Un piccolo glossario per orientarsi tra le sigle che ricorrono in comunicazioni, norme e articoli sulla sicurezza informatica. Da tenere a portata di mano.
Chi si avvicina alla sicurezza informatica viene presto sommerso da sigle. Questo glossario raccoglie quelle che compaiono più spesso in norme, comunicazioni interne e notizie, spiegate in poche parole.
ACN: Agenzia per la Cybersicurezza Nazionale. Istituita nel 2021, è l'autorità nazionale per la cybersicurezza e l'autorità competente per la NIS2 e per il Perimetro di sicurezza nazionale cibernetica.
CSIRT Italia: Computer Security Incident Response Team, il gruppo di risposta agli incidenti informatici presso l'ACN. Riceve le notifiche degli incidenti e pubblica avvisi su minacce e vulnerabilità.
AgID: Agenzia per l'Italia Digitale. Coordina la trasformazione digitale della pubblica amministrazione e ha emanato, tra l'altro, le misure minime di sicurezza ICT per la PA.
Garante: il Garante per la protezione dei dati personali, l'autorità che vigila sul rispetto del GDPR in Italia e a cui si notificano le violazioni di dati personali.
ENISA: Agenzia dell'Unione europea per la cibersicurezza, che supporta gli Stati membri e le istituzioni europee.
CVCN: Centro di valutazione e certificazione nazionale, presso l'ACN, che effettua verifiche tecniche su alcune forniture tecnologiche destinate ai soggetti del Perimetro.
GDPR: General Data Protection Regulation, il regolamento europeo 2016/679 sulla protezione dei dati personali.
NIS2: la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138/2024.
AI Act: il regolamento europeo 2024/1689 sull'intelligenza artificiale.
CRA: Cyber Resilience Act, il regolamento europeo 2024/2847 sui requisiti di sicurezza dei prodotti con elementi digitali.
Perimetro (PSNC): il Perimetro di sicurezza nazionale cibernetica, istituito nel 2019 per i soggetti che svolgono funzioni essenziali per lo Stato.
DPO (o RPD): Data Protection Officer, il responsabile della protezione dei dati previsto dal GDPR.
RTD: Responsabile per la transizione al digitale, figura prevista nelle pubbliche amministrazioni.
CISO: Chief Information Security Officer, il responsabile della sicurezza delle informazioni in un'organizzazione.
MFA o 2FA: autenticazione a più fattori, o a due fattori. Oltre alla password serve un secondo elemento, come un codice o una notifica sul telefono.
OTP: One-Time Password, il codice valido una sola volta ricevuto via SMS o generato da un'app.
VPN: Virtual Private Network, un collegamento cifrato che permette di accedere in sicurezza alla rete dell'organizzazione da remoto.
CVE: Common Vulnerabilities and Exposures, il codice che identifica una vulnerabilità pubblicamente nota.
CVSS: il punteggio da 0 a 10 che indica la gravità tecnica di una vulnerabilità.
Phishing: truffa che usa messaggi ingannevoli per ottenere credenziali, dati o pagamenti. Le varianti via SMS, telefono e QR code si chiamano smishing, vishing e quishing.
Ransomware: programma dannoso che cifra i dati e chiede un riscatto, spesso dopo averne rubato una copia.
Zero-day: vulnerabilità sfruttata dagli attaccanti prima che esista una correzione.
Data breach: violazione di dati personali, che può riguardare riservatezza, integrità o disponibilità.
Patch: aggiornamento che corregge un difetto o una vulnerabilità di un software.
Passkey: metodo di accesso senza password, basato su chiavi crittografiche conservate sul dispositivo e resistente al phishing.
BYOD: Bring Your Own Device, l'uso di dispositivi personali per lavoro.
Shadow IT: strumenti e servizi usati in un'organizzazione senza l'autorizzazione di chi gestisce i sistemi.
Le sigle cambiano e si moltiplicano, ma dietro ognuna c'è un concetto semplice. Conoscerle aiuta a leggere norme e comunicazioni senza sentirsi esclusi, e a fare le domande giuste a chi si occupa di sicurezza.
La direttiva europea sulla sicurezza delle reti riguarda migliaia di aziende ed enti italiani. Una guida essenziale per capire se la tua organizzazione è dentro e cosa deve fare.
Il responsabile della protezione dei dati è una figura prevista dal GDPR, obbligatoria per le pubbliche amministrazioni e per molte organizzazioni private. Cosa fa e quando conviene chiedere il suo parere.
Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.