freeuser.org

Centosedici. Tanti sono i requisiti che un soggetto essenziale NIS deve soddisfare, distribuiti su 43 misure di sicurezza di base; per un soggetto importante sono 87, su 37 misure. Li ha fissati l'ACN con la determinazione 164179 del 14 aprile 2025 ( eDotto ). Nelle settimane che precedono il termine, in qualche migliaio di aziende italiane, qualcuno sta riempiendo una tabella con quei requisiti in riga e una colonna intitolata "evidenza". Il termine è quello di ottobre 2026. Chi ha ricevuto la comunicazione di inserimento nell'elenco ad aprile 2025 deve avere le misure di base "operative e dimostrabili entro ottobre 2026", per usare la formula che rimbalza da una guida all'altra ( ICT Security Magazine ). Sono diciotto mesi dalla comunicazione, che quasi tutti i calendari traducono in 31 ottobre (il vademecum ACN pubblicato a settembre di quest'anno ricorda che il conto parte dalla comunicazione di ciascuno, quindi il giorno esatto cambia da sogget...

Il numero preferito dal comitato rischi, quando si parla di vulnerabilità, è una percentuale. Sistemi aggiornati entro trenta giorni: novantadue per cento (il numero me lo invento io, ma chi ha seduto in un comitato ne ha visto uno identico). Casella verde. Il CFO chiede se il dato è in linea con il trimestre precedente, qualcuno annuisce, si passa al punto successivo. Nessuno chiede quali siano i sistemi dell'otto per cento mancante. Tanto meno chi abbia deciso che potevano aspettare. L'8 settembre Microsoft rilascia, in un solo Patch Tuesday, le correzioni per 972 vulnerabilità, 113 delle quali critiche: più del doppio delle 415 di agosto, un record secondo l' analisi di CrowdStrike . Il mese dopo la percentuale scende. Il team non ha lavorato peggio: è cambiato il denominatore. E il denominatore non lo governa più nessuno. Con questi volumi, chi misura il patch management in velocità e in percentuale di copertura misura il rumore. La decisione che conta è un'altra, ...

Immaginate il consiglio convocato due giorni dopo l'attacco. Il CIO ha le occhiaie di chi non dorme da tre notti. Porta però l'unica buona notizia della settimana: i sistemi sono tornati su in ventiquattro ore, i backup immutabili hanno tenuto, il piano di ripristino ha funzionato "come da manuale". Il CFO chiede se la polizza copre i costi (domanda legittima, ci mancherebbe). Si passa al punto successivo. La reazione istintiva la conosco bene, perché è quella di chiunque abbia firmato un piano di ripristino. Ventiquattro ore? Siamo pronti, allora! Peccato che in quella sala nessuno abbia chiesto cosa è uscito dalla rete nei giorni prima della cifratura. E soprattutto chi lo sta leggendo adesso? Il ransomware è diventato prima di tutto un problema di riservatezza, e solo dopo di disponibilità. I programmi di resilienza, però, misurano la parte dell'attacco che fa rumore, il lucchetto sui file, e quasi ignorano quella che non ne fa: i dati che escono. Ripartire in...

Tre settembre 2026. OpenAI pubblica due pagine nello stesso giorno. Nella prima presenta GPT-6 Astra e scrive, nero su bianco, che è il primo modello della casa a raggiungere il livello "Critical" per le capacità offensive in ambito cyber. Traduzione, con parole loro: con gli strumenti e gli accessi giusti, il modello può trovare falle sconosciute e costruire il modo di sfruttarle "across many well-protected systems", senza che una persona guidi ogni passo ( OpenAI, safety overview ). Il modello viene comunque rilasciato su larga scala, con misure di sicurezza rafforzate. Nella seconda annuncia un miliardo di dollari per i "difensori in prima linea": acquedotti, reti elettriche, amministrazioni locali, piccole banche, maintainer open source. Accesso sovvenzionato ai modelli cyber di OpenAI, formazione, supporto tecnico ( OpenAI, Daybreak for Frontline Defenders ). Stesso giorno. Stesso fornitore. Da una parte l'incendio, dall'altra l'estinto...

Un messaggio su WhatsApp. Una telefonata. Qualche email con delle coordinate bancarie. Poche ore dopo, circa 95 milioni di euro avevano lasciato la tesoreria di Fideuram diretti verso conti in Cina e a Hong Kong. Nessun virus. Nessuna vulnerabilità sconosciuta. Nessuna banda di hacker con un nome da film e un logo disegnato bene. La notizia è uscita oggi, ricostruita dal Corriere e ripresa da ANSA , Il Post , Milano Finanza e Open . I fatti risalgono a febbraio di quest'anno. Il titolo che gira ovunque è "truffa con l'intelligenza artificiale". Vero, per carità (la voce clonata c'è davvero). Ma è anche il modo più comodo per non guardare il punto... perché il punto non è l'intelligenza artificiale. La mia tesi è semplice (e, lo so, poco spettacolare): questa è la truffa più vecchia del mondo, quella del capo che chiede un favore urgente e riservato. L'AI le ha solo cucito addosso un costume nuovo. E il costume, oggi, costa pochissimo. Una premessa, pr...

Ci sono molte cose che ruotano attorno al tema della Security (o per chi ama il marketing Cyber Security), una di queste è il Patching Management. Stavo leggendo  questo documento redatto da Kenna Security e Cyentia  “PRIORITIZATION TO PREDICTION”, vi consiglio la sua lettura per un “azzeramento” su alcuni temi in cui sono personalmente carente, di seguito alcune naturali considerazioni, qualche riflessione e una breve checklist di consigli Velocity: (def.) the speed of something in a given direction Ho sempre considerato “efficace” un processo di patching valutando quando questo fosse in grado di coprire, nel minor tempo possibile, le vulnerabilità evidenziate e sollevate da un qualunque tool di continous VA. Questa mia personale e semplicistica percezione si porta dietro un tema essenziale da identificare: la “Velocity” con cui il patching viene effettuato. Quant’è il “minor tempo possibile”? Per chi si occupa di security e abbia la pretesa che chiunque sia intor...