Cybersecurity, NIS2 e compliance, spiegate bene.

RPO e RTO con un esempio: quanti dati si possono perdere e quanto si può restare fermi, cosa li determina, come si fissano e cosa chiedono DORA e NIS2.

Data security posture management (DSPM): come trova i dati sensibili nel cloud, chi li raggiunge, differenze con CSPM e DLP, tool nativi, GDPR e NIS2.

GRC (governance, risk and compliance): cosa significa, cosa chiedono NIS2, DORA e ISO 27001 e come si costruisce un programma GRC in un'azienda mid-market.

Cos'è l'IaC scanning, cosa trova nei template Terraform e CloudFormation, i rischi di Terraform che sfuggono ai template e dove mettere i controlli.

Differenza tra ISO 9000 e ISO 9001: la 9001 contiene i requisiti e si certifica, la 9000 è il vocabolario con i sette principi. Le edizioni 2026 e cosa cambia.

DevSecOps spiegato: la definizione del NIST, cosa cambia rispetto al DevOps, i controlli lungo la pipeline CI/CD e cosa chiedono NIS2, CRA e ISO 27001.

I tipi di phishing per canale e per bersaglio: smishing, vishing, quishing, PEC, spear phishing e whaling, con esempi, differenze e controlli per l'azienda.

Un WAF filtra il traffico HTTP davanti a un'applicazione web e blocca attacchi come SQL injection e XSS. Cosa ferma, cosa lascia passare e quando serve.

Cosa deve contenere un penetration test report, come si legge quando arriva, i segnali di un report debole e cosa ci cercano NIS2, ISO 27001 e DORA.

Chi è soggetto essenziale e chi importante nella NIS2: la regola dell'art. 6 del D.Lgs. 138/2024, i casi tipici e cosa cambia su misure, controlli e sanzioni.

Modello Purdue, cos'è: i livelli da 0 a 5 e la DMZ, come si usano per segmentare la rete OT secondo NIST SP 800-82, il rapporto con la IEC 62443 e la NIS2.

Lo shadow AI è l'uso di strumenti di IA senza autorizzazione dell'azienda: esempi, rischi per dati e AI Act, numeri IBM e come farlo emergere e gestirlo.

Crittografia: cos'è, come funziona, differenza tra simmetrica e asimmetrica, cifratura e hash, cosa chiedono NIS2 e GDPR e perché il punto debole è la chiave.

Migrazione cloud: le quattro fasi indicate da Google Cloud, le sei strategie dal rehost al repurchase, sicurezza e obblighi GDPR, NIS2, DORA e Data Act.

Vanta e Drata a confronto sulle pagine ufficiali: framework, sistemi in sede, auditor, dati in UE e prezzi. Cosa cambia davvero e come scegliere.

Attack path analysis: come esposizione, vulnerabilità e permessi formano un percorso verso i dati, cosa sono le combinazioni tossiche e cosa correggere prima.

Il modello di responsabilità condivisa nel cloud spiegato: cosa spetta al provider, cosa al cliente in IaaS, PaaS e SaaS, e cosa chiedono DORA, NIS2 e GDPR.

Cosa fa un consulente NIS2, cosa non può fare per te, otto criteri per sceglierlo e i segnali d'allarme in una proposta, con i riferimenti ACN e del decreto.

ISO 27017 e ISO 27018: cosa sono le linee guida ISO per il cloud, edizioni 2026 e 2025, differenze, perché non si certificano da sole e cosa chiede ACN.

Sistema di gestione della qualità (SGQ): cos'è, differenza con la ISO 9001, principi, struttura, come si costruisce passo per passo e cosa cambia con la 2026.

Cyber risk: cos'è il rischio informatico, come si valuta (cyber risk assessment), le quattro fasi di gestione e cosa chiedono NIS2, DORA e ISO 27001.

SBOM, la distinta base del software: cos'è, cosa chiede il Cyber Resilience Act, i 17 campi delle linee guida 2026, i formati SPDX e CycloneDX, come si fa.

