Quando si parla di cybersecurity si entra in un territorio fatto di sigle e anglicismi che spesso disorientano e che, per chi non è del settore, rischiano di trasformare ogni conversazione in un esame.
Oggi ci caliamo nei panni di tutte quelle realtà che vogliono mettere in sicurezza il proprio business ma non hanno alle spalle conoscenze strutturate per orientarsi tra offerte, audit e report tecnici con piena consapevolezza.
In questo articolo, quindi, proponiamo un glossario di cybersecurity introduttivo ai principali termini che si trovano in approfondimenti, offerte o contratti relativi al mondo della sicurezza informatica.
Partiamo dalla definizione cornice: cos’è la Cybersecurity? In senso lato la potremmo definire come l‘insieme delle pratiche e delle tecnologie che proteggono sistemi e dati aziendali da accessi non autorizzati, attacchi e incidenti informatici.
1. Malware e ransomware
Sono i due termini più ricorrenti quando si parla di minacce informatiche. Il primo è la categoria, il secondo la sua declinazione oggi più temuta dalle aziende.
Malware
Il malware (da malicious software) è la definizione ombrello per qualsiasi programma progettato per danneggiare, spiare o prendere il controllo di un sistema. Comprende famiglie diverse per comportamento e obiettivo: i virus, che si replicano infettando altri file; i trojan, che si mascherano da software legittimi per aprire una porta d’accesso; gli spyware, che raccolgono informazioni all’insaputa dell’utente.
Ransomware
Il ransomware è il malware che cifra i dati aziendali rendendoli inaccessibili e chiede un riscatto per restituirli. Le varianti moderne applicano la cosiddetta doppia estorsione: prima di cifrare, gli attaccanti copiano i dati e minacciano di pubblicarli, così il pagamento viene richiesto anche a chi dispone di backup funzionanti.
Per l’impatto economico e operativo che comporta, è una delle minacce che oggi preoccupano di più le imprese italiane.
2. Phishing e ingegneria sociale
Non tutti gli attacchi passano dalla tecnologia. La maggior parte, nonché quelli di maggior successo, passano dalle persone, ed è qui che entra in gioco l’ingegneria sociale, ossia l’arte di manipolare qualcuno per fargli compiere un’azione dannosa, come cliccare un link o autorizzare un pagamento.
Phishing
Il phishing è la forma più diffusa di ingegneria sociale: email fraudolente che imitano mittenti affidabili (banche, fornitori, colleghi) per sottrarre credenziali o dati sensibili, oppure per indurre a scaricare un allegato infetto.
Smishing e vishing
Sono le varianti del phishing che sfruttano canali diversi dall’email: lo smishing arriva via SMS o app di messaggistica, il vishing tramite telefonate. Quest’ultimo è sempre più insidioso da quando l’intelligenza artificiale permette di clonare voci in modo realistico.
BEC, la truffa del CEO
La Business Email Compromise (BEC) è la versione mirata e “artigianale” del phishing: l’attaccante studia l’azienda, si finge un dirigente o un fornitore abituale e chiede un bonifico urgente o una modifica di IBAN. Niente allegati infetti, solo un’e-mail credibile al momento giusto.
3. Credenziali esposte, dark web e furto d’identità
Una parte consistente degli attacchi non inizia con una violazione, ma con un login corretto. Il problema è che a effettuarlo non è il legittimo proprietario dell’account.
Credenziali esposte
Sono username e password finiti in circolazione dopo la violazione di un servizio online. Se un dipendente ha usato la stessa password aziendale anche su un sito esterno che ha subito un data breach, quella password è di fatto pubblica, anche se l’azienda non se ne è mai accorta.
Credential stuffing
È la tecnica che sfrutta le credenziali esposte: software automatici provano milioni di combinazioni rubate su altri servizi, contando sul fatto che molte persone riutilizzano le stesse password. Non serve “bucare” nulla: basta provare finché una combinazione funziona.
Dark web
È la porzione di internet non indicizzata dai motori di ricerca e accessibile solo con strumenti specifici, dove le credenziali rubate vengono vendute e scambiate. Esistono servizi di monitoraggio che verificano se i domini e le identità aziendali compaiono in questi circuiti: è esattamente ciò che facciamo con il servizio di credenziali esposte e identità violate della nostra divisione cybersecurity Orazero.
