FIRST e incident response: la resilienza cyber si costruisce facendo rete

Un incidente cyber può iniziare in un Paese, sfruttare infrastrutture compromesse in un altro e propagarsi attraverso fornitori distribuiti in mezzo mondo: pensare di affrontarlo entro i confini della propria organizzazione non è più realistico.

Da questa consapevolezza nasce il valore di FIRST (Forum of Incident Response and Security Teams), una rete globale di CERT e CSIRT costruita per trasformare collaborazione, condivisione delle informazioni e fiducia reciproca in capacità concreta di risposta agli incidenti.

FIRST e incident response: la resilienza cyber passa dalla collaborazione

Nell’attuale contesto di cyber security, infatti, le minacce sono distribuite, transnazionali, spesso coordinate da gruppi criminali o attori statuali e colpiscono contemporaneamente aziende, pubbliche amministrazioni, fornitori tecnologici e infrastrutture critiche.

L’entrata in vigore di normative come NIS2, DORA e CRA ha inoltre alzato l’asticella della compliance, imponendo tempi di notifica ridotti e requisiti di maturità operativa difficilmente sostenibili se si agisce in isolamento.

Un ransomware che colpisce un’azienda in Italia può avere origine in un altro continente, sfruttare server compromessi in Paesi diversi e propagarsi attraverso fornitori dislocati ovunque nel mondo. In questo scenario, nessuna organizzazione, per quanto grande o ben strutturata, può davvero difendersi da sola.

È esattamente da questa consapevolezza che, oltre trent’anni fa, è nato il FIRST: una comunità internazionale pensata per permettere ai team che gestiscono gli incidenti di sicurezza di parlarsi, fidarsi e collaborare.

Vale la pena raccontare cos’è, come funziona e perché sempre più realtà italiane – pubbliche e private – stanno scegliendo di farne parte.

Che cos’è il FIRST: un’organizzazione no profit al servizio della community

Il FIRST, acronimo di Forum of Incident Response and Security Teams, è un’organizzazione internazionale no profit. Non è un’azienda, non vende prodotti, non eroga servizi commerciali: è una community che riunisce, su base volontaria, i team di risposta agli incidenti informatici di tutto il mondo.

Tra i suoi membri ci sono CERT governativi, CSIRT nazionali, team interni di grandi aziende, gruppi universitari e organizzazioni della società civile. Anche il CSIRT Italia, oggi parte di ACN, vi fa parte dal 2023.

Il FIRST è nato negli USA nel 1990 in modo informale, dopo che un worm chiamato WANK aveva mostrato quanto fosse difficile coordinarsi tra team di Paesi diversi durante una crisi informatica. Cinque anni dopo, nel 1995, è stato formalmente costituito come associazione non profit.

Oggi conta oltre 800 team aderenti distribuiti in più di 113 Paesi. A questo link è possibile consultare l’elenco degli attuali membri del FIRST, ultimamente arricchito con un mappamondo che ne facilita la consultazione.

La sua missione, semplice ma ambiziosa, si può riassumere in tre verbi: cooperare, condividere, prevenire. Cooperare tra team che spesso, in altri contesti, sarebbero concorrenti; condividere informazioni sulle minacce in modo riservato e tempestivo; prevenire gli incidenti aiutando le organizzazioni meno mature a crescere. Il tutto senza scopo di lucro, finanziandosi attraverso le quote associative dei membri e gli eventi che organizza.

Come si entra

L’adesione al FIRST è aperta, ma non automatica, poiché richiede il coinvolgimento di sponsor. La community ha definito tre tipologie di membership, pensate per accogliere soggetti diversi:

• Full Member: è la membership pensata per chi ha un team operativo di incident response e una propria “constituency” – cioè un insieme definito di utenti o sistemi da proteggere. Solo i Full Member hanno diritto di voto nell’elezione del board e accedono a tariffe agevolate per gli eventi.
• Associate Member: pensata per organizzazioni che, pur non avendo un team operativo, vogliono partecipare alla vita della comunità (per esempio università, enti di ricerca, associazioni).
• Liaison: è una membership individuale, riservata a singoli professionisti che vogliono contribuire al FIRST a titolo personale.

