Cesare Gallotti
Milan
Consulting, auditing and training on information security, quality management, IT governance and service management.
Mastodon: @cgallotti@infosec.exchange
Is this you? As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.
Claim your profile
Articles by Cesare Gallotti
OWASP GenAI LLM Top 10 2026
OWASP GenAI LLM Top 10 2026 sabato 29 agosto 2026 OWASP GenAI LLM Top 10 2026 OWASP ha pubblicato 2026-8-29 15:50:7 Author: blog.cesaregallotti.it(查看原文) 阅读量:9 收藏 sabato 29 agosto 2026 OWASP ha pubblicato la "OWASP GenAI LLM Top 10 2026": https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/. La versione precedente era del 2025. Gran parte delle vulnerabilità riguardano gli sviluppatori dei sistemi di GenAI LLM, ma è utile che le conoscano anche gli utilizzatori.
OWASP GenAI LLM Top 10 2026
OWASP GenAI LLM Top 10 2026 sabato 29 agosto 2026 OWASP GenAI LLM Top 10 2026 OWASP ha pubblicato 2026-8-29 15:50:7 Author: blog.cesaregallotti.it(查看原文) 阅读量:3 收藏 sabato 29 agosto 2026 OWASP ha pubblicato la "OWASP GenAI LLM Top 10 2026": https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/. La versione precedente era del 2025. Gran parte delle vulnerabilità riguardano gli sviluppatori dei sistemi di GenAI LLM, ma è utile che le conoscano anche gli utilizzatori.
Articolo sulla diffusione della ISO/IEC 27001 in Italia
Articolo sulla diffusione della ISO/IEC 27001 in Italia lunedì 29 giugno 2026 Articolo sulla diffusione della ISO/IEC 27001 in It 2026-6-29 15:52:50 Author: blog.cesaregallotti.it(查看原文) 阅读量:10 收藏 lunedì 29 giugno 2026 Segnalo un articolo scritto da me e Fabio Guasconi per il SC 27 Journal 2026. L'articolo ha titolo "The Information Security Certification Market in Italy".
Sistemi di gestione privacy: guida alla ISO/IEC 27701 aggiornata
La ISO/IEC 27701 è il punto di riferimento internazionale per i sistemi di gestione della privacy, fornendo alle organizzazioni un framework strutturato per il trattamento dei dati personali. A ottobre 2025 è stata pubblicata la seconda edizione della ISO/IEC 27701, con il nuovo titolo “Privacy information management systems — Requirements and guidance“.
Nis2, ecco le misure dell'Acn per la sicurezza delle imprese
L’ACN, con Determinazione 164179 del 14 aprile 2025 ha stabilito le misure di sicurezza minime (“obblighi proporzionati” o “misure di sicurezza di base”) per i soggetti coinvolti nelle disposizioni della direttiva NIS2. Sono state numerose le critiche mosse alle misure proposte da ACN. In estrema sintesi, queste riguardano il modello di riferimento (il Cyber security framework del NIST) e il ritorno al concetto di “misure minime” a discapito di quello di “responsabilizzazione”.
WAD e EAA: guida alle normative europee per l'accessibilità digitale
Le normative europee per accessibilità digitale rappresentano un pilastro fondamentale per garantire l’equa fruizione di contenuti e servizi online da parte di tutti gli utenti. La Web Accessibility Directive (WAD) e l’European Accessibility Act (EAA) costituiscono il quadro normativo europeo che regola questo ambito, con implicazioni significative per pubbliche amministrazioni e aziende private.
NIS 2 e recepimento italiano: regole e adempimenti per le aziende
La pubblicazione in Gazzetta Ufficiale del D.lgs. 138 del 2024 di recepimento della NIS 2 ha definitivamente chiarito gli adempimenti in carico alle organizzazioni. Ricordiamo che la direttiva ha la finalità di innalzare il livello di cibersicurezza dell’Unione europea e impone, quindi, misure di sicurezza ad alcune organizzazioni e adempimenti a ciascuno Stato membro. Rispetto alla NIS (la Direttiva 2016/1148 precedentemente in vigore, recepita in Italia dal D.lgs.
