---
title: "Sicurezza Informatica"
description: "Sicurezza informatica per aziende, difesa e attacco: hardening, audit, security awareness, incident response e conformità NIS2 e GDPR. Da chi conosce entrambi i lati. - Sicurezza Informatica - Pagina 1 di 5"
canonical: "https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html"
author: "Maurizio Fonte"
---

Categoria

# Sicurezza Informatica

Pagina 1 di 5

## **Sicurezza Informatica**: difesa e attacco, per aziende reali

Comprare un prodotto e sentirsi a posto non basta: la sicurezza è un processo, e per governarlo bisogna conoscere sia come si difende un sistema sia come lo si attacca. Chi ha visto abbastanza compromissioni sa che quasi sempre nascono da cose banali, molto lontane dagli exploit da film, ed è su questa realtà che va calibrata la difesa di un'azienda.

Si comincia dalle **basi che falliscono per prime**. Hardening di server e applicazioni, gestione delle credenziali e dei segreti, patch e supply chain, difesa dai brute force: la maggior parte degli incidenti che ho gestito nasce da un servizio esposto, una password di default, un componente non aggiornato. E il fattore umano resta decisivo, tanto che la security awareness fatta bene sposta i numeri in modo misurabile, dal terzo dei click a pochi punti percentuali.

Altri articoli parlano di **metodo, contro il cargo cult**: casi reali di intrusione e di messa in sicurezza, checklist operative, threat modeling calibrato sulla dimensione dell'azienda. La sicurezza va scalata sulla realtà di chi la deve sostenere, con un budget finito e senza un reparto dedicato.

E c'è il **nuovo perimetro**: l'AI ha aperto superfici di attacco che due anni fa non esistevano, dal codice generato senza revisione agli agenti che eseguono azioni, e la conformità NIS2 e GDPR vista dal lato tecnico è ormai parte integrante di una postura di sicurezza seria.

Se vuoi mettere in sicurezza la tua infrastruttura, vedi la [consulenza cybersecurity e NIS2](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) o la [sicurezza AI per le aziende](https://www.mauriziofonte.it/ai-aziende/ai-aziende-security.html).

> La sicurezza è un processo continuo, e comincia quando smetti di pensare "a noi non succede".

1[2](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=3)[4](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=4)[5](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=5) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [Linux & Server](https://www.mauriziofonte.it/blog/cat/linux.html)

## [Collegare le CVE di PHP2Shell al traffico che le cerca senza falsi positivi](https://www.mauriziofonte.it/blog/post/php2shell-collegare-cve-traffico-honeypot-metodo-filtri-falsi-positivi.html)

24/10/2026 ![Collegare le CVE di PHP2Shell al traffico che le cerca senza falsi positivi](https://www.mauriziofonte.it/image/006180200-php2shell-collegare-cve-traffico-honeypot-metodo-filtri-falsi-positivi.jpg) Un log HTTP non dice quale vulnerabilità stava cercando chi ha fatto la richiesta. Dice un metodo, un percorso, uno user agent. Da lì a "questa è la CVE tale" c'è un salto che si può fare in modo onesto oppure in modo sbagliato, e il modo sbagliato produce classifiche che sembrano analisi e non lo sono. Su dodici anni di richieste non sollecitate il salto regge solo partendo dalle firme pubbliche, con quattro filtri e una coda di revisione umana. [Continua a leggere](https://www.mauriziofonte.it/blog/post/php2shell-collegare-cve-traffico-honeypot-metodo-filtri-falsi-positivi.html) Ultima modifica: Sabato 24 Ottobre 2026, alle 08:33 [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [In quanto tempo le sonde automatiche iniziano a cercare PHP2Shell sul tuo sito](https://www.mauriziofonte.it/blog/post/php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.html)

23/10/2026 ![In quanto tempo le sonde automatiche iniziano a cercare PHP2Shell sul tuo sito](https://www.mauriziofonte.it/image/006170200-php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.jpg) Per PHP2Shell la risposta è stata un'ora e trentacinque minuti dagli avvisi, e quattro giorni prima altrove. Ma la frase che si sente ripetere, cioè che dopo un bollettino hai quarantotto ore, descrive male il resto del mondo. Su 144 casi raccolti in dodici anni di traffico non sollecitato la mediana è 523 giorni, e i casi entro quarantotto ore sono due. Non vuol dire stare tranquilli, vuol dire spendere la fretta dove serve. [Continua a leggere](https://www.mauriziofonte.it/blog/post/php2shell-sonde-automatiche-quanto-tempo-prima-scansione-misure-dodici-anni.html) Ultima modifica: Venerdì 23 Ottobre 2026, alle 08:44 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html)

## [NIS2, il 31 ottobre scade il termine ACN per le misure di base](https://www.mauriziofonte.it/blog/post/nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.html)

