Triage guidato
Il triage qualifica l’evento in tre fasi. Non è un questionario: ogni risposta ha un effetto preciso sul verdetto e sul termine, e resta a registro con il nome di chi l’ha data. Si avvia dal dettaglio del case con «Avvia il triage» e prosegue a /triage-app.
Fase 1 · Qualificazione dell’evento
Di che natura è l’evento rilevato? Il regolamento distingue la vulnerabilità attivamente sfruttata dall’incidente grave che incide sulla sicurezza del prodotto. Da questa qualificazione dipende la base normativa applicabile.
| Opzione | Quando sceglierla |
|---|---|
| Vulnerabilità in un prodotto con elementi digitali | C’è un difetto tecnico che può essere sfruttato per compromettere il prodotto o l’ambiente in cui opera. |
| Incidente grave con impatto sulla sicurezza | È già accaduto qualcosa che ha compromesso disponibilità, integrità o riservatezza del prodotto o dei dati trattati. |
| Nessuna delle due ipotesi | Malfunzionamento senza rilievo di sicurezza, o segnalazione non pertinente. Porta direttamente a «nessun obbligo». |
Se l’evento è insieme una vulnerabilità e un incidente (una falla sfruttata che ha causato un’interruzione), qualificalo secondo ciò che intendi notificare per primo e annota il resto nella descrizione. Le due basi normative hanno termini di relazione finale diversi: vedi Fasi e termini.
Fase 2 · Presupposto dell’obbligo
La seconda domanda cambia a seconda della risposta data alla prima.
Se hai scelto «vulnerabilità»
Esiste evidenza di sfruttamento attivo? La vulnerabilità segnalata non equivale alla vulnerabilità sfruttata: l’obbligo sorge in presenza di elementi che attestino l’uso effettivo da parte di terzi.
- Sì, evidenza documentata di uso effettivo — registri di esecuzione non autorizzata, exploit in circolazione, conferma da fonte affidabile.
- No, la vulnerabilità risulta soltanto segnalata — divulgazione da parte di un ricercatore, nessun indizio di sfruttamento in corso.
- Elementi insufficienti per decidere — l’analisi è in corso: la valutazione viene sospesa e ripresa con promemoria.
Se hai scelto «incidente grave»
L’evento ha inciso sulla capacità del prodotto di proteggere disponibilità, integrità o riservatezza? L’obbligo sorge quando l’evento ha effettivamente compromesso una proprietà di sicurezza del prodotto o dei dati trattati; la sola anomalia, senza impatto sulla sicurezza, non integra il presupposto.
- Sì, compromesse — interruzione di servizio, alterazione, accesso non autorizzato confermati.
- No, nessun impatto sulla sicurezza — malfunzionamento o disservizio senza compromissione delle proprietà di sicurezza.
- Elementi insufficienti per decidere — valutazione sospesa con promemoria.
«Elementi insufficienti» non è una scappatoia: è la risposta corretta quando davvero non sai. Produce un verdetto sospeso con un promemoria di ricontrollo, e la sospensione stessa è documentata. Rispondere «no» per chiudere la pratica, e scoprire poi che lo sfruttamento c’era, è la situazione peggiore in cui puoi trovarti.
Fase 3 · Decorrenza del termine
Da quando l’azienda ne è venuta a conoscenza? Il termine di 24 ore decorre dal momento della consapevolezza. Indica l’orario documentabile: la prima ricezione della segnalazione o il primo riscontro interno.
Da questo momento parte l’orologio, che calcola la scadenza a 24 ore.
Modificare il momento di consapevolezza
Si può correggere anche dopo, se emerge che l’azienda ne era a conoscenza prima. La modifica richiede una motivazione, ricalcola immediatamente la scadenza, resta a registro con valore precedente e nuovo, e genera un avviso al referente e al legale rappresentante. È volutamente vistosa: spostare un termine è un atto che deve poter essere spiegato.
Conclusione del triage
Al termine delle tre fasi il motore applica la tabella decisionale e produce il verdetto. Il triage:
- scrive nel registro l’avvio e la conclusione, con l’autore;
- aggiunge il verdetto alla storia dei verdetti del case — la sequenza è cumulativa: una nuova valutazione non cancella la precedente;
- porta il case nello stato corrispondente all’esito;
- invia al referente l’esito (obbligo o nessun obbligo).
Un triage si può rifare quante volte serve: quando arrivano nuovi elementi, si riavvia dal dettaglio del case. La sequenza dei verdetti mostrerà come la valutazione si è evoluta, che è esattamente ciò che serve dimostrare.
Che cosa succede con «sospeso»
Il case resta in valutazione e viene programmato un promemoria di ricontrollo per il referente. Nel frattempo l’orologio della preallerta continua a essere mostrato: la sospensione riguarda la tua capacità di decidere, non il decorso del termine di legge.