Pubblicazione ICO "Learning from the mistakes of others - A retrospective review"
Dalla newsletter di Project:IN Avvocati, segnalo che ICO ha pubblicato "Learning from the mistakes of others – A retrospective review": https://cy.ico.org.uk/about-the-ico/research-reports-impact-and-evaluation/research-and-reports/learning-from-the-mistakes-of-others-a-retrospective-review/.
ENISA Cybersecurity Threat Landscape 2023
ENISA ha pubblicato il Cybersecurity Threat Landscape 2023: https://www.enisa.europa.eu/news/eu-elections-at-risk-with-rise-of-ai-enabled-information-manipulation.
Guida CISA su Identity and Access Management
Dal SANS NewsBites del 6 ottobre 2023, segnalo la notizia "CISA and NSA: Identity and Access Management Guidance", che a sua volta rimanda alla pubblicazione "Identity and Access Management: Developer and Vendor Challenges". Questa pubblicazione non mi è sembrata molto interessante perché riassume alcune criticità, peraltro note.
European Cybersecurity Skills Framework (ECSF)
Franco Vincenzo Ferrari mi ha segnalato la pubblicazione del European Cybersecurity Skills Framework (ECSF) di ENISA: https://www.enisa.europa.eu/topics/education/european-cybersecurity-skills-framework. La pagina segnalata permette poi di scaricare l'ECSF Role Profiles document, dove sono specificati i 12 profili tipici per la cibersicurezza. Come sappiamo, questi possono essere utili per condividere la terminologia usata per le qualificazioni professionali.
ENISA "Good Practices for Supply Chain Cybersecurity"
ENISA ha pubblicato il report "Good Practices for Supply Chain Cybersecurity": https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity. Devo dire che non mi ha folgorato con contenuti innovativi. Mi sembra anzi che ripeta cose note e stranote. Certamente rispetto ad altri documenti esplicita alcune criticità e presenta misure per system integrator, fornitori di servizi IT (consulenti e servizi gestiti) e fornitori di SaaS, ma mi sembra che manchi qualcosa.
Enisa - Good Practices for Supply Chain Cybersecurity
Davide Giribaldi di Swiss Cyber Com mi ha segnalato la guida di Enisa dal titolo “Good Practices for Supply Chain Cybersecurity” e uscita a fine maggio: https://www.enisa.europa.eu/publications/good-practices-for-supply-chain-cybersecurity Riporto le considerazioni di Davide, che ringrazio: “La Guida è riferita solo all’analisi degli operatori essenziali (che poi non si chiameranno più così per la NIS2) e importanti.
IT Service Management News
La Romania è in Europa e lo so anche molto bene.Però in un mio precedente post ( http://blog.cesaregallotti.it/2023/05/accreditamento-ukas-non-piu-valido-per.html ) l'ho indicata come esempio di Paese extra europeo. Volevo scrivere Albania.Mi scuso con tutti e ringrazio Toto Zammataro per avermelo segnalato.Il post l'ho corretto dove ho potuto.
Privacy: DL 48 e semplificazioni in materia di trasparenza
Segnalo che è stato approvato il DL 48 del 2023: https://www.normattiva.it/eli/id/2023/05/04/23G00057/ORIGINAL. Nell'articolo 26 riporta alcune semplificazioni nelle informazioni da fornire al personale, introdotte dal D. Lgs. 104 del 2022 che a sua volta modificava il D. Lgs. 152 del 1997 (sulle informazioni da fornire ai lavoratori).
NIST SP 800-124 sulla sicurezza dei dispositivi mobili
Segnalo la pubblicazione della rev. 2 della SP 800-124 "Guidelines forManaging the Security of Mobile Devices in the Enterprise" del NIST:Ottima.