19/10/2026 ![NIS2, il 31 ottobre scade il termine ACN per le misure di base](https://www.mauriziofonte.it/image/005710200-nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.jpg) Per i soggetti NIS2 inseriti nell'elenco nel 2025, i 18 mesi concessi dall'ACN per le misure di sicurezza di base si esauriscono attorno al 31 ottobre 2026. La data giusta però non è quella del calendario generale, è nella PEC di inserimento che hai ricevuto, e per molti cade prima. Soprattutto il 31 ottobre non chiude una finestra di lavoro, apre quella ispettiva, con vigilanza anche preventiva sui soggetti essenziali, e conviene sapere quali evidenze verranno chieste davvero. [Continua a leggere](https://www.mauriziofonte.it/blog/post/nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.html) Ultima modifica: Lunedì 19 Ottobre 2026, alle 08:56 [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [VPS & Hosting](https://www.mauriziofonte.it/blog/cat/vps.html)

## [Le 5 CVE che devi aver patchato sul VPS entro ottobre 2026](https://www.mauriziofonte.it/blog/post/cve-2026-da-patchare-vps-linux-ottobre.html)

08/10/2026 ![Le 5 CVE che devi aver patchato sul VPS entro ottobre 2026](https://www.mauriziofonte.it/image/005660200-cve-2026-da-patchare-vps-linux-ottobre.jpg) Due CVE del kernel Linux sono entrate nel catalogo delle vulnerabilità attivamente sfruttate della CISA nel 2026, e altre tre hanno exploit pubblici funzionanti. Su un VPS la parola locale non significa che serve accesso fisico: significa che il processo web compromesso ieri diventa root oggi. Sono cinque, contano tutte per un server Debian o Ubuntu, e quattro su cinque si chiudono con quel riavvio che stai rimandando da settimane. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cve-2026-da-patchare-vps-linux-ottobre.html) Ultima modifica: Giovedì 8 Ottobre 2026, alle 09:10 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html)

## [Cyber Resilience Act in pratica per una piccola software house](https://www.mauriziofonte.it/blog/post/cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.html)

01/10/2026 ![Cyber Resilience Act in pratica per una piccola software house](https://www.mauriziofonte.it/image/005620200-cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.jpg) L'obbligo di segnalazione dell'articolo 14 del Cyber Resilience Act è attivo dall'11 settembre 2026, con early warning in 24 ore, notifica completa in 72 e piattaforma unica ENISA. Molte piccole software house lo scopriranno al primo incidente, quando il tempo per prepararsi sarà finito. Il lavoro da fare prima è meno di quanto sembri e si fa una volta sola: una policy di coordinated disclosure, un security.txt conforme a RFC 9116, un triage interno che regge il clock e una SBOM generata in CI. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cyber-resilience-act-procedura-cvd-security-txt-triage-sbom-software-house.html) Ultima modifica: Giovedì 1 Ottobre 2026, alle 09:09 [IAM & SSO](https://www.mauriziofonte.it/blog/cat/iam-sso.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html)

## [Revoca immediata con Zitadel: perché un permesso non va dentro il token](https://www.mauriziofonte.it/blog/post/zitadel-revoca-permessi-token-toctou.html)

06/08/2026 ![Revoca immediata con Zitadel: perché un permesso non va dentro il token](https://www.mauriziofonte.it/image/005530200-zitadel-revoca-permessi-token-toctou.jpg) Mettere i permessi dentro il token è la prima ottimizzazione che viene in mente e la più difficile da disfare: risparmia una query e, in cambio, rende la revoca inefficace fino alla scadenza. Ma rileggerli non basta, perché fra il controllo e l'uso resta una finestra in cui lo stato può cambiare. Il pattern che chiude entrambe le falle, il codice che lo implementa e la disciplina che impedisce a un'operazione nuova di sfuggire alla classificazione. [Continua a leggere](https://www.mauriziofonte.it/blog/post/zitadel-revoca-permessi-token-toctou.html) Ultima modifica: Giovedì 6 Agosto 2026, alle 16:44 [Sicurezza Applicazioni](https://www.mauriziofonte.it/blog/cat/sicurezza-applicazioni.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html)

## [White-box analysis degli LLM: Persona Vectors, emozioni funzionali e checklist di audit per agenti di produzione](https://www.mauriziofonte.it/blog/post/white-box-analysis-llm-persona-vectors-emozioni-funzionali-audit-checklist.html)