Cos'è il Framework nazionale per la cybersecurity e la data protection, com'è fatto il core 2025, perché le misure NIS2 di ACN lo usano e come si applica.

Backup cloud per aziende: immutabilità, regola 3-2-1, Microsoft 365 e Google Workspace, test di ripristino e cosa chiedono NIS2, ACN, GDPR, DORA e ISO 27001.

Come si applicano le misure NIS2 e ACN al cloud: cosa resta al cliente su AWS, Azure e Google Cloud, il provider come fornitore, chi notifica gli incidenti.

L'articolo 4 dell'AI Act chiede misure di alfabetizzazione sull'IA a chi usa questi sistemi. Cosa ha cambiato l'Omnibus, cosa fare e cosa non serve.

Cosa chiede il provvedimento del Garante sugli amministratori di sistema: designazione, elenco, outsourcing, verifica annuale e access log da tenere sei mesi.

Il red team simula un attaccante, il blue team rileva e risponde, il purple team li fa lavorare insieme. Ruoli, differenze dal pen test, DORA e TIBER-IT.

Cos'è il secrets management, dove finiscono chiavi, token e password nel codice e nel cloud, come si gestiscono e cosa fare quando un segreto trapela.

Cos'è syslog: com'è fatto un messaggio, facility e severity, formati RFC 3164 e 5424, porte UDP 514 e TLS 6514 e cosa controllare su un server syslog.

SAST, DAST e SCA a confronto: cosa analizza ciascun test, cosa trova e cosa no, in che ordine introdurli e perché non sostituiscono il pen test.

Cosa fa un SOC analyst: attività di ogni giorno, differenze fra L1, L2 e L3, strumenti usati e cosa cambia fra analisti interni e SOC gestito.

Sicurezza Kubernetes e container: i default da cambiare, cosa resta a te su un cluster gestito, Secret, RBAC, rete, immagini e il CIS Kubernetes Benchmark.

Cos'è la ISO/IEC 27005:2022, cosa cambia rispetto al 2018, che rapporto ha con la ISO 27001 e come si imposta un processo di gestione del rischio.

CIEM cloud, cos'è: come trovare i permessi eccessivi di utenti, ruoli e service account su AWS, Azure e Google Cloud e arrivare al privilegio minimo.

CSPM, cos'è: lo strumento che confronta la configurazione del cloud con regole e standard. Cosa controlla, i tool nativi e i limiti rispetto alla CNAPP.

La ISO/IEC 27002:2022 spiega come attuare i controlli della ISO 27001: cosa contiene, che rapporto ha con l'Allegato A, perché non si certifica.

Google Cloud e AWS a confronto su sicurezza e conformità: regioni in Italia, certificazioni, catalogo ACN, chiavi, log per il SOC, DORA e fattori di costo.

Cos'è il Kerberoasting, perché colpisce gli account di servizio di Active Directory, come si rileva con l'evento 4769 e come si riduce il rischio.

Cos'è l'ethical hacking, cosa lo separa da un reato secondo l'art. 615-ter del codice penale e cosa scrivere in consenso e regole d'ingaggio.

Qilin, LockBit 5.0, Akira e SafePay: i gruppi ransomware più attivi in Italia secondo ACN, come entrano nelle aziende e quali difese contano davvero.

Cloud security, cos'è: chi risponde di cosa tra te e il provider, i sei ambiti da presidiare, cosa chiedono ISO 27001 e NIS2 e da dove partire.

Cyber kill chain, cos'è: il modello Lockheed Martin in 7 fasi, come si usa per trovare i buchi nel monitoraggio, cosa cambia con MITRE ATT&CK e i suoi limiti.

Sicurezza informatica aziendale: cosa comprende, i numeri Clusit e IBM 2026, le sei aree NIST, cosa chiedono NIS2 e GDPR e un percorso in cinque passi.