Risk Management e Data Modeling, una sinergia irrinunciabile
Appare oramai sempre più chiaro che, nelle organizzazioni, il risk management è un elemento irrinunciabile per l’attuazione di strategie di governance aziendale coerenti con il contesto, per la prevenzione di violazioni dei requisiti di compliance e per una preparazione efficace alla gestione degli incidenti.
Gli uomini possono fare tutto (Maggio 2023)
15 maggio. Anche oggi ho iniziato tardi un corso. Accompagno a scuola il piccolo, poi incontro una mamma di un compagno di classe del grande e ci scambiamo idee su come affrontare i compiti. La discussione mi interessa e il tempo passa... Spero che i partecipanti al corso non mandino un reclamo (il corso finirà mercoledì).
Interpretazione della Corte di giustizia UE su dati pseudonimizzati e anonimi
Segnalo questo post sulla a decisione T-557/20 del 26 aprile 2023 della Corte di Giustizia UE su dati pseudonimi e anonimi: https://www.linkedin.com/posts/maria-grassetto-1a8bb25b_cge-activity-7060175275069779968-LAWc. Copio biecamente dalla newsletter di Project:IN Avvocati: In estrema sintesi, secondo la Corte occorre ragionare sulla posizione del "ricevente" il dato personale, per indagare sia egli sia - o meno - in grado di identificare il soggetto cui quell’informazione si riferisce, e...
Sicurezza informatica e Codice degli appalti
Segnalo questo articolo dal titolo "La cyber security entra nel Codice Appalti: perché è un cambio di passo fondamentale": https://www.agend...
Accreditamento UKAS non più valido per gli appalti pubblici
Il titolo è "Appalti pubblici, Brexit taglia fuori i soggetti accreditati Ukas per le certificazioni": https://ntplusdiritto.ilsole24ore.com/art/appalti-pubblici-brexit-taglia-fuori-soggetti-accreditati-ukas-le-certificazioni-AELxQIND. La notizia l'avevo vista da un post di LinkedIn di Fabrizio Cirilli (ma il suo link puntava a una pagina del sito del Sole 24 ore con cookie wall), poi me l'ha rimandata Franco Ferrari e allora ho cercato e trovato un link senza cookie wall.
Privacy: Pagina informativa del Garante sui Dark Pattern
Il Garante ha attivato una pagina informativa sui dark pattern, ossia sulle tecniche per fare in modo che un utente prenda decisioni "inconsapevoli o non desiderate", rinunciando quindi, in ambito privacy, alle limitazioni relative alla raccolta e trattamento dei propri dati personali: https://www.garanteprivacy.it/temi/internet-e-nuove-tecnologie/dark-pattern.
Cassazione: assolta Poste Italiane per phishing
Segnalo questo articolo dal titolo "Phishing, perché la Cassazione ha assolto Poste Italiane e condannato i correntisti?": https://www.cybersecitalia.it/phishing-la-cassazione-se-cliente-truffato-la-banca-non-responsabile/24214/. Ringrazio Maurizio Tardanico che l'ha segnalato su una chat a cui partecipo.
Sicurezza delle informazioni: la nuova ISO/IEC 27005 sulla valutazione del rischio
Segnalo un mio articolo sulla nuova ISO/IEC 27005 sulla valutazione del rischio: https://www.agendadigitale.eu/sicurezza/sicurezza-delle-inf...
Privacy: sanzionata la raccolta ingannevole del consenso per marketing
Provvedimento del Garante per "trattamento di dati personali mediante l’uso di pratiche ingannevoli, e in particolare per uso di dark patterns capaci di spingere l’utente a fornire il proprio consenso per finalità di marketing e di comunicazione dei dati a terzi" (ringrazio la newsletter di Project:IN Avvocati per il riassunto): https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870014.
Stato degli standard ISO/IEC 270xx - Aprile 2023
In aprile si sono conclusi i meeting semestrali del WG 1 e del WG 5 del ISO/IEC JTC 1 SC 27. Si tratta dei gruppi che seguono le norme ISO/IEC 27001, 27002, 27005 eccetera e le norme sulla privacy, inclusa la ISO/IEC 27701. Per quanto riguarda il WG 1, le attività si sono svolte online e, in realtà, il meeting è servito a sintetizzare le attività svolte in altri incontri da ottobre.