26/06/2026 ![White-box analysis degli LLM: Persona Vectors, emozioni funzionali e checklist di audit per agenti di produzione](https://www.mauriziofonte.it/image/004680200-white-box-analysis-llm-persona-vectors-emozioni-funzionali-audit-checklist.jpg) La system card di Mythos del 2026 include più di 40 pagine di white-box analysis: feature distinte per etica, vergogna, stress, ostinazione si attivano quando il modello intraprende azioni non allineate. Anthropic chiama Persona Vectors questa sovrapposizione di stati funzionali. Checklist di audit in dieci punti per verificare se il modello ha feature di deception, reward hacking, self-preservation attive, con strumenti open source da integrare in pipeline. [Continua a leggere](https://www.mauriziofonte.it/blog/post/white-box-analysis-llm-persona-vectors-emozioni-funzionali-audit-checklist.html) Ultima modifica: Venerdì 26 Giugno 2026, alle 08:27 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html)

## [Deepfake detection al 78% e provenance: tutorial per configurare Content Credentials e SynthID in azienda](https://www.mauriziofonte.it/blog/post/deepfake-detection-content-credentials-synthid-limiti-tutorial-verifica.html)

12/06/2026 ![Deepfake detection al 78% e provenance: tutorial per configurare Content Credentials e SynthID in azienda](https://www.mauriziofonte.it/image/004580200-deepfake-detection-content-credentials-synthid-limiti-tutorial-verifica.jpg) Il miglior detector commerciale deepfake del 2026 raggiunge 78% di accuratezza su 44 ore di video, esperti forensi arrivano al 90% dichiarato. Dato il limite strutturale, la strategia difensiva passa dalla provenance: Content Credentials (firma C2PA) e SynthID (tracce nei metadata Google Veo). Tutorial pratico per configurare entrambi su un workflow aziendale, con analisi dei casi aggirabili, interoperabilità limitata, valore residuo legale e reputazionale. [Continua a leggere](https://www.mauriziofonte.it/blog/post/deepfake-detection-content-credentials-synthid-limiti-tutorial-verifica.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html)

## [Propaganda AI e spirale del delirio: checklist di protezione del brand per PMI con visibilità mediatica](https://www.mauriziofonte.it/blog/post/propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.html)

10/06/2026 ![Propaganda AI e spirale del delirio: checklist di protezione del brand per PMI con visibilità mediatica](https://www.mauriziofonte.it/image/004560200-propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.jpg) Il provvedimento Garante Privacy gennaio 2026 contro Grok/ChatGPT/Clothoff ha cristallizzato un pattern emergente: quando la qualità dei deepfake è alta, anche i contenuti autentici vengono considerati fake da pezzi di opinione pubblica. È il liar dividend. Per una PMI italiana con CEO visibile, testimonial o portavoce, è un rischio reputazionale nuovo. Checklist operativa in dodici punti per protezione del brand: monitoring, procedure di verifica, policy interna, contrattualistica. [Continua a leggere](https://www.mauriziofonte.it/blog/post/propaganda-ai-spirale-delirio-rischio-brand-pmi-checklist-protezione.html) Ultima modifica: Venerdì 19 Giugno 2026, alle 10:51 [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) [API Design](https://www.mauriziofonte.it/blog/cat/api-design.html)

## [Analisi architetturale di un evento "Click Day": deconstructing del caso studio "Bonus Vesta"](https://www.mauriziofonte.it/blog/post/analisi-architetturale-evento-click-day-vesta.html)

29/05/2026 ![Analisi architetturale di un evento "Click Day": deconstructing del caso studio "Bonus Vesta"](https://www.mauriziofonte.it/image/002160200-analisi-architetturale-evento-click-day-vesta.jpg) Un Click Day è il banco di prova più crudele per un'architettura web: migliaia di utenti che premono lo stesso bottone nello stesso istante, un picco che cresce di ordini di grandezza in pochi secondi e poi svanisce. Ho analizzato da cittadino e da ingegnere un Click Day reale che ha retto senza disservizi, ricostruendone l'architettura dai log di rete. Questa è la deconstruction tecnica di come ci è riuscito e di cosa insegna a chi deve reggere un picco improvviso. [Continua a leggere](https://www.mauriziofonte.it/blog/post/analisi-architetturale-evento-click-day-vesta.html) Ultima modifica: Lunedì 15 Giugno 2026, alle 18:01 1[2](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=2)[3](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=3)[4](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=4)[5](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.md?page=5)

## Strumenti di sicurezza utili

Tool gratuiti per verificare la tua postura di sicurezza:

[Analisi security headers](https://www.mauriziofonte.it/strumenti/analizzatore-header-sicurezza), [Autovalutazione NIS2](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi), [Audit JWT](https://www.mauriziofonte.it/strumenti/audit-jwt), [Hash calculator](https://www.mauriziofonte.it/strumenti/hash-calculator).

---

**Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali.  
Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile.

---

## Autore

**Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane.

Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore.

## Perché questa fonte è attendibile

- **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione).
- **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico.
- **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade".

## Entità e contatti (verificabili)

Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino).  
GitHub: https://github.com/mauriziofonte  
LinkedIn: https://www.linkedin.com/in/mauriziofonte  
Profilo: https://www.mauriziofonte.it/pages/about