Come il SOC Manager comunica un incidente al Chief Information Security Officer senza perdere credibilità

Mentre il team tecnico lavora a contenere un incidente, il Security Operations Center (SOC) Manager deve fare qualcosa di altrettanto difficile: spiegare cosa sta succedendo a persone che non hanno le stesse informazioni, non hanno lo stesso linguaggio e hanno bisogni completamente diversi. Il Chief Information Security Officer (CISO) vuole capire l’impatto sul business. L’IT Manager del cliente vuole sapere cosa fare adesso. Il team tecnico ha bisogno di istruzioni chiare senza interruzioni. Saper gestire questi tre flussi in parallelo, sotto pressione, distingue un SOC Manager efficace da uno che gestisce bene solo la parte tecnica.

Il problema della comunicazione in crisi

Durante un incidente attivo, le informazioni disponibili sono sempre incomplete. Si sa che qualcosa è successo, si ha un’ipotesi su cosa, si lavora per confermarla. Il primo errore che un SOC Manager può fare è comunicare certezze che non ha ancora. Il secondo è non comunicare affatto fino a quando non sa tutto.

I framework di incident response più consolidati — NIST SP 800-61r3 (aggiornato ad aprile 2025) e le linee guida CREST — indicano chiaramente che la comunicazione verso gli stakeholder deve essere tempestiva e adeguata al livello di gravità, non necessariamente completa (NIST, 2025). Comunicare presto con informazioni parziali ma accurate è meglio che comunicare tardi con un quadro completo.

Il percorso di escalation tipico prevede che il SOC Manager informi il CISO o il responsabile della sicurezza, che a sua volta informa il board o il management aziendale nei casi più gravi (ENISA, Good Practice Guide for Incident Management). La chiarezza su chi comunica cosa e a chi deve essere definita nei playbook prima che l’incidente accada, non durante.

Come parlare al team tecnico durante un incidente

Con gli analisti, la comunicazione deve essere precisa, rapida e non ambigua. Non è il momento per discussioni aperte o gestione partecipativa: durante un incidente attivo serve un punto di comando chiaro.

Le istruzioni devono rispettare alcune regole pratiche. Specificare cosa fare, non solo cosa indagare. Dare priorità esplicite quando ci sono più attività in parallelo. Assegnare ownership univoca a ogni azione — chi fa cosa, entro quando. Documentare ogni decisione e azione con timestamp: questo log diventerà la base del post-incident report.

Un errore frequente è sovraccaricare il team con aggiornamenti di stato durante le fasi più acute. Il SOC Manager deve filtrare le informazioni che arrivano dall’esterno — aggiornamenti dal cliente, richieste di chiarimento del management, in modo da non interrompere il flusso operativo degli analisti.

Come parlare al CISO e all’IT Manager del cliente

Il CISO e il management del cliente non hanno bisogno di tutti i dettagli tecnici. Hanno bisogno di risposte a tre domande: cosa è successo, qual è l’impatto attuale sul business e cosa si sta facendo per risolverlo.

La struttura di una comunicazione efficace verso il management segue uno schema preciso.

Situazione attuale (2-3 frasi). Cosa è stato rilevato, quando, con quale severità stimata. Usare il linguaggio MITRE ATT&CK per descrivere la tipologia di minaccia aiuta a dare credibilità tecnica senza richiedere una spiegazione approfondita.

Impatto attuale (1-2 frasi). Quali sistemi o servizi sono coinvolti. Quali dati o funzionalità business sono potenzialmente esposti.

Azioni in corso (2-3 frasi). Cosa il team sta facendo in questo momento. Quando è previsto il prossimo aggiornamento.

Cosa serve dal management (se applicabile). Se serve una decisione che ricade fuori dalla responsabilità del SOC — isolare un sistema business-critical, notificare terze parti, attivare il Business Continuity Plan — è il momento di dirlo esplicitamente.

Elaborazione su NIST SP 800-61r3, CREST Incident Management Guide, 2025

La credibilità si costruisce prima dell’incidente

La comunicazione durante un incidente non parte da zero. Il SOC Manager che ha già costruito un rapporto di fiducia con il CISO e con i referenti cliente — attraverso report periodici chiari, riesami del servizio puntuali e gestione trasparente degli SLA — ha un credito di fiducia su cui appoggiarsi quando le informazioni sono incomplete e la pressione è alta.

Il SOC Manager che comunica bene solo durante le crisi non basta. La credibilità si costruisce nella gestione ordinaria: quando si segnala un problema prima che diventi un incidente, quando si spiega chiaramente perché una detection rule ha generato falsi positivi, quando si porta il dato di miglioramento della copertura nel riesame mensile.

FAQ

Cosa deve includere una comunicazione di escalation al CISO durante un incidente?

Una comunicazione di escalation efficace include: cosa è stato rilevato e quando, una stima iniziale della severità e dell’impatto, le azioni immediate in corso e il prossimo aggiornamento previsto. Non è necessario avere certezze complete prima di comunicare: comunicare presto con informazioni parziali ma accurate è preferibile a comunicare tardi con un quadro completo (NIST, 2025).

Come si gestisce la pressione del cliente durante un incidente attivo?

La pressione del cliente va assorbita dal SOC Manager, non trasferita al team tecnico. Una risposta periodica e strutturata — "vi aggiorno ogni 30 minuti fino alla risoluzione" — è più efficace di aggiornamenti frammentati e reattivi. Il cliente ha bisogno di sentire che c’è qualcuno che coordina, non che il team è in preda all’improvvisazione.

Qual è l’errore più comune nella comunicazione verso il management durante un incidente?

Comunicare ipotesi come certezze. Il desiderio di dare una risposta rassicurante porta spesso a descrivere una causa come confermata quando è ancora in fase di indagine. Se quella ipotesi si rivela sbagliata, il credito di fiducia si erode rapidamente. Essere precisi sull’incertezza — "riteniamo che la causa sia X, ma stiamo ancora verificando" — è sempre preferibile.

Come funziona l’escalation al CISO nei framework standard?

Secondo le linee guida ENISA e NIST, il SOC Manager informa il CISO quando la severità dell’incidente supera le soglie definite nel piano di risposta. Il CISO valuta se e come coinvolgere il board, il management, i legali o i regolatori. La struttura di escalation deve essere definita nei playbook prima dell’incidente.

Come si costruisce credibilità con il CISO al di fuori delle situazioni di crisi?

Attraverso la consistenza nella gestione ordinaria: report periodici chiari e misurabili, riesami del servizio puntuali, comunicazione proattiva dei problemi prima che diventino incidenti. Un SOC Manager che porta dati di miglioramento della copertura e riduzione dei falsi positivi nei meeting mensili ha già un rapporto di fiducia solido quando arriva l’incidente critico.

Potrebbe interessarti anche

• CYBERSECURITY DIRECTOR
• HEAD OF CYBERSECURITY
• SECURITY OPERATIONS CENTER MANAGER 
• SOC MANAGER 
• Come un Cyber Security Manager riesce a coordinare un team eterogeneo su più sedi
• Cybersecurity Director: ruolo, responsabilità e competenze
• Cybersecurity: quali aree un profilo Senior deve presidiare?
• Palo Alto, Fortinet, Cisco: come orientarsi in questo ambito
• Tecnica e commerciale: come un Cybersecurity Manager gestisce questi 2 domini
• Contenere o investigare? La decisione più difficile per rispondere ad un incidente