I vantaggi della membership: perché vale la pena entrare

Per un’organizzazione che opera nei settori fortemente regolamentati – finanza (DORA), infrastrutture critiche (NIS2, CER), prodotti con elementi digitali (CRA), Intelligenza Artificiale (AI Act) – l’adesione a FIRST produce un ritorno misurabile su più dimensioni.

Provando a uscire dal linguaggio strettamente tecnico, è come entrare in una stanza dove si trovano i migliori professionisti mondiali della risposta agli incidenti, a cui chiedere supporto in caso di crisi sapendo che c’è qualcuno di cui ci si può fidare.

Accesso a una Rete Globale di Esperti

Il primo vantaggio è relazionale. Quando un team aderisce al FIRST entra in canali di comunicazione riservati con team omologhi di tutto il mondo attraverso: mailing list, Slack workspace, Wiki, piattaforma di condivisione IoC (MISP) ecc., dove può scambiare informazioni operative con centinaia di altri team.

I membri del FIRST possono ottenere supporto e consulenza dai colleghi esperti all’interno della rete, particolarmente utile per affrontare incidenti complessi o per implementare nuove strategie di sicurezza.

Conoscenza condivisa e crescita continua

Il secondo vantaggio è formativo. All’interno del FIRST esistono numerosi gruppi tematici – chiamati Special Interest Groups – in cui si discutono e si sviluppano standard internazionali su temi come la classificazione delle vulnerabilità, la condivisione delle informazioni sensibili, l’etica della disclosure.

Alcuni di questi standard finiscono poi nelle normative europee, si pensi all’uso di CVSS e TLP in ambito NIS2, entrambi sviluppati dal FIRST. Partecipare significa quindi non solo imparare, ma contribuire a scrivere le regole del settore.

Eventi, simposi e il “Web of Trust”

Il terzo vantaggio è umano. Il FIRST organizza ogni anno una conferenza mondiale e numerosi simposi regionali, spesso con sessioni riservate ai soli membri. L’Annual Conference rappresenta il principale appuntamento globale del settore, spesso affiancato dal National CSIRT Meeting (a cui però si può accedere solo tramite inviti).

Il valore più autentico di questi eventi risiede nella costruzione di quello che si può efficacemente definire il Web of Trust: la rete di fiducia umana che lega i referenti dei principali CERT governativi e privati.

Conoscere di persona un collega significa che, nel momento del bisogno, la richiesta di supporto in risposta ad un attacco non arriverà a un contatto generico, ma a una controparte fidata con un impatto diretto sui tempi di mitigazione e di conseguenza una maggiore efficienza reattiva.

Riconoscibilità e credibilità sul mercato

Il quarto vantaggio è reputazionale. Essere membro FIRST è oggi un segnale forte verso clienti, partner e autorità: significa aver superato un percorso di valutazione rigoroso, condotto da pari, che attesta la maturità del proprio team.

In molti settori regolamentati – dalla finanza alle infrastrutture critiche – l’adesione al FIRST sta diventando un segno di affidabilità e competenza, migliorando la reputazione di un CERT e aumentando la fiducia degli stakeholder e dei partner commerciali

Diventare Full Member: un percorso impegnativo ma formativo

Diventare Full Member non è un atto burocratico, ma un vero percorso di crescita. La candidatura richiede in media circa sette mesi di lavoro e si articola in una quindicina di passaggi. Senza scendere troppo nel dettaglio, vale la pena raccontare i tre momenti che meglio descrivono lo spirito del processo (che nel complesso consta di 15 passi).

Il primo è la ricerca degli sponsor. Per essere accolti nella community servono due Full Member già accreditati, di cui almeno uno esterno alla propria organizzazione, che si assumano la responsabilità di garantire per il candidato. È un meccanismo che ricorda le antiche corporazioni: non si entra perché si paga la quota, ma perché qualcuno che già fa parte della comunità è disposto a mettere la propria reputazione a sostegno del nuovo arrivato.

