Quando le promesse di ripristino incontrano la realtà

Molte organizzazioni dichiarano ai propri consigli di amministrazione, assicuratori e clienti di poter riprendersi da un attacco ransomware entro 24-48 ore. Nuovi risultati dell'azienda di incident response Fenix24 suggeriscono che questa promessa è molto più aspirazionale che pratica. Su più di 800 clienti con cui l'azienda ha lavorato, solo quattro si sono avvicinati a rispettare quella finestra di ripristino, secondo quanto riportato da Infosecurity Magazine.

Si tratta di un divario sorprendente tra ciò che le aziende pianificano e ciò che accade realmente quando il ransomware colpisce. Per un settore che ha trascorso anni a promuovere il ripristino rapido come standard raggiungibile, questi dati sono un bagno di realtà degno di attenzione, soprattutto mentre il ransomware continua a espandere la propria portata verso le piccole imprese, che potrebbero avere ancora meno risorse su cui contare. Un recente articolo sul rilevamento ransomware nelle PMI indiane in aumento nel primo trimestre 2026 mostra che le organizzazioni più piccole sono sempre più nel mirino degli attaccanti, spesso senza l'infrastruttura necessaria a supportare un ripristino rapido, anche volendo.

Perché gli obiettivi di ripristino ransomware non vengono raggiunti

La cifra di 24-48 ore per il ripristino è diventata una sorta di benchmark di settore, spesso citata nel marketing dei fornitori, nelle discussioni sulle assicurazioni cyber e nei piani interni di incident response. I dati di Fenix24 indicano che questo benchmark raramente riflette ciò che accade sul campo durante un attacco reale.

Il ripristino da ransomware non è un singolo compito tecnico. Comporta l'identificazione dell'ampiezza della compromissione, la ricostruzione o il ripristino dei sistemi, la verifica che anche i backup non siano stati compromessi, il coordinamento tra team IT, consulenti legali e spesso forze dell'ordine, e la conferma che gli attaccanti non abbiano più accesso prima di riprendere le operazioni. Ognuno di questi passaggi può estendere la tempistica di ripristino ben oltre un paio di giorni, e la maggior parte degli incidenti comporta diversi di questi passaggi che avvengono contemporaneamente sotto pressione.

Il fatto che solo quattro su più di 800 organizzazioni si siano avvicinate all'obiettivo dichiarato suggerisce che il problema non è isolato alle aziende scarsamente preparate. Indica un disallineamento strutturale tra come vengono pubblicizzati i tempi di ripristino e come il ripristino da ransomware si sviluppa effettivamente nella pratica, indipendentemente dalle dimensioni o dal settore di un'organizzazione.

Il divario tra le dichiarazioni aziendali e la realtà pratica

Questa discrepanza conta al di là dei dettagli tecnici. Le aziende spesso stabiliscono aspettative di ripristino con clienti, partner e autorità di regolamentazione basandosi su queste tempistiche idealizzate. Quando tali aspettative non vengono soddisfatte, le conseguenze possono estendersi ben oltre l'attacco iniziale, influenzando la fiducia, gli obblighi contrattuali e persino l'esposizione legale, se gli impegni di ripristino dichiarati facevano parte di accordi di servizio o requisiti di conformità.

Per le organizzazioni che si affidano a fornitori terzi o managed service provider, questi dati sono un promemoria a esaminare attentamente cosa significano realmente le dichiarazioni sui tempi di ripristino nella pratica. Un obiettivo dichiarato di 24-48 ore può descrivere uno scenario ottimale piuttosto che un'aspettativa realistica, e i risultati di Fenix24 suggeriscono che gli esiti ottimali sono l'eccezione piuttosto che la regola.

Cosa significa per te

Se la tua organizzazione ha un piano di risposta al ransomware costruito attorno a un obiettivo di ripristino di 24-48 ore, vale la pena rivedere questa ipotesi. Questo non significa che i piani di ripristino siano inutili. Significa che le aspettative devono essere basate su ciò che è realmente accaduto in un ampio campione di incidenti reali, piuttosto che sul linguaggio di marketing.

Per gli individui e le piccole imprese, la conclusione è simile. Il ripristino da un grave incidente ransomware probabilmente richiederà più tempo di quanto comunemente pubblicizzato, e pianificare tempi di inattività prolungati, invece di presumere una soluzione rapida, ti mette in una posizione più forte quando un attacco si verifica realmente. Le aziende che valutano polizze di assicurazione cyber o contratti di incident response dovrebbero chiedere direttamente ai fornitori come le loro finestre di ripristino dichiarate si confrontano con risultati documentati e reali.

Azioni concrete da intraprendere

Per costruire una strategia di ripristino ransomware più realistica, considera i seguenti passaggi:

  • Rivedi il tuo piano di incident response e chiediti se la sua tempistica di ripristino riflette dati reali o affermazioni di marketing ottimistiche.
  • Mantieni backup offline o immutabili che vengano testati regolarmente, poiché l'integrità dei backup è spesso un collo di bottiglia importante durante il ripristino.
  • Prevedi scenari di inattività prolungata nel calcolo della continuità operativa e del rischio finanziario, invece di presumere una ripresa in 24-48 ore.
  • Chiedi ai fornitori di incident response e agli assicuratori dati documentati sui tempi di ripristino, non solo obiettivi dichiarati.
  • Dai priorità alla prevenzione e al rilevamento precoce, poiché evitare un evento ransomware su larga scala è molto meno costoso che riprendersi da esso, indipendentemente da quanto veloce dovrebbe essere il ripristino.

I risultati di Fenix24 sono un utile correttivo per qualsiasi organizzazione che abbia considerato scontato il ripristino rapido da ransomware. Pianificare un percorso di ritorno più lungo e difficile non è pessimismo, è preparazione basata su ciò che tende effettivamente ad accadere quando il ransomware colpisce.