Security-by-Design and Default Principles del CISA
Ottimo documento del CISA (Cybersecurity & infrastructure security agency degli USA) dal titolo "Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Security-by-Design and -Default": https://www.cisa.gov/news-events/alerts/2023/04/13/shifting-balance-cybersecurity-risk-security-design-and-default-principles. In poche pagine (15 in tutto, incluso indice e fuffa introduttiva) sono riportati e spiegati i principi di sviluppo e ingegnerizzazione sicuri.
Cybercrime-as-a-Service (CaaS). Il ruolo delle transazioni in criptovalute nel Darknet
Introduzione Fin dal giorno della sua caduta, a causa di un furto provocato mediante una ben congegnata tecnica di ingegneria sociale (social engineering), l’essere umano si è trovato costantemente immerso nelle attività criminose compiute dai suoi simili e nei connessi tentativi di occultare tali attività.
Breve resoconto dell'incontro di venerdì
Ciao, solo oggi vi scrivo per il resoconto di quanto fatto venerdì. Abbiamo fatto il file "20230413-Attività-per-27001-progetto complessivo.xlsx" con le cose da fare per arrivare vivi all'audit di BV. Luca ha già contattato quanti vanno contattati. Prossimi incontri il 26, 27 e 28 per gli audit interni (tranne che per il BS Cloud, spostato al 18 maggio). Il 28 sarà in presenza.
Gli uomini possono fare tutto (Aprile 2023)
"BUCATO. Ingiustamente considerato lavoro pesante, malinconico, riservato alle donne, e in special modo alle donne di servizio. In realtà ogni uomo, aiutato dalle conquiste della scienza (nailon e saponi schiumosi), dovrebbe lavare la sera quanto indossò di giorno. E ogni donna dovrebbe consacrare le sue economie all'acquisto, rateale, di una lavatrice elettrica, liberandosi, una volta per sempre, dalla tirannia delle lavandaie".
ISO 9001 Auditing Practices Group
L'ISO 9001 Auditing Practices Group esiste da 20 anni e io non avevo proprio idea che potesse esistere. Il suo sito è: https://committee.iso.org/home/tc176/iso-9001-auditing-practices-group.html. Si tratta di un gruppo informale ma ufficiale all'interno dell'ISO. Sul sito si trovano interessanti linee guida su come condurre audit e su cosa verificare nell'ambito della ISO 9001.
Zero Trust Maturity Model Version 2 del CISA
Il CISA (Cybersecurity & infrastructure security agency degli USA) pubblica cose interessanti. Recentemente, Aprile 2023, ha pubblicato la versione 2 del "Zero Trust Maturity Model": https://www.cisa.gov/zero-trust-maturity-model.
EN 17799 e certificazioni privacy
Fabio Guasconi ha tenuto un interessantissimo webinar per il Clusit dal titolo "EN 17799, impatto e nuove prospettive sulle certificazioni GDPR" (https://clusit.it/webinar/). Per accedere a slide e video bisogna essere soci Clusit (cosa che continuo a raccomandare).
Le norme tecniche avanzano (e ISO/IEC 27005)
Il 16 marzo 2023, al Security summit di Milano, ho parlato nella sessione "Le norme tecniche avanzano". Io mi sono concentrato sulle novità della ISO/IEC 27005. La presentazione è qui: https://securitysummit.it/eventi/milano-2023/sessioni/le-norme-tecniche-avan zano. Entro fine aprile dovrebbe uscire un articolo in cui approfondisco i concetti (anche se, in realtà, li ho espressi anche in altre occasioni).
IT Service Management News
Io so qualcosa di privacy e so molto poco di intelligenza artificiale (tutto quello che so viene da un bel libro, "Intelligenza artificiale e sicurezza: opportunità, rischi e raccomandazioni", gratuito, della Clusit community for security, che si trova su https://iasecurity.clusit.it/). Per questo non ho niente da dire sull'argomento, ma posso segnalare articoli sulle persone che ho apprezzo molto in questi due campi.
