incident-room/1.0.0 · aggiornato il 9 lug 2026

Incidenti e sala operativa

Come aprire, coordinare e chiudere incidenti con task, evidence e una risposta tracciabile.

ADDA Incidents trasforma segnali dispersi in una risposta coordinata con responsabili, attività, prove e decisioni visibili.

Aprire presto un incidente non significa drammatizzare. Significa ordinare il contesto, evitare azioni duplicate e mantenere una storia operativa che altri team possano riprendere.

La sala dell'incidente acquista valore quando riunisce mail, WAF, Access, evidence, reports, tasks, automations e manual candidates in un unico flusso di lavoro.

Lista di controllo

• Aprire un incident quando la situazione attraversa più moduli o richiede coordinamento.
• Assegnare tasks ed evidence dallo stesso flusso.
• Chiudere con stato, apprendimenti e prossimi passi visibili.

Avvio rapido

1. Apri un incident quando un rilievo non è più un evento isolato.
2. Sposta nell'incidente evidence, tasks e artefatti rilevanti.
3. Usa la chiusura per lasciare un apprendimento operativo riutilizzabile.

Flusso operativo

Aprire

Definisci titolo, gravità e ambito senza attendere un contesto perfetto.

Creare presto un flusso di lavoro.

Orchestrare

Aggiungi tasks, evidence, reports o automations in base alla situazione.

Concentrare risposta e monitoraggio.

Chiudere e imparare

Documenta l'esito, le attività in sospeso e i miglioramenti per il manuale o il prodotto.

Trasformare la risposta in capacità istituzionale.

flowchart LR
  S1["Aprire"]
  S2["Orchestrare"]
  S3["Chiudere e imparare"]
  S1 --> S2
  S2 --> S3

Validatori e controlli

Eseguono una lettura contestuale di questa superficie e restituiscono passaggi suggeriti con un taglio operativo.

Esaminare la copertura degli incidenti

Riepilogo operativo per apertura, escalation e chiusura della risposta.

Esempi

Payload per aprire un incidente

{
  "title": "Campaña de phishing contra acceso institucional",
  "severity": "red",
  "summary": "Se detectan múltiples correos con dominio imitador y presión sobre login."
}

Link e riferimenti

Route correlate

Incidenti nel workspace SOC

APIs

/api/adda/v1/incidents
/api/adda/v1/incidents/[id]
/api/adda/v1/tasks

Docs e route di supporto

docs/ADDA_SOC_OPERATIVO.md
docs/ADDA_API.md

Problemi frequenti

• Rispondere da più viste senza un incident genera tracce frammentate.
• Chiudere un incident senza manual candidate o apprendimento fa perdere capacità accumulata.

Azioni suggerite

• Promuovi a incident quando la situazione attraversa mail, Access, WAF o evidence.
• Usa la chiusura per produrre tasks residue o miglioramenti del manuale.

Reason code utili

Dizionario degli score

severity

Priorità istituzionale del segnale sulla scala ADDA.

action

Prossimo passo operativo consigliato dal motore.

reasonCodes

Motivi spiegabili che giustificano la valutazione.

Note di protocollo

• Incidents organizza il coordinamento; non sostituisce il giudizio tecnico di ogni modulo.

Cronologia dell'articolo

9 lug 2026

Nuovo articolo per incident room, tasks e apprendimento operativo.