Quali evidenze chiedono SOC 2 e ISO 27001 sul cloud, come le produce uno strumento di postura come Wiz, come arrivano in Vanta e cosa resta da fare a te.

Wazuh, OpenSearch, Elastic Security, Security Onion e Graylog: cosa fa ciascuno, quale licenza ha davvero oggi e cosa resta da fare dopo l'installazione.

Politica per la qualità ISO 9001: cosa chiede il punto 5.2, come scriverla senza slogan, un esempio commentato e cosa cambia con la nuova ISO 9001:2026.

Gestione dei reclami nella ISO 9001: cos'è un reclamo, quali clausole lo chiedono, le nove fasi della ISO 10002 e la differenza con la non conformità.

Procedure ISO 9001: dal 2015 nessuna è obbligatoria come documento. Le sei procedure della 2008, come scegliere cosa scrivere, esempi e struttura tipo.

Come scegliere una CNAPP: le domande sul tuo cloud, gli otto criteri di confronto e come si presentano Wiz, Prisma Cloud (oggi Cortex Cloud) e Orca.

CSA STAR della Cloud Security Alliance: cos'è, differenza tra Level 1 e Level 2, CCM e CAIQ, cosa chiede ACN in Italia e come si ottiene, passo per passo.

DKIM su Aruba, Google Workspace e Microsoft 365: dove si pubblica la chiave, il selettore a1 di Aruba, i due CNAME di Microsoft e come verificare la firma.

ISMS o SGSI: cos'è il sistema di gestione della sicurezza delle informazioni, come è fatto secondo la ISO/IEC 27001, quali documenti lascia e cosa non è.

Audit di prima, seconda e terza parte secondo la ISO 19011:2026: chi li conduce, l'audit del cliente sul fornitore, DORA, la certificazione e l'auditor.

Gli errori di configurazione cloud più frequenti su AWS, Azure e Google Cloud, cosa ne dicono NSA, CISA, ENISA e Google, e come trovarli in modo ripetibile.

Log management e SIEM a confronto secondo NIST SP 800-92: cosa fa ciascuno, cosa chiedono Garante privacy e misure ACN NIS2 sui log, quando il primo basta.

Il record SPF dice quali server possono inviare email per il tuo dominio. Sintassi, esempi per Google Workspace e Microsoft 365, ~all o -all, errori comuni.

Sistema di gestione integrato: cos'è, come unire ISO 9001, 14001, 45001 e 27001, cosa resta separato e come funziona l'audit integrato, con il tetto del 20%.

Perimetro di sicurezza nazionale cibernetica e NIS2: chi ci entra, cosa coprono, notifiche, misure, CVCN e sanzioni, e cosa vale per chi rientra in entrambi.

Cosa chiede DORA a fintech e intermediari che usano AWS, Azure o Google Cloud: funzioni essenziali, registro, concentrazione, piano di uscita e configurazioni.

CTEM, cos'è: il programma in cinque fasi descritto da Gartner per trovare e mettere in priorità le esposizioni sfruttabili. Differenze dal VM, cloud e NIS2.

Cos'è un managed service provider (MSP), cosa gestisce, in cosa differisce da un MSSP, cosa cambia con la NIS2 e le domande da fare prima di firmare.

Audit di sicurezza informatica: cos'è, cosa controlla, quando lo chiedono NIS2, DORA, GDPR e ISO 27001, come si svolge e in cosa differisce da VA e pen test.

Come scrivere la procedura data breach secondo gli artt. 33 e 34 GDPR: quando notificare al Garante entro 72 ore, cosa comunicare e cosa scrivere nel registro.

Sicurezza cloud per startup e scaleup SaaS: cosa sistemare per primo e quali evidenze chiedono clienti enterprise, due diligence e investitori sul tuo cloud.

CIS Benchmark, cos'è: la guida gratuita di configurazione sicura del Center for Internet Security. Level 1 e 2, Foundations per AWS e Azure, come misurarli.