4. Autenticazione e Zero Trust
Se le credenziali sono il punto debole, il modo in cui si gestiscono gli accessi diventa la prima linea di difesa.
MFA, autenticazione a più fattori
La Multi-Factor Authentication richiede, oltre alla password, almeno un secondo elemento di verifica: un codice temporaneo, una notifica su app, un’impronta digitale. In questo modo una password rubata, da sola, non basta più per entrare. È tra le misure di sicurezza con il miglior rapporto tra costo e beneficio, e non a caso figura tra i primi requisiti richiesti dalle polizze assicurative cyber.
Single Sign-On (SSO) e Passkey
Il SSO permette di accedere a più applicazioni aziendali con un’unica autenticazione. Riduce la proliferazione di password e semplifica la vita agli utenti, a patto che l’accesso centrale sia protetto da MFA, altrimenti si concentra il rischio in un unico punto.
La passkey, invece, è una forma di autenticazione a più fattori che usa la crittografia a chiave pubblica in combinazione con dati biometrici come l’impronta digitale e il riconoscimento facciale o un PIN del dispositivo per verificare l’identità del proprietario di un account. Le passkey sostituiscono le password tradizionali.
Privilegio minimo
Principio secondo cui ogni utente deve avere solo i permessi strettamente necessari al proprio lavoro. Un account amministratore compromesso fa molti più danni di un account standard; pertanto, limitare i privilegi limita il raggio d’azione di chi attacca.
Zero Trust
È il modello che ribalta la logica tradizionale del perimetro aziendale: “non fidarsi mai, verificare sempre”. Nessun utente o dispositivo è considerato affidabile per il solo fatto di trovarsi nella rete interna: ogni accesso viene verificato, ogni volta. È un approccio, prima ancora che una tecnologia, e guida la progettazione delle architetture di sicurezza moderne.
5. Vulnerabilità, exploit e patch
Tre termini che descrivono le fasi dello stesso ciclo: la falla, il suo sfruttamento, la sua correzione.
| Fase | Cos’è | In pratica |
|---|---|---|
| Vulnerabilità | Un difetto in un software o in una configurazione che può essere sfruttato | La porta lasciata socchiusa |
| Exploit | Il codice o la tecnica che sfrutta concretamente la vulnerabilità | Il grimaldello costruito per quella porta |
| Patch | L’aggiornamento rilasciato dal produttore che corregge la falla | La serratura riparata |
Vulnerabilità e CVE
Le vulnerabilità note vengono catalogate nel registro pubblico CVE (Common Vulnerabilities and Exposures) con un codice univoco, a cui viene associato un punteggio di gravità (il CVSS). Quando in un report di sicurezza si legge “CVE-2024-XXXX”, si sta parlando di una falla censita e documentata.
Exploit e zero-day
Un caso particolare è lo zero-day: una vulnerabilità sfruttata dagli attaccanti prima che il produttore ne sia a conoscenza, quindi, quando non esiste ancora una patch. Il nome deriva proprio da questo: il fornitore ha avuto “zero giorni” per correggerla.
Patch management
È il processo con cui l’azienda applica gli aggiornamenti di sicurezza in modo sistematico e tempestivo. Sembra banale, ma una quota rilevante degli attacchi andati a segno sfrutta vulnerabilità per cui la patch esisteva da mesi. Il problema, nella maggior parte dei casi, non è il ritardo, non la falla in sé.
6. Crittografia
La crittografia è la tecnica che rende i dati illeggibili a chi non possiede la chiave per decifrarli. Compare tipicamente nelle due seguenti forme.
Cifratura a riposo e in transito
La cifratura a riposo protegge i dati archiviati su server, dischi e backup. Se qualcuno sottrae fisicamente un supporto o accede allo storage, trova solo dati incomprensibili. La cifratura in transito protegge invece i dati mentre viaggiano sulla rete, ad esempio tra la sede aziendale e il cloud. Una protezione seria e ottimizzata le prevede entrambe.
Gestione delle chiavi
Le chiavi di cifratura sono, di fatto, le chiavi di casa. Chi le possiede può leggere i dati. Per questo va sempre chiarito chi le custodisce, dove e con quali procedure. Il tema si intreccia con la localizzazione dei dati e la sicurezza degli ambienti cloud.
