By Jomarc Angelo M. Corpuz, Special Features and Content Writer

Le crisi nell’era moderna si svolgono sempre più in un ambito lontano dalle calamità naturali, dagli shock economici, dai sconvolgimenti sociali e dai conflitti militari che hanno dominato i decenni precedenti. Da quando Internet ha trasformato il commercio globale all’inizio del secolo, il cyberspazio è diventato l’arena in cui governi, istituzioni e imprese private conducono le proprie attività — e dove gli attacchi possono compromettere le operazioni ed erodere la fiducia del pubblico in pochi minuti. Le Filippine, dove l’adozione digitale è cresciuta rapidamente nei servizi bancari, nel commercio al dettaglio e nei servizi pubblici, non sono rimaste immuni da questo cambiamento, rendendo la governance degli incidenti informatici una questione sempre più rilevante per i consigli di amministrazione.

In questo contesto, la cybersecurity richiede una leadership forte, una governance chiaramente definita e decisioni coordinate, discostandosi dalla convinzione, a lungo radicata, che essa rientri esclusivamente nella sfera dei reparti di tecnologia dell’informazione. Questa prospettiva è coerente con framework riconosciuti a livello globale come il U.S. National Institute of Standards and Technology (NIST) Cybersecurity Framework e il modello zero trust, entrambi incentrati su resilienza e risposta oltre che sulla prevenzione.

Questi temi sono stati al centro della seconda tavola rotonda del BusinessWorld Cybersecurity Summit 2026, intitolata "Being a Crisis Commander in the Event of a Cyber-Attack." I responsabili della cybersecurity e del rischio di JG Summit Holdings, Inc., uno dei maggiori conglomerati delle Filippine attivo nei settori alimentare, immobiliare, bancario e aeronautico; GCash, la principale piattaforma di portafoglio mobile del Paese che gestisce milioni di transazioni giornaliere; GT Capital Holdings, Inc., un importante conglomerato diversificato; Information Security Officers Group (ISOG), un’associazione di settore filippina di professionisti della sicurezza informatica; e Accenture, una società globale di servizi professionali, hanno condiviso strategie per rafforzare la preparazione organizzativa e affrontare le crisi informatiche.

Assumere che la violazione sia inevitabile

Dennis Matthew F. Opiso, Chief Information Security Officer di JG Summit Holdings, ha esortato le organizzazioni ad affrontare una realtà scomoda: per quanto sofisticati diventino i sistemi di sicurezza, gli incidenti informatici sono inevitabili. Il vero indicatore di preparazione, ha sostenuto, non è se un’organizzazione possa fermare ogni attacco, ma quanto efficacemente reagisca quando uno va a segno.

"The most useful sentence in this entire panel is: assume a breach is not a possibility, but an inevitability," ha detto. "Most organizations nod at that sentence, then keep budgeting, planning, and organizing as if prevention were the whole job. The gap between what we say we believe and what we actually prepare for is the gap where incidents become disasters."

Basandosi sulla sua esperienza nella protezione dei diversi settori di JG Summit, il sig. Opiso ha osservato che ogni industria definisce in modo diverso l’interruzione operativa. Un’interruzione temporanea in un’azienda può essere gestibile, mentre in un’altra potrebbe bloccare operazioni critiche. Ogni impresa, ha affermato, prima o poi affronterà il proprio "bad day", e ha chiesto una concezione più ampia della gestione delle crisi — una che ponga la leadership al centro della risposta all’incidente.

"Crisis command is a leadership discipline, not a technical one. The commander's job during an incident is not to read logs," ha detto il sig. Opiso. "It is to make decisions with incomplete information, keep the response aligned with business continuity, and keep people calm enough to do their jobs."

Ha inoltre consigliato alle organizzazioni di esercitare regolarmente i propri playbook di risposta agli incidenti, designare in anticipo chi assumerà il comando durante una crisi e assicurarsi che i team di comunicazione, legale, operations e tecnologia conoscano le rispettive responsabilità qualora emergano violazioni.

Piani e autorità chiaramente definiti

Partendo da questo punto, Mafi Caringal, Managing Director di Accenture Advanced Technology Centers in the Philippines, ha sottolineato che le organizzazioni dovrebbero affidarsi ai piani già sviluppati invece di reagire d’impulso quando si verifica un incidente.

"Number one, invoke the plan because you need to start the command. Make sure that the people who rightfully know what to do are there. Second, scope. Do the initial analysis. Don't try to do threat hunting and solve everything. Scope the incident first. Then trigger notifications because, with your plans and your runbooks, it's all defined there. Trigger the necessary notifications, including legal privilege," ha spiegato.

L’enfasi sulle notifiche legali riflette gli obblighi previsti dal Data Privacy Act delle Filippine del 2012 (Republic Act No. 10173), che impone alle organizzazioni di notificare la National Privacy Commission entro 72 ore dalla scoperta di una violazione dei dati personali. Per gli istituti finanziari, il Bangko Sentral ng Pilipinas (BSP) prevede ulteriori obblighi di segnalazione nell’ambito delle linee guida su Information Technology Risk Management e Cybersecurity, a dimostrazione del motivo per cui il coinvolgimento dell’area legale deve essere attivato nelle prime fasi della risposta.