Chi è il chief information security officer, cosa chiedono davvero NIS2 e DORA, quando serve un CISO in azienda e quando conviene il CISO as a service.

Come scegliere un ente di certificazione ISO: verificare l'accreditamento Accredia per norma e settore, confrontare le offerte, segnali d'allarme e cambio ente.

Come si collegano Wiz e Google SecOps: Issue e Detection inviate al SIEM, playbook SOAR che aggiornano Wiz, cosa è cambiato con Google e cosa decidere prima.

L'articolo 50 dell'AI Act chiede trasparenza su assistenti virtuali, contenuti generati, deep fake e riconoscimento emozioni. Chi fa cosa dal 2 agosto 2026.

Digital forensics in azienda: cos'è l'informatica forense, quando serve dopo un incidente, cosa si fa nelle prime ore e come si tiene la catena di custodia.

Patch management: cos'è, il ciclo NIST SP 800-40, come dare le priorità con il catalogo KEV della CISA e cosa chiedono le misure ACN NIS2 e la ISO 27001.

Una certificazione NIS2 dell'azienda non esiste: la conformità la verifica ACN. Cosa prevedono l'art. 27 del D.Lgs. 138/2024, la ISO 27001 e la UNI/PdR 174.

Cosa sono le certificazioni ISO, quali sono le principali (9001, 14001, 45001, 27001, 22301, 42001), chi le rilascia, quanto durano e come si verificano.

Come scegliere un cloud provider: sicurezza, residenza dei dati, chiavi, certificazioni, qualificazione ACN, clausole DORA e NIS2 e strategia di uscita.

Cos'è un cloud security assessment, cosa copre su AWS, Azure e Google Cloud, come si fa via API senza agenti, cosa ricevi alla fine e cosa non fa.

Wiz è la piattaforma di cloud security acquisita da Google nel 2026: si collega al cloud via API senza agenti e ordina i rischi reali. Cosa fa e cosa cambia.

TPRM, third party risk management: cos'è, cosa chiedono NIS2 (art. 24 D.Lgs. 138/2024, misure ACN GV.SC) e DORA, e il ciclo di vita del fornitore in sei fasi.

L'AI Act è in vigore dal 1° agosto 2024 e si applica per tappe fino al 2028. Tutte le scadenze, con le date spostate dal regolamento (UE) 2026/1744.

CNAPP, cos'è: la piattaforma che unisce CSPM, CWPP, CIEM e DSPM per la sicurezza del cloud. Componenti, agenti o API, differenze dal SIEM e quando serve.

Shadow IT sono software, SaaS e account cloud usati senza l'approvazione dell'IT: esempi, rischi concreti, cosa chiedono NIS2 e ISO 27001 e come scoprirla.

Hardening dei sistemi: cosa significa, i passi NIST per server e postazioni, i CIS Benchmarks, cosa chiedono NIS2 e ISO 27001 e come evitare la deriva.

Risk based thinking ISO 9001: cosa chiede il punto 6.1 su rischi e opportunità, come si applica senza burocrazia e cosa cambia con la nuova ISO 9001:2026.

Ciclo di Deming (PDCA): cosa sono Plan, Do, Check e Act, da dove nasce, la differenza con il PDSA e come lo usa la ISO 9001:2026, con un esempio pratico.

La truffa del CEO è una frode BEC: un falso dirigente chiede un bonifico urgente e riservato. Come funziona, quanto pesa e le regole che la fermano in azienda.

Business impact analysis (BIA): cosa misura, come si fa passo per passo, come si fissano RTO e RPO e cosa chiedono ISO 22301, DORA e NIS2 in Italia.

Azione correttiva ISO 9001 e metodo 8D: le discipline da D0 a D8, quando usarlo, come si scrive il rapporto e cosa chiedono Ford e il VDA.

Manuale della qualità ISO 9001: perché dalla 2015 non è più obbligatorio, cosa va documentato comunque, cosa metterci se lo tieni e cosa cambia con la 2026.

ISO 9001:2026, la nuova edizione uscita il 16 settembre 2026: cosa cambia clausola per clausola, le date della transizione fino al 2029 e cosa fare adesso.

Il Cybersecurity Act è il regolamento (UE) 2019/881 sulla certificazione europea di cibersicurezza: livelli, EUCC, servizi gestiti, NIS2 e revisione 2026.

Cosa fa un consulente ISO 9001, perché non può rilasciare il certificato, sette criteri per sceglierlo e i segnali d'allarme da riconoscere in una proposta.

Il referente CSIRT è chi notifica gli incidenti NIS2 al CSIRT Italia. Chi lo designa, entro quando, requisiti, sostituti e differenza con il punto di contatto.

Endpoint protection in azienda: le differenze tra antivirus, EPP ed EDR, cosa chiede la NIS2 sugli endpoint e perché conta chi legge gli alert.

Come scegliere tra le aziende di cybersecurity: tipo di servizio, perimetro, tempi di risposta, persone, certificazioni, dati e accessi, con la griglia ACN.

DMARC dice ai server cosa fare delle email che usano il tuo dominio senza superare SPF o DKIM. Record, policy, RFC 9989 e requisiti di Google e Yahoo.

Crisis management in azienda: chi siede nel comitato di crisi, cosa scrivere nel piano, il legame con la ISO 22301 e cosa chiede la NIS2 per un incidente cyber.

L'art. 32 GDPR chiede misure tecniche e organizzative adeguate al rischio. Cosa dice il testo, le quattro misure citate, chi è obbligato e come documentarle.

Cos'è una non conformità ISO 9001 e come si gestisce: correzione e azione correttiva, analisi delle cause, cosa mettere nel modulo e nel registro.

Nell'AI Act il deployer usa un sistema di IA, il fornitore lo sviluppa e lo mette sul mercato col suo nome. I sei ruoli, gli obblighi e quando si cambia ruolo.

Costo certificazione ISO 9001: addetti, sedi, rischio e punto di partenza. Come si calcolano le giornate di audit, il triennio e cosa cambia con la 2026.

La security awareness è la capacità del personale di evitare i comportamenti a rischio: cosa chiedono NIS2, ACN e DORA e come si misura un programma.

Audit interno ISO 9001: cosa chiede la clausola 9.2, come costruire il programma, usare la checklist e scrivere il verbale, e cosa cambia con la certificazione.

La legge 132/2025 è la legge italiana sull'IA: cosa prevede, chi vigila tra AgID e ACN, cosa cambia per le aziende e a che punto sono i decreti attuativi.

Il decreto legislativo 4 settembre 2024, n. 138 letto Capo per Capo: chi rientra, obblighi degli articoli 23-25, sanzioni, rinvii all'ACN e testo ufficiale.

Analisi del contesto ISO 9001: clausole 4.1 e 4.2 nell'edizione 2015+A1:2024, parti interessate, cambiamento climatico e arrivo della nuova edizione 2026.

Che cos'è la compliance automation: come funziona la raccolta continua delle prove per ISO 27001 e SOC 2, che cosa non risolve e come si valuta.

ISO 42001 e ISO 27001 non sono alternative: governano oggetti diversi. Cosa cambia, cosa si riusa se hai già un ISMS e che rapporto c'è con l'AI Act.

Security observability è altro rispetto al SIEM o è un altro nome? Cosa è differenza di architettura, cosa è posizionamento, e come si decide davvero.

Vanta è una piattaforma di compliance automation: raccoglie in continuo le prove dei controlli per SOC 2, ISO 27001, NIS 2 e DORA. Cosa fa davvero e cosa no.

Acqua potabile e acque reflue sono due settori distinti dell'Allegato I del D.Lgs. 138/2024. Chi rientra, come si classifica e da dove si parte sull'OT.

Gap analysis ISO 27001: cos'è, come si esegue passo per passo, cosa consegna, cosa sposta i tempi e in cosa differisce da audit interno e risk assessment.

L'alert fatigue è quando il SOC riceve più segnalazioni di quante ne possa leggere. Da dove nasce, cosa costa sui tempi di risposta e come si riduce.

Gli operatori di comunicazione elettronica rientrano nella NIS2 a prescindere dalla dimensione. Classificazione, termini ACN e cosa resta del DM del 2018.

Le scadenze del Cyber Resilience Act in ordine: cosa si applica dall'11 giugno e dall'11 settembre 2026, cosa dall'11 dicembre 2027 e cosa preparare prima.

Gap analysis NIS2: contro quale riferimento si misura, quali domini copre, come si esegue passo per passo, cosa consegna e gli errori che la rendono inutile.

Aziende farmaceutiche nell'Allegato I del D.Lgs. 138/2024, dispositivi medici nell'Allegato II: chi è soggetto essenziale, chi importante e cosa cambia.

Fornitore ICT critico DORA: chi lo designa e con quali criteri, quali poteri ha l'autorità capofila e cosa cambia per l'entità finanziaria che lo usa.

DORA affida all'organo di gestione la responsabilità finale sul rischio ICT: cosa prevede l'articolo 5 del Regolamento (UE) 2022/2554 per il CdA, voce per voce.

Quali amministrazioni rientrano nella NIS2: le categorie dell'allegato III del D.Lgs. 138/2024, la soglia dei 100.000 abitanti per i comuni e cosa scatta dopo.

Nel D.Lgs. 138/2024 i trasporti sono settore ad alta criticità con quattro sottosettori. Chi rientra davvero, quando si è soggetto essenziale o importante.

Chi usa l'IA in azienda è quasi sempre deployer, non fornitore. Quali obblighi valgono davvero, quali alleggerimenti prevede il regolamento UE 2024/1689.

Wazuh è un SIEM e XDR open source, tra GPLv2 e Apache 2.0. Cosa fa davvero, quando basta a un'azienda e quando serve un team che lo tenga vivo ogni giorno.

CSIRT significa Computer Security Incident Response Team. Cos'è, cosa fa il CSIRT Italia dentro l'ACN, la rete europea dei CSIRT e cosa cambia con la NIS2.

VAPT è il pacchetto che unisce vulnerability assessment e penetration test in un solo contratto: come si struttura, cosa si consegna, quando conviene.

Come si sceglie un software SIEM: costo legato al volume di log, copertura delle sorgenti, detection pronte, tempi di messa a regime e chi gestisce le regole.

Il Cyber Resilience Act è il regolamento UE 2024/2847 sui prodotti con elementi digitali: cosa chiede, chi rientra davvero nel perimetro e le date che contano.

Le domande più frequenti sulla NIS2 in Italia, con risposte brevi verificate su D.Lgs. 138/2024 e determinazioni ACN: perimetro, scadenze, obblighi, sanzioni.

Il social engineering manipola le persone invece dei sistemi: cos'è, le tecniche che colpiscono le aziende e perché la formazione conta più della tecnologia.

Cosa produce uno scanner di vulnerabilità, perché un CVSS alto non è sempre la tua priorità, come si costruisce la remediation e quando serve un test gestito.

Il software penetration test mette alla prova un'applicazione, le API e i componenti di terze parti: cosa trova, perché uno scanner non basta e quando farlo.

Cosa significa phishing: definizione, origine della parola, come riconoscere un messaggio, le forme che colpiscono le aziende e cosa fare nelle prime ore.

Il penetration test as a service (PTaaS) rende il pentest continuo, con retest incluso. Cosa cambia dal test annuale, quando conviene e cosa chiedere.

Il web application penetration test (WAPT) mette alla prova una singola applicazione web e le sue API. Cosa cambia da un pentest generico e come si svolge.

Cos'è la ISO/IEC 42001, come è fatta la norma sui sistemi di gestione dell'AI, che rapporto ha davvero con l'AI Act e cosa si riusa dalla ISO 27001.

Il SIEM raccoglie e correla i log di tutta l'infrastruttura per far emergere gli attacchi. Cos'è, come funziona passo per passo e come si lega al SOC.

Il SOC è il centro che monitora, rileva e risponde agli attacchi 24 ore su 24. Cos'è, come funziona, con quali metriche si misura e come sceglierlo.

SOC interno o gestito? Costi, tempi di avvio, talenti e SLA a confronto, con il modello ibrido e i criteri per scegliere nel mid-market italiano.

EDR e XDR sono tecnologie, l'MDR è un servizio gestito: ecco le differenze tra i tre acronimi della detection and response e come si combinano.

Il penetration test è una simulazione autorizzata di attacco che sfrutta le vulnerabilità per misurarne l'impatto reale. Cos'è, tipi, fasi e quando serve.

Penetration test e vulnerability assessment non sono la stessa cosa: uno sfrutta le falle in profondità, l'altro le elenca in ampiezza. Ecco quando serve ciascuno.

Il vulnerability assessment identifica, classifica e prioritizza le vulnerabilità di sistemi e reti. Cos'è, le fasi, gli strumenti e ogni quanto farlo.

Quali sono le scadenze NIS2 e come si articola il calendario ACN: registrazione, elenco dei soggetti e obblighi scaglionati. Guida pratica per non arrivare tardi.

Il ruolo dell'ACN nella NIS2: gestisce la registrazione dei soggetti, riceve le notifiche via CSIRT Italia, emana le misure, vigila e sanziona. Cosa comporta.

I soggetti NIS2 notificano gli incidenti significativi al CSIRT Italia: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.

Cos'è la ISO 27001:2022, come funziona il Sistema di Gestione della Sicurezza delle Informazioni, i 93 controlli e come arrivare alla certificazione.

DORA si applica alle 20 categorie di entità finanziarie dell'articolo 2 e ai fornitori ICT. Chi rientra, chi è escluso, chi vigila in Italia e cosa rischia.

DORA vs NIS2: la prima è un regolamento settoriale per la finanza, la seconda una direttiva trasversale. Ecco chi ricade in una, nell'altra o in entrambe.

Gestione del rischio ICT e registro fornitori sono due pilastri di DORA. Cosa chiede il Regolamento (UE) 2022/2554 alle entità finanziarie e da dove partire.

Il pilastro 3 di DORA chiede test di resilienza alle entità finanziarie diverse dalle microimprese. Cosa prevede il programma di test e quando scatta il TLPT.

NIS2 nel manifatturiero: quali produzioni rientrano nell'Allegato II, quali obblighi scattano e da dove partire per adeguarsi.

La sanità è tra i settori ad alta criticità della NIS2 (Allegato I): ospedali, farmaceutica e laboratori rientrano. Ecco chi è essenziale, chi importante e come partire.

Energia, acqua e utility: settori ad alta criticità NIS2 (Allegato I), essenziali le grandi imprese e i soggetti critici. Obblighi, OT/SCADA, effetto cascata.

Come ottenere la certificazione ISO 27001:2022 passo per passo: dallo scope alla SoA, dall'audit Stage 1 e 2 al mantenimento del certificato triennale.

L'Allegato A della ISO 27001:2022 elenca 93 controlli in 4 temi: organizzativi, persone, fisici, tecnologici. Ecco gli 11 controlli nuovi e la SoA.

Fondo perduto 50% fino a 20.000 euro per cloud e sicurezza: domande dal 10 novembre 2026 al 20 gennaio 2027, in ordine cronologico. Cosa avere pronto.

Google SecOps è la piattaforma cloud-native di security operations di Google: SIEM e SOAR, erede di Chronicle. Cos'è, come funziona e per chi ha senso.

L'MDR (Managed Detection and Response) è un servizio, non uno strumento: monitoraggio 24/7, triage, indagine e risposta. Cos'è e quando serve davvero.

Nel 2025 l'Italia ha subito 507 attacchi gravi, il 9,6% del totale mondiale. I numeri di Clusit, ACN, IBM e Mandiant letti per chi decide il budget.

Adeguarsi alla NIS2 senza perdersi: la roadmap in sei fasi, dal gap assessment sulle 10 misure alla documentazione per il CdA, fino al voucher MIMIT.

La normativa NIS2 in Italia: cos'è la direttiva UE 2022/2555, cosa richiede in concreto, a chi si applica, le scadenze 2026 e le sanzioni del D.Lgs 138/2024.

Come migrare da QRadar a Google SecOps senza rompere la detection: le 5 fasi del percorso, i tempi realistici, i rischi da evitare e il ruolo dell'MSSP.

QRadar non è "morto", ma la strategia IBM è cambiata: SaaS ceduto a Palo Alto, spinta verso altre piattaforme. Ecco le opzioni e come scegliere.

Google SecOps o Microsoft Sentinel? Confronta architettura, licensing, prevedibilità della spesa e AI per scegliere il SIEM del mid-market.

Quanto costa una migrazione SIEM e quanto dura? I fattori che muovono il conto (volume di log, detection, integrazioni) e i tempi realistici a fasi.

I clienti enterprise chiedono la ISO 27001 (o la SOC 2) prima di firmare. Ecco come una startup o un SaaS ci arriva in fretta, senza bloccare il team.

ISO 27001 o SOC 2? Dipende da dove sono i tuoi clienti. Ecco le differenze reali, quanto si sovrappongono e quale delle due conviene fare per prima.

Quanto costa la ISO 27001: le quattro voci del preventivo, come si calcolano le giornate di audit, quanto pesa il triennio e cosa non è incluso.

MDR, SIEM e SOC non sono la stessa cosa. Uno è uno strumento, uno un team, uno un servizio gestito. Ecco la differenza chiara e quale serve a te.

Cosa significa MTTR: il tempo medio di risposta (o di ripristino) a un incidente. Formula con esempio, le quattro letture della sigla e differenza con il MTTD.

Il dwell time è il tempo tra l'intrusione e la scoperta di un attaccante. Cos'è, i numeri reali di Mandiant, perché in Italia è così alto e come si riduce.

NIS2 non riguarda solo le grandi aziende. Ecco i settori degli allegati, le soglie dimensionali, il criterio di size-cap e come capire se rientri, anche come fornitore.

La SOC 2 è l'attestazione AICPA sui Trust Services Criteria. Differenza tra Type I e Type II, periodo di osservazione, quale scegliere e come si ottiene.

DORA è il Regolamento (UE) 2022/2554, applicabile dal 17 gennaio 2025 alle entità finanziarie e ai loro fornitori ICT. Cosa dice, a chi si applica, cosa fare.

NIS2 prevede multe fino a 10 milioni di euro o il 2% del fatturato, e per la prima volta risponde anche chi dirige l'azienda. Ecco quanto rischi e chi paga.

Un SOC gestito non ha un listino unico: il canone dipende dal perimetro, dal volume di log e dalla copertura. Ecco cosa lo determina e come confrontarlo col team interno.

NIS2 è un obbligo di legge, ISO 27001 una certificazione volontaria. Sono diverse ma si rafforzano: ecco come usare la 27001 per arrivare prima alla NIS2.

In media, nel mondo, servono 181 giorni per accorgersi di una violazione. Cos'è l'MTTD, perché è così alto, quanto costa il ritardo e come si riduce davvero.

Le sanzioni NIS2 arrivano fino a 10 milioni. Ma non cadono dal cielo: ecco da cosa nascono e le 3 mosse per evitarle e proteggere il management.

La sanzione NIS2 fa notizia, ma spesso non è il rischio peggiore. I 5 rischi concreti se ignori NIS2, e perché colpiscono prima della multa.

NIS2 ha decine di requisiti, ma non pesano tutti uguale. Le 3 cose da sistemare prima, spiegate da chi gestisce sicurezza ogni giorno.