7. Firewall, VPN e segmentazione
Sono i mattoni della sicurezza di rete, dal momento che stabiliscono chi può parlare con chi e attraverso quali canali.
Firewall e NGFW
Il firewall è il dispositivo che filtra il traffico tra la rete aziendale e l’esterno in base a regole predefinite. I Next Generation Firewall (NGFW) aggiungono l’ispezione del contenuto del traffico, il riconoscimento delle applicazioni e la prevenzione delle intrusioni. Esistono anche in formula gestita, come Firewall as a Service (FWaaS), dove configurazione e monitoraggio sono affidati al provider.
VPN
La Virtual Private Network crea un canale cifrato tra il dispositivo dell’utente e la rete aziendale, permettendo di lavorare da remoto come se si fosse in ufficio. Attenzione però, perché la VPN protegge il canale, non il dispositivo. Se il PC di casa è compromesso, la VPN gli spalanca la porta della rete aziendale.
Segmentazione di rete
Consiste nel dividere la rete in zone separate, così che un attaccante entrato in un segmento non possa muoversi liberamente verso gli altri. È il principio delle porte tagliafuoco, grazie alle quali l’incendio resta confinato. Diventa cruciale negli ambienti industriali, dove le reti di produzione (OT) vanno isolate da quelle d’ufficio (IT).
8. EDR, MDR, XDR e SIEM: il livello di rilevamento e risposta
L’antivirus tradizionale confronta i file con un elenco di minacce note. Le sigle nel titolo di questa sezione, invece, descrivono l’evoluzione di quel modello. Si tratta, infatti, di sistemi che osservano i comportamenti e reagiscono alle anomalie, invece di limitarsi a riconoscere firme già catalogate.
| Sigla | Cosa copre | Chi la gestisce |
|---|---|---|
| EDR | Endpoint: PC, server, dispositivi | L’azienda (o il suo IT) |
| MDR | Gli stessi ambiti dell’EDR, con analisti che monitorano e intervengono | Il provider, H24 |
| XDR | Endpoint, email, rete, cloud e identità, correlati tra loro | L’azienda o il provider (Managed XDR) |
EDR
L’Endpoint Detection and Response (EDR) monitora costantemente i dispositivi aziendali alla ricerca di comportamenti sospetti, non solo di firme note. In pratica, un processo che cifra file a raffica viene bloccato anche se il malware non è mai stato visto prima.
MDR e XDR
L’MDR (Managed Detection and Response) aggiunge all’EDR la componente umana: un team di analisti che monitora gli alert, li interpreta e interviene, tipicamente H24. L’XDR (Extended Detection and Response) estende invece la visibilità oltre gli endpoint, correlando segnali da e-mail, rete, cloud e identità per ricostruire l’attacco nel suo insieme.
SIEM e UEBA
Il SIEM (Security Information and Event Management) è la piattaforma che raccoglie e correla i log di tutta l’infrastruttura, trasformando milioni di eventi in segnalazioni utili. La UEBA (User and Entity Behavior Analytics) vi aggiunge l’analisi comportamentale: impara com’è la normalità di utenti e sistemi e segnala gli scostamenti, come un accesso alle 3 di notte da un paese in cui l’azienda non opera.
Il luogo dove queste tecnologie prendono vita è il SOC, il presidio di sicurezza che ne interpreta i segnali. Ne abbiamo parlato in dettaglio nell’articolo dedicato al SOC e al monitoraggio H24 e nel glossario Data Center, dove abbiamo chiarito la differenza tra NOC e SOC.
9. Data breach e Incident Response
Nessuna difesa azzera il rischio. Per questo contano anche i termini che descrivono cosa succede quando qualcosa va storto.
Data breach
È la violazione di sicurezza che comporta la distruzione, la perdita, la modifica o l’accesso non autorizzato a dati personali. Il punto che ogni titolare d’azienda deve conoscere è l’obbligo normativo: il GDPR (art. 33) impone di notificare la violazione al Garante entro 72 ore dal momento in cui se ne viene a conoscenza, salvo che sia improbabile un rischio per i diritti delle persone coinvolte. Se il rischio è elevato, va informato anche chi ha subito la violazione.
Incident Response
È il processo strutturato con cui l’azienda gestisce un incidente informatico: identificazione dell’attacco, contenimento per fermarne la propagazione, eradicazione della minaccia, ripristino dei sistemi e analisi finale per evitare che si ripeta. La differenza tra un incidente gestito e un disastro sta quasi sempre nell’esistenza di un piano preparato prima, non improvvisato durante. Abbiamo dedicato al tema un approfondimento specifico.
