribunale.

Ogni azione viene registrata, ogni decisione documentata e ogni artefatto preserva la catena di custodia. Chiudiamo con revisione post-incidente, aggiornamento dei playbook e indicatori di compromissione per alimentare SIEM, EDR e threat intel interno.

Tutto incluso

•SOC 24/7 con reperibilità rotativa
•Ciclo NIST SP 800-61 (6 fasi)
•Contenimento entro 4 ore
•Acquisizione forense di disco e memoria
•Reverse engineering del malware
•Catena di custodia ISO/IEC 27037
•Perizia firmata da perito giudiziario
Modulo 01 · NIST SP 800-61

Risposta agli Incidenti

Sei fasi eseguite da un SOC 24/7 — dalla preparazione al post-incidente. Ogni minuto viene registrato, ogni decisione documentata e ogni azione preserva la catena di custodia.

Fase 01 · Playbook

Preparazione

Piano di risposta, formazione del team e tabletop exercise per garantire la prontezza — playbook specifici per scenario e area di business.

Fase 02 · SIEM · EDR

Rilevamento e Analisi

Identificazione e classificazione rapida via SIEM, EDR e threat intel — correlazione multi-fonte per separare rumore da compromissione reale.

Fase 03 · Isolamento

Contenimento

Isolamento degli host, revoca delle credenziali e limitazione del raggio d'impatto — preservando le evidenze per la perizia successiva.

Fase 04 · Pulizia

Eradicazione

Rimozione completa della minaccia dall'ambiente e chiusura dei vettori di attacco sfruttati — hardening e validazione dell'integrità.

Fase 05 · Ripristino

Recupero

Ripristino assistito con monitoraggio rafforzato per rilevare tentativi di ritorno dell'avversario — validazione prima della ripresa operativa.

Fase 06 · Post-mortem

Lezioni Apprese

Report post-incidente, analisi delle cause e azioni correttive — chiudendo il ciclo con aggiornamento di playbook, controlli e indicatori.

Modulo 02 · ISO/IEC 27037

Forense Digitale

Indagine che resiste al controesame: acquisizione forense, ricostruzione della timeline e perizia firmata da perito giudiziario. Sei capacità con catena di custodia verificabile.

Immagine · RAM · Artefatti

Disco e Memoria

Immagini bit-per-bit write-blocked, cattura RAM volatile, analisi artefatti NTFS/EXT4 e dump di processi.

PCAP · NetFlow · C2

Traffico di Rete

Cattura PCAP, NetFlow, ricostruzione sessioni, estrazione IOC e identificazione server C2.

Sandbox · MITRE ATT&CK

Malware e Reverse Engineering

Analisi statica e dinamica in sandbox, unpacking, deobfuscation e mappatura TTP contro MITRE ATT&CK.

SIEM · EDR · IdP · Cloud

Log e Timeline

Correlazione log da SIEM, EDR, IdP e cloud per ricostruire la kill chain minuto per minuto.

ISO/IEC 27037 · SHA-256

Catena di Custodia

Procedure ISO/IEC 27037 con hashing SHA-256, sigillo digitale e traccia verificabile di ogni evidenza.

Perizia · Expertise · Tribunale

Perito Giudiziario e Perizia

Perizia firmata, assistenza tecnica in giudizio e testimonianza specializzata.

Forense Informatica e Perizia Tecnica

La forense informatica ricostruisce l'accaduto con rigore ammissibile in tribunale. Berghem esegue raccolta e preservazione delle prove, analisi di disco, memoria, rete e cloud, e produce una perizia tecnica che documenta metodo, findings e catena di custodia — pronta a sostenere decisioni legali, contrattuali e regolatorie.

Risposta agli Incidenti Ransomware

In un attacco ransomware, la priorità è contenere la propagazione laterale e preservare le prove prima di qualsiasi ripristino. Berghem isola gli host compromessi, identifica il vettore iniziale e l'ambito della crittografia, valuta le opzioni di recupero — backup, decrittazione, business continuity — e conduce l'hardening post-incidente per impedire la reinfezione.

Catena di Custodia (ISO/IEC 27037)

La catena di custodia garantisce che ogni prova sia tracciabile dalla raccolta alla presentazione. Seguendo la ISO/IEC 27037, Berghem applica immagini bit-per-bit con blocco di scrittura, hashing SHA-256, sigillo digitale e traccia verificabile di chi ha avuto accesso a cosa e quando — sostenendo la validità della prova nei procedimenti giudiziari e amministrativi.

Le 4 fasi del NIST SP 800-61

Ogni ingaggio segue il ciclo di risposta agli incidenti del NIST SP 800-61:

  • Preparazione — playbook, formazione e prontezza prima dell'incidente.
  • Rilevamento e analisi — identificazione e classificazione via SIEM, EDR e threat intel.
  • Contenimento, eradicazione e recupero — isolare, rimuovere la minaccia e ripristinare in sicurezza.
  • Attività post-incidente — cause, lezioni apprese e miglioramento dei controlli.

Notifica dell'incidente all'autorità (LGPD/GDPR)

La normativa sulla protezione dei dati richiede la notifica all'autorità e agli interessati quando un incidente di sicurezza può comportare un rischio o un danno rilevante. Berghem supporta la valutazione dell'incidente, la definizione di cosa deve essere segnalato e la produzione della documentazione tecnica che sostiene la notifica — coordinando tempi e contenuti con il team legale e il DPO.

Team interno e coordinamento con le autorità

Berghem mantiene un team interno di DFIR, con esaminatori certificati GCFA (GIAC Certified Forensic Analyst) ed EnCE (EnCase Certified Examiner), metodologia documentata e coordinamento con il CERT.br e le altre autorità quando il caso lo richiede. In un caso anonimizzato di ransomware presso un'azienda di medie dimensioni, il team ha contenuto il movimento laterale e preservato le prove per la perizia; in un altro, relativo a una violazione di dati personali, ha condotto la forense informatica e supportato la notifica all'autorità di protezione dei dati. Ogni risposta produce prove riproducibili e una perizia tecnica che regge alla contestazione — dal primo alert alla eventuale testimonianza in giudizio.

SLA di risposta per severità

I tempi di risposta sono definiti per severità e valgono 24/7 per il livello critico:

CriticoRisposta iniziale entro 1h · analista entro 4h · 24/7
AltoRisposta entro 4h · analista entro 8h
MedioRisposta entro 8h · orario lavorativo

Domande Frequenti

Qual è il tempo di risposta agli incidenti di Berghem?
Berghem offre risposta agli incidenti a livelli con SLA definiti. Gli incidenti critici ricevono risposta iniziale entro 1 ora, con un analista ingaggiato entro 4 ore. Gli incidenti ad alta severità ricevono risposta entro 4 ore con ingaggio dell'analista entro 8 ore. I tempi di risposta si applicano 24/7 per gli abbonati al livello critico e durante l'orario lavorativo per il livello standard. Tutti gli ingaggi iniziano con un triage rapido per determinare ambito, impatto e priorità di contenimento.
Berghem fornisce digital forensics?
Sì. Le capacità di digital forensics di Berghem includono forense di disco e memoria, analisi del traffico di rete, reverse engineering di malware, ricostruzione della timeline e preservazione delle prove seguendo procedure di catena di custodia adeguate per procedimenti legali. I nostri investigatori forensi utilizzano strumenti e metodologie standard del settore per garantire che i findings siano difendibili e azionabili. L'analisi forense può essere eseguita in loco o da remoto a seconda dei requisiti dell'incidente.
Berghem può gestire incidenti ransomware?
Sì. Berghem fornisce risposta completa agli incidenti ransomware incluso contenimento immediato per prevenire la propagazione laterale, analisi forense per determinare il vettore di attacco e l'ambito della crittografia, servizi di consulenza sulla negoziazione, pianificazione del recupero e hardening post-incidente. Aiutiamo le organizzazioni a valutare oggettivamente le loro opzioni — incluso ripristino dei backup, possibilità di decrittazione e attivazione della business continuity — preservando le prove per un potenziale coinvolgimento delle forze dell'ordine.
Cosa succede dopo la risoluzione di un incidente?
Dopo il contenimento e il recupero, Berghem conduce una revisione post-incidente approfondita che include analisi delle cause, documentazione della timeline, valutazione delle lacune di rilevamento e valutazione dell'efficacia della risposta. Forniamo un report completo dell'incidente con le lezioni apprese e una roadmap strategica di remediation per prevenire la ricorrenza. Ciò include playbook aggiornati, regole di rilevamento migliorate e raccomandazioni per miglioramenti dell'architettura di sicurezza identificati durante l'indagine.
Qual è la differenza tra digital forensics e risposta agli incidenti?
Sono attività complementari. La risposta agli incidenti è l'azione immediata per contenere, eradicare e ripristinare l'ambiente durante e subito dopo l'attacco, dando priorità alla continuità operativa. La forense informatica è l'indagine tecnica che ricostruisce l'accaduto — raccolta e preservazione delle prove, analisi di disco, memoria, rete e cloud — e produce una perizia ammissibile. In pratica, la risposta contiene l'incidente mentre la forense preserva e spiega le prove per finalità legali e regolatorie.
La perizia è valida come prova in tribunale?
Sì, quando prodotta con il rigore adeguato. Berghem segue la catena di custodia secondo la ISO/IEC 27037, con immagini bit-per-bit, hashing SHA-256 e traccia verificabile, ed emette una perizia firmata da perito giudiziario. Questo sostiene la validità della prova nei procedimenti giudiziari e amministrativi e consente assistenza tecnica in giudizio e testimonianza specializzata quando necessario.
In quanto tempo il team risponde a un incidente critico?
Per gli incidenti critici, la risposta iniziale avviene entro 1 ora, con un analista ingaggiato entro 4 ore, in regime 24/7. Gli incidenti ad alta severità ricevono risposta entro 4 ore e ingaggio dell'analista entro 8 ore. Ogni ingaggio inizia con un triage rapido per determinare ambito, impatto e priorità di contenimento.
Berghem supporta la notifica dell'incidente all'autorità di protezione dei dati?
Sì. La normativa sulla protezione dei dati richiede la notifica all'autorità e agli interessati quando un incidente può comportare un rischio o un danno rilevante. Berghem supporta la valutazione dell'incidente, la definizione di cosa deve essere segnalato e la produzione della documentazione tecnica che sostiene la notifica, coordinando tempi e contenuti con il team legale e il DPO.

Incidente attivo?

Se state affrontando un incidente di sicurezza in questo momento, contattateci immediatamente per attivare la risposta di emergenza 24/7.

Contattare risposta di emergenza