Stefano Gazzella, Autore presso Red Hot Cyber

Red Hot Cyber

Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.

Autore: Stefano Gazzella

Classroom non è una piazza! L’insegnante chiede un colloquio con i genitori e scatta il data breach

Stefano Gazzella 08/12/2025

Fino a che punto per un insegnante è possibile giustificare l’esposizione dei dati degli studenti facendo ricorso alla scusa della “finalità educativa“? Nel provv. n. 583 del 9 ottobre 2025 dell’Autorità Garante per la protezione dei dati personali è affrontato il caso di un reclamo riguardante la pubblicazione all’interno della piattaforma di Google Classroom da parte di un insegnante di alcuni messaggi nei quali erano richiesti colloqui urgenti con i genitori di tre alunni. Rendendo di fatto questi messaggi accessibili non solo agli studenti, ma anche a tutti i genitori. A fronte delle rimostranze di uno dei genitori, la risposta dell’insegnante è

La verità scomoda sul DPO: il problema non è l’IT… è proprio lui!

Stefano Gazzella 02/12/2025

Il DPO, ma anche il consulente privacy, interagisce in modo significativo con il mondo dell’IT. Purtroppo non sempre lo fa in modo corretto, soprattutto perché alcuni falsi miti provocano quel rumore di fondo che è causa di una pessima comunicazione. Molto spesso per una combinazione fra un’incerta definizione di ruoli e responsabilità e la carenza di risorse. Che non sono limitate alla moneta sonante, ma contemplano anche una certa dose d’attenzione e forza d’azione. L’incertezza del perimetro d’azione di una funzione di protezione dei dati personali come quella del DPO talvolta è alimentata da parte dello stesso professionista che, più per malafede

Non è il dark web a vendere i tuoi dati. Sei tu che li metti in saldo ogni giorno!

Stefano Gazzella 12/11/2025

Fatto spiacevole: quello dei dati personali è un mercato molto appetibile e di particolare valore per i cybercriminali, per motivi tutt’altro che difficili da immaginare. Non parliamo solo di scam o furti d’identità, ma di un complesso di attività illecite che possono trovare impiego nei modi più disparati. Questo riguarda sia i dati esposti online sia quelli reperiti all’interno dei marketplace del dark web, con il comune intento di realizzare dei guadagni diretti o indiretti. Appreso che un utilizzo indesiderato dei nostri dati personali esiste ed è anzi una buona fetta di mercato per i cybercriminali, a questo punto, potremmo ritenere che

La favola di Borgomastro che pensò di bandire le accette… ma poi arrivarono le Seghe

Stefano Gazzella 09/11/2025

C’era una volta una Città che aveva un Bosco Magico. Era felice di averlo, anche un po’ orgoglioso. Motivo per cui tutti i cittadini facevano volentieri meno a qualche piccola comodità per mantenerlo al sicuro e non si lamentavano più di tanto. E chi non voleva far rinunce, veniva gentilmente invitato ad andarsene. Prima dai vicini, poi dalle autorità. Tutti così potevano contare sempre sul fatto che la maggioranza non solo teneva al Bosco Magico, ma che si sarebbe sempre prodigata per difenderlo. Ad ogni costo. Alcuni criminali, però, in tempo di notte decisero di fare incetta di un po’ di quel

La leggenda dell’amministratore di sistema: vivo, operativo e (forse) nominato bene

Stefano Gazzella 28/10/2025

Chiarito oltre ogni dubbio che l’amministratore di sistema è sopravvissuto al GDPR e anzi lotta assieme al titolare per la sicurezza dei dati (personali e non), è bene approfondire quella nomina spesso sventolata, imposta, somministrata, controfirmata ma raramente riletta o compresa appieno. Sia da parte dell’organizzazione che la predispone che della persona – perché il ruolo è attribuito ad una persona fisica, ricordiamoci bene – che