10. Le sigle della compliance: NIS2, GDPR, DORA
Chiudiamo con tre sigle normative che compaiono sempre più spesso in audit, questionari dei clienti e richieste delle assicurazioni.
NIS2 è la direttiva europea sulla cybersecurity (Direttiva UE 2022/2555), recepita in Italia con il d.lgs. 138/2024: impone obblighi di gestione del rischio e notifica degli incidenti a un perimetro molto ampio di imprese, con responsabilità dirette per gli organi di vertice.
GDPR è il regolamento europeo sulla protezione dei dati personali (Reg. UE 2016/679): non è una norma di cybersecurity in senso stretto, ma impone misure di sicurezza adeguate e l’obbligo di notifica dei data breach che abbiamo visto al punto 9.
DORA è il regolamento sulla resilienza operativa digitale del settore finanziario (Reg. UE 2022/2554), applicabile dal 17 gennaio 2025: riguarda banche, assicurazioni e intermediari, ma tocca anche i loro fornitori tecnologici.
FAQ — Glossario Cybersecurity: le domande più frequenti
In questa sezione rispondiamo ad alcune delle domande che riceviamo più frequentemente quando si parla di sicurezza informatica.
Il malware è la categoria generale che comprende tutti i software dannosi: virus, trojan, spyware e altri. Il ransomware è un tipo specifico di malware che cifra i dati della vittima e chiede un riscatto per restituirli, spesso minacciando anche di pubblicare le informazioni sottratte. Ogni ransomware è quindi un malware, ma non tutti i malware sono ransomware.
La MFA richiede, oltre alla password, almeno un secondo elemento di verifica per accedere a un account: un codice temporaneo, una notifica su app o un dato biometrico. Serve perché una password rubata o esposta, da sola, non è più sufficiente per entrare. È considerata tra le misure di sicurezza con il miglior rapporto tra costo di implementazione ed efficacia.
Il Vulnerability Assessment (VA) è una scansione, in larga parte automatizzata, che identifica e classifica le vulnerabilità note di sistemi e applicazioni. Il Penetration Test (PT) è una simulazione di attacco condotta da specialisti che tentano concretamente di sfruttare le falle per verificare fin dove potrebbe arrivare un attaccante reale. Il VA fotografa le debolezze, il PT ne dimostra l’impatto; un percorso di sicurezza maturo li prevede entrambi. Anche in questo caso, il nostro articolo dedicato può aiutare.
Un data breach è una violazione di sicurezza che comporta la distruzione, la perdita, la modifica o l’accesso non autorizzato a dati personali. Il GDPR, all’articolo 33, impone al titolare del trattamento di notificare la violazione al Garante per la protezione dei dati personali entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile un rischio per i diritti e le libertà delle persone coinvolte.
Zero Trust è un modello di sicurezza basato sul principio “non fidarsi mai, verificare sempre”: nessun utente o dispositivo è considerato affidabile per il solo fatto di trovarsi all’interno della rete aziendale. Ogni richiesta di accesso viene verificata e autorizzata singolarmente, riducendo la possibilità che un attaccante entrato nel perimetro possa muoversi liberamente.
Esistono servizi di Cyber Threat Intelligence che monitorano dark web e circuiti di scambio per verificare se domini, e-mail e credenziali aziendali compaiono in database compromessi. La nostra divisione cybersecurity Orazero offre servizi dedicati di monitoraggio delle credenziali esposte e delle identità violate, con segnalazione tempestiva e supporto nella risposta.
Perché affidarsi alla cybersecurity di Planetel
Attraverso la nostra divisione cybersecurity Orazero abbiamo le competenze e le risorse per accompagnare il cliente nella messa in sicurezza della sua azienda e dei suoi dati. Una postura di sicurezza ottimizzata e su misura, che parte sempre dalle specifiche esigenze.
Se vuoi capire qual è il livello di esposizione della tua azienda o cosa prevede davvero il tuo contratto di sicurezza attuale, siamo disponibili per un confronto diretto. Puoi contattare la nostra area Cloud e Cybersecurity all’indirizzo [email protected] oppure al numero 035 204461.