D. Lgs. 24 del 2023 sul whistleblowing
E' stato approvato il D. Lgs. 24 del 2023 sul whistleblowing. Per saperne di più, preferisco rimandare direttamente a un articolo di Agenda digitale: https://www.agendadigitale.eu/documenti/whistleblowing-ce-la-legge-tutto-cio -che-aziende-e-pa-devono-fare-per-adeguarsi/. Il cosiddetto whistleblowing riguarda le segnalazioni di violazioni di disposizioni normative nazionali o dell'Unione europea che ledono l'interesse pubblico o l'integrità di un'amministrazione pubblica o di un ente privato.
Schemi di certificazione europei
Copio direttamente dalla newsletter Project:IN Avvocati (sempre ottima) questa notizia: L'ENISA (Agenzia per la Cybersicurezza dell'UE) ha annunciato lo scorso 19 marzo il lancio di una nuova piattaforma il cui obiettivo è promuovere e diffondere informazioni sui sistemi di certificazione UE in materia di cybersicurezza.
D. Lgs. 26 del 2023 sul Codice del consumo
Il D. Lgs. 26 del 2023 recepisce la Direttiva (UE) 2019/2161 e modifica il Codice al consumo. Mi sembra che tratti di attività commerciali online, ma non di sicurezza delle informazioni. Ci sono anche richiami al GDPR e al D. Lgs. 196, ma non mi sembrano significativi. Comunque sia, segnalo un articolo in merito: https://www.altalex.com/documents/2023/03/20/codice-consumo-rinnova-raccogli ere-sfide-mercati-digitali. Su www.normattiva.it il D.Lgs. 26 e il Codice del Consumo (D. Lgs.
IT Service Management News
E' stato pubblicato il rapporto Clusit 2023: - https://clusit.it/rapporto-clusit/. Enos D'Andrea, che ringrazio, mi ha segnalato le cose per lui più interessanti. Ne approfitto e le segnalo: - Pag. 157: "Nel 2021 le organizzazioni che hanno pagato il riscatto hanno recuperato mediamente solo il 61% dei propri dati, rispetto al 65% del 2020, mentre solo il 4% è riuscita a recuperare l'intera quantità di risorse inficiate. (fonte: Sophos "The State of Ransomware 2022") - Pag.
NIS 2 e frammentazione normativa
Segnalo questo articolo dal titolo "Nel labirinto delle norme Ue sulla cybersicurezza: come districarsi nella Direttiva NIS2": https://www.agendadigitale.eu/sicurezza/nel-labirinto-delle-norme-ue-sulla-c ybersicurezza-criticita-attuali-e-scenari-futuri/. Questo articolo mi conforta perché conferma le difficoltà di lettura della NIS2 e non solo.
Sicurezza informatica di base
Pierluigi Stefli di Datapro Srl mi ha segnalato due iniziative per fornire indicazioni sulla sicurezza informatica. Si tratta di materiale di base, destinato soprattutto ai "non professionisti della sicurezza". Il primo è Barry: https://www.ibarry.ch/it/. Trovo interessante la parte relativa ai controlli di sicurezza, che mette a disposizione strumenti utili. Il secondo è S-U-P-E-R: https://www.s-u-p-e-r.ch/it/. In questo c'è anche un quiz per verificare il proprio livello di comprensione.
IT Service Management News
L'Agenzia per la cybersicurezza nazionale ha cambiato direttore. E' stato mandato via Roberto Baldoni, è arrivato Bruno Frattasi. Andrea Maria Tacchi di DNV mi diede la notizia a inizio marzo e mi segnalò questo articolo: https://www.wired.it/article/baldoni-agenzia-cybersicurezza-dimissioni-soldi -pnrr/. A qualcuno interessa il mio parere?
IT Service Management News
La newsletter è spedita da anni con MailUp, offerta da Team Quality S.r.l. (per questo ringrazio Gianpiero Fuselli). Voglio provare a spedirla con Substack, dove adesso trovate la newsletter di febbraio: - https://infosecandquality.substack.com/. Questo mese proverò a migrare gli iscritti e quindi invito quanto non vogliono usare Substack di disiscriversi quanto prima.
WhatsApp e i messaggi rubati
Claudio Sartor mi ha segnalato la notizia dei messaggi WhatsApp resi pubblici nonostante la crittografia end-to-end: https://attivissimo.blogspot.com/2023/03/centomila-messaggi-whatsapp-spasso- ma.html. Il fatto è che un politico aveva esportato i propri messaggi per darli a una giornalista a cui aveva chiesto di scrivere un libro, usando anche quei messaggi per ricostruire eventi.
IT Service Management News
Jenkins è uno strumento molto diffuso per la continuous integration del software. Si tratta quindi di un "software di supporto". E' stata identificata una vulnerabilità grave in una versione precedente ma ancora in uso: - https://www.securityweek.com/jenkins-server-vulnerabilities-chained-for-remo te-code-execution/. Lo riporto perché è importante ricordarsi di prestare attenzione alle vulnerabilità presenti anche nei software di supporto. Notizia presa da SANS NewsBites.
Gli uomini possono fare tutto
La mia amica Viviana, con cui parlo anche delle questioni organizzative con i bambini, mi ha chiesto di ritagliarmi un angolino della mia newsletter e del mio blog per raccontare come un uomo, ossia io, riesce a dedicarsi alla famiglia senza per questo essere discriminato, come invece succede alle donne. Infatti succede che, quando io chiedo di finire le riunioni alle 16 per poter andare a prendere il figlio a scuola, tutti sono disponibili e, anzi, mi fanno i complimenti per l'impegno.
IT Service Management News
Claudio Sartor mi scrive: sebbene laterale rispetto alla sicurezza delle informazioni propriamente intesa, ti segnalo questo interessante articolo su come una funzionalità, nata per mettere in sicurezza i dispositivi in caso di furto o smarrimento, si riveli un boomerang per il mercato della seconda mano: - https://www.guerredirete.it/apple-scuote-il-movimento-sul-diritto-alla-ripar azione/.
Esempi di notifiche di incidenti (buone e cattive)
Segnalo (dopo averlo visto dal SANS NewsBites) questo articolo dal titolo "Best and worst data breach responses highlight the do's and don'ts of IR": - https://www.csoonline.com/article/3689169/data-breaches-some-of-the-best-and -worst-among-recent-responses.html. Riassuntone: in caso di incidente, la cosa migliore è notificare tempestivamente ai propri clienti in modo completo e trasparente e con i giusti dettagli tecnici, evitando di minimizzare.
IT Service Management News
"Supply Chain Security: l'importanza di conoscere e gestire i rischi della catena di fornitura" è il titolo dell'ultimo lavoro della "CLUSIT Community for Security", di cui faccio parte (sarà scaricabile dal 17 marzo): - https://supplychainsecurity.clusit.it/ . I contributi sono tanti e quindi il libro è pieno di cose interessanti. Io ho partecipato alla parte di cura e quindi spero che troviate convincente come i contributi sono stati consolidati.
Vademecum sull'uso dei social media
Il Consultative Council of European Judges (CCJE, o Consiglio consultivo dei giudici europei del Consiglio d'Europa) ha adottato a dicembre 2022 la "Opinion No. 25 (2022) on freedom of expression of judges". Essa riporta anche indicazioni sull'uso dei social media: - https://www.coe.int/en/web/ccje/-/freedom-of-expression-of-judges-consultative-council-of-european-judges-adopts-new-opinion. La notizia, di per sé, non sarebbe particolarmente significativa.
Show More
loading
Actions
Is this you?
As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work.Get in touch with Cesare
Contact Cesare, search articles and posts on X, monitor coverage, and track replies from one place.
Learn more about Muck Rack