Il secondo momento è l’autovalutazione. Il candidato è chiamato a misurare la propria maturità attraverso un modello internazionale chiamato SIM3, che analizza 44 aspetti dell’organizzazione di un team di incident response: dalla governance ai processi, dalla formazione delle persone agli strumenti tecnici. È un esercizio che spesso rivela aree di miglioramento e trasforma la candidatura stessa in un’occasione di crescita.

Il terzo momento è la site visit, ovvero la visita ispettiva condotta dal Primary Sponsor presso il team candidato. Non è un esame, ma un confronto tecnico approfondito che culmina in un report condiviso con la comunità. Il pacchetto di candidatura viene poi valutato dal Membership Committee, sottoposto alla community e infine approvato dal board del FIRST.

Il ruolo di Neverhack e il percorso del CERT della Regione Campania

Neverhack è membro ufficiale del FIRST dal 2024, quando l’azienda operava ancora con il nome Innovery. Negli anni la presenza nella community si è consolidata e ha assunto un ruolo che va oltre la semplice partecipazione: Neverhack accompagna altre organizzazioni – pubbliche e private – nel percorso di accreditamento, agendo sia come sponsor formale sia come consulente specializzato.

Il caso più rappresentativo, e per molti versi unico in Italia, è quello del CERT della Regione Campania. La Regione aveva deciso di dotarsi di una struttura di risposta agli incidenti capace di proteggere non solo i propri sistemi, ma anche quelli delle amministrazioni locali e delle realtà sanitarie del territorio. Per dare a questo CERT una dimensione realmente internazionale, l’obiettivo è stato fin da subito quello di entrare nel FIRST.

Neverhack ha affiancato il CERT regionale in un percorso articolato. Come consulente, ha condotto una gap analysis approfondita rispetto ai criteri SIM3, individuando le aree da rafforzare in termini di organizzazione, persone, strumenti e processi.

Ha quindi guidato un piano di remediation che ha toccato la documentazione interna, la governance del servizio, il catalogo dei servizi offerti alla constituency regionale e l’allineamento ai modelli di riferimento internazionali.

In parallelo, ha assunto il ruolo di Primary Sponsor: ha condotto la site visit, validato l’autovalutazione SIM3, redatto la lettera di supporto e accompagnato il team campano nelle interazioni con il Secretariat del FIRST e con il Membership Committee.

Il risultato è arrivato: il CERT della Regione Campania è oggi parte della community FIRST. È il primo caso in Italia di un CERT regionale ammesso al Forum, un traguardo che colloca la Campania in una posizione di assoluto rilievo nel panorama nazionale ed europeo della cyber security pubblica.

Per Neverhack è stata, al tempo stesso, una conferma del proprio modello di accompagnamento e una dimostrazione concreta di come la membership al FIRST possa essere messa al servizio della crescita complessiva del Paese.

Una scelta culturale prima che tecnica

Raccontare il FIRST significa, in fondo, raccontare un’idea: quella per cui la sicurezza informatica non si costruisce alzando muri sempre più alti intorno alla propria organizzazione, ma costruendo ponti con chi affronta le stesse sfide. È una visione che richiede umiltà – perché obbliga a riconoscere i propri limiti – e generosità, perché chiede di mettere a disposizione degli altri ciò che si è imparato.

Per Neverhack, essere parte del FIRST ha rappresentato una svolta culturale prima ancora che operativa: ci ha permesso di accompagnare realtà importanti come il CERT della Regione Campania, ed altre che stiamo seguendo, verso un traguardo prestigioso, di rafforzare la fiducia dei nostri clienti e di portare in Italia esperienze, contatti e buone pratiche che arricchiscono ogni giorno il nostro lavoro.

Per chi opera nel settore, conoscere il FIRST e il suo funzionamento è oggi parte del bagaglio culturale di base. Per chi decide di aderire, l’esperienza diventa una palestra di crescita continua. E per chi, come Neverhack, ha scelto di accompagnare altri lungo questo percorso, si apre la possibilità concreta di contribuire alla maturazione dell’ecosistema cyber italiano, un team alla volta.