Altrettanto fondamentale, ha detto la sig.ra Caringal, è eliminare l’ambiguità nella leadership. Poiché gli incidenti informatici si sviluppano sotto forte pressione e in momenti imprevedibili, un’autorità chiaramente definita è essenziale per una risposta efficace.

"It has to be clearly called out who that commander is because, when an attack does happen, either everyone assumes somebody else is in charge, or there are simply too many commanders. This is a very high-stress situation," ha sottolineato.

Il sig. Opiso ha ribadito questa posizione, osservando che il comandante designato può variare a seconda della struttura organizzativa. In alcune aziende può essere il chief information security officer; in altre, il chief information officer, il chief financial officer o un altro dirigente. Ciò che alla fine conta, ha affermato, è che la decisione sia già stata presa prima che si verifichi l’incidente.

Preservare le prove digitali

I relatori hanno affrontato anche gli aspetti tecnici della risposta alla crisi. In merito a ciò, la sig.ra Caringal ha messo in guardia dal cancellare prematuramente file compromessi o spegnere i sistemi colpiti solo per ripristinare le operazioni il più rapidamente possibile.

"From a technical perspective, not preserving evidence is a major mistake, especially if you later want to solve the incident, prevent it from happening again, and strengthen your plans and your zero trust architecture. We need that evidence. Sometimes people immediately say, 'Delete it,' or 'Shut it down,' but we need that information from a technical standpoint," ha detto.

Engr. Luis A. Jacinto, President e Founding Member di Information Security Officers Group (ISOG), ha rafforzato questo punto, osservando che molte azioni ben intenzionate compiute nelle prime ore di un incidente possono complicare le indagini successive.

"If you wipe the device, you lose all your forensic data, and that's one of the worst things that you could do," ha detto.

Invece di spegnere immediatamente i sistemi compromessi, il sig. Jacinto ha consigliato di isolarli dalla rete preservando al contempo le prove che gli investigatori potranno utilizzare in seguito per determinare come gli aggressori abbiano ottenuto accesso e per prevenire il ripetersi di incidenti simili.

Un altro punto sostenuto dal sig. Jacinto è la necessità di un approccio che coinvolga l’intera organizzazione durante la risposta alla crisi, ossia il coordinamento tra dirigenti, team tecnologici, responsabili della governance, consulenti legali, comunicazione aziendale e leader operativi. Anche così, ha ribadito che la responsabilità deve rimanere concentrata ai livelli più alti dell’organizzazione.

"The CEO is ultimately responsible, and the CEO is ultimately accountable," ha detto il sig. Jacinto. "However, the CEO can delegate the responsibility, but not the accountability."

Comprendere, poi comunicare

Il panel ha inoltre evidenziato che la preparazione tecnica deve essere accompagnata da una comunicazione disciplinata, soprattutto nelle prime ore di un incidente, quando le informazioni verificate sono ancora limitate.

Ispirandosi alla sua esperienza in GT Capital Holdings, il Chief Information Security Officer (CISO) Mar Apuhin ha sottolineato che la priorità immediata dovrebbe essere comprendere la situazione prima di comunicare internamente o esternamente.

"So, this is a very high-stress situation. In our case at GT Capital, the default is the CISO. There's no doubt about that. So, the main goal, perhaps, is getting accurate information by convening the team, the leadership team, the [executive committee], and then activating the incident response. If you guys outsource it to a third party, don't forget them. Those will be the source of verified information. And then, we don't speculate," ha detto.

Il sig. Apuhin ha ampliato il punto, affermando che le organizzazioni dovrebbero prima valutare l’estensione e il potenziale impatto di un incidente prima di convocare il comitato di crisi per la comunicazione o il team di risposta all’incidente. Una volta riunita la leadership, il passo successivo, per lui, è escalation della questione ai dirigenti di livello superiore che supervisioneranno le decisioni aziendali mentre i team tecnici proseguiranno le indagini.

Poiché gli incidenti informatici spesso si sviluppano rapidamente e con informazioni limitate, ha incoraggiato le organizzazioni a essere trasparenti su ciò che sanno, resistendo alla tentazione di colmare i vuoti informativi con supposizioni.

"Assess the blast impact, what's happening. But understand, during the first hour, you don't have much information yet. Assess what we do. Be frank. This is what I only know for the time being, what we're doing. And this is what we're going to do next," ha detto.

"The biggest mistake is communicating before facts are verified. We're speculating, guys. Number two, that will result in creating misinformation or a credibility issue in your case," ha aggiunto il sig. Apuhin.

Il sig. Jacinto ha condiviso una visione simile, sostenendo che le comunicazioni durante una crisi informatica debbano essere attentamente controllate finché le informazioni non siano confermate. Sebbene gli stakeholder meritino aggiornamenti tempestivi, le organizzazioni devono evitare di diffondere informazioni incomplete o inesatte che possano generare confusione o allarme inutile.

"There is certain information that you're not supposed to release immediately. We're not saying you're not going to release it, but you're not supposed to release it because it has not been confirmed," ha affermato.

In un cyberspazio in cui le informazioni viaggiano con la stessa rapidità delle minacce, leadership, preparazione e decisioni coordinate potrebbero rappresentare le difese più solide di un’organizzazione contro una violazione inevitabile.