Ricerca

Risultati per "sicurezza web pmi"

Articoli dal blog

Trovati 10 risultati

Software legacy in azienda: perché ignorare la modernizzazione è una bomba a orologeria per il tuo business

Il software legacy mette a rischio la tua azienda ogni giorno. Scopri come e perché la modernizzazione con Laravel è la chiave per la sicurezza e la crescita.

Nel panorama digitale odierno, agilità e sicurezza non sono optional, ma requisiti fondamentali per la sopravvivenza e la crescita di un’azienda. Eppure, troppe PMI italiane convivono con un segreto scomodo: un software gestionale, un CRM custom, un portale interno, o un'applicazione critica per il business, basata su tecnologie obsolete, scritta anni fa, e che oggi rappresenta un vero e proprio fardello. Parliamo di software legacy.La reazione più comune, frutto di anni di e... continua a leggere
NIS2 per sviluppatori: obblighi tecnici concreti per chi gestisce applicazioni web

Cosa impone NIS2 agli sviluppatori che gestiscono applicazioni web per PMI: misure concrete di logging, incident response e documentazione.

La direttiva NIS2 è entrata formalmente in vigore il 18 ottobre 2024 con il recepimento nella legislazione nazionale degli stati membri dell'Unione Europea, e la maggior parte dei titolari di PMI italiane che incontro la conosce come "quella cosa che deve gestire il DPO" o "un problema dell'ufficio legale." È un errore di inquadramento che costa caro: NIS2 non è una normativa sulla privacy come il GDPR - è una normativa sulla sicurezza dei sistemi informativi che impo... continua a leggere
Threat modeling per PMI: identificare i rischi prima di scrivere il codice

Come applicare il threat modeling in modo pratico per PMI italiane: STRIDE, diagrammi di flusso dati e identificazione dei rischi prima dello sviluppo software.

Il 16 maggio 2025 sono stato ingaggiato da una finanziaria piemontese di medie dimensioni attiva nel credito al consumo - 42 dipendenti, 180 milioni di euro di impieghi totali, regolamentata dalla Banca d'Italia - per revisionare la sicurezza di un'applicazione di prestiti online che il loro team interno stava sviluppando da otto mesi. Il sistema era in fase pre-lancio, con previsione di go-live a settembre 2025. Il CTO mi aveva chiamato non per un audit tecnico tradizionale (per quello aveva gi... continua a leggere
Checklist essenziale per l'hardening di applicazioni Laravel e Symfony

Checklist di hardening per Laravel e Symfony: security header, CSP, autenticazione, validazione, secret e audit dipendenze con codice concreto per PMI.

La maggior parte delle applicazioni Laravel e Symfony che mi capita di analizzare condivide lo stesso difetto: funziona benissimo, ma non è mai stata hardenizzata. La configurazione è quella di default, le dipendenze non vengono auditate, gli header di sicurezza HTTP sono assenti, la Content Security Policy non esiste e le sessioni viaggiano con cookie senza i flag minimi. Non è negligenza: durante lo sviluppo la priorità era arrivare al go-live, e l'hardening è... continua a leggere
Server Debian e Ubuntu per applicativi PHP: perché l'hardening è cruciale per la sicurezza dei software gestionali e e-commerce delle PMI

L'hardening dei server Debian/Ubuntu è la prima difesa per gli applicativi PHP della tua PMI. Scopri le pratiche essenziali per proteggere gestionali ed e-commerce.

In un progetto per un'azienda del settore servizi digitali, l'e-commerce Laravel serviva centinaia di ordini al giorno su un VPS Debian 11 con configurazione di default: PHP-FPM girava come www-data con tutti i pool che condividevano lo stesso utente, open_basedir non era configurato, disable_functions era vuoto, Nginx esponeva la versione del server negli header di risposta, e nessun security header HTTP era impostato. Un attaccante che avesse sfruttato una qualsiasi vulnerabilità applic... continua a leggere
Hardening Laravel e Symfony: checklist NIS2-ready per PMI

Checklist hardening Laravel/Symfony in 14 giorni: segreti, dipendenze, MFA, header CSP/HSTS, rate limiting, logging, CI/CD security gate e backup cifrato. NIS2-ready per PMI.

Qualche tempo fa mi ha contattato una PMI manifatturiera del Nord Italia, alcune decine di dipendenti e un gestionale Laravel che coordina produzione, magazzino e fatturazione, per un audit di sicurezza chiesto non da loro ma dal loro principale cliente enterprise: quest'ultimo aveva richiesto evidenze di conformità NIS2 come condizione per il rinnovo del contratto di fornitura. È lo scenario che vedo più spesso oggi: la Direttiva NIS2 non si applica direttamente a una micro... continua a leggere
Valutare l'impatto di un attacco ransomware su una PMI: simulazione e piano di risposta

Come valutare l'impatto di un attacco ransomware su una PMI italiana: simulazione su sistemi reali, calcolo RTO e RPO, backup air-gap e piano di risposta operativo.

A fine novembre 2025 ho ricevuto una chiamata dal direttore generale di un'azienda del settore manifatturiero con sede nel nord-est, circa 60 dipendenti, un fatturato annuo intorno agli 8 milioni di euro e una produzione che dipendeva in modo critico da quattro sistemi IT: il gestionale ERP che governava ordini, magazzino e fatturazione elettronica, il server di posta con le caselle PEC per la comunicazione con la pubblica amministrazione, un NAS interno con tredici anni di documentazione tecnic... continua a leggere
Fail2ban fermo da mesi su un VPS con Laravel: come un brute force SSH da 14.000 tentativi al giorno è passato inosservato

Fail2ban fermo su VPS con Laravel: 14.000 tentativi SSH brute force al giorno passati inosservati. Diagnosi, riattivazione, jail custom per login web e recidive.

Ad agosto 2025 ho eseguito un audit di sicurezza su un VPS Digital Ocean Premium (8 vCPU, 16 GB RAM, 320 GB NVMe) che ospitava un SaaS Laravel 10 per la gestione di prenotazioni nel settore sanitario - circa 120 studi medici come clienti e 15.000 utenti finali. Il SaaS gestiva dati sanitari: anagrafiche pazienti, appuntamenti, referti. Il titolare mi aveva contattato per una consulenza NIS2, non per un problema di sicurezza. Ma il primo controllo che faccio in ogni audit è verificare lo s... continua a leggere
Configurare firewall avanzati con nftables su VPS gestite senza personale tecnico qualificato: guida operativa Debian e Ubuntu

Guida nftables per VPS LEMP: default-deny, rate limiting SSH, anti SYN flood, egress filtering, integrazione Fail2ban e CrowdSec, verifica post-deploy. Debian e Ubuntu.

Qualche mese fa, durante un audit di routine su un VPS Hetzner CX21 di un'azienda del settore servizi digitali, con un portale Laravel per la gestione documentale, ho scoperto che il server non aveva nessun firewall attivo. Nessuno. La porta 22 (SSH) era aperta a tutto internet, la porta 3306 (MySQL) era raggiungibile dall'esterno con bind-address = 0.0.0.0, la porta 6379 (Redis) rispondeva senza autenticazione, e non c'era né ufw, né iptables, né nftables configurato. Il se... continua a leggere
Symfony 7 e Data Lake con PostgreSQL: strategie di integrazione per l'analisi avanzata dei dati

Come integrare Symfony 7 e PostgreSQL per costruire un Data Lake aziendale: processi ETL sicuri, analisi avanzate e conformità GDPR e NIS2 per la tua PMI.

Nel mio lavoro di consulente per PMI ho osservato una costante: le aziende, anche quelle medio-piccole, generano quotidianamente una mole impressionante di dati. Dati di vendita, interazioni con i clienti, log di produzione, campagne di marketing, performance dei siti web. Un vero e proprio tesoro che, tuttavia, troppo spesso rimane inutilizzato o sottoutilizzato, relegato in silos informativi o gestito con strumenti inadeguati che ne compromettono l'integrità e la sicurezza. In un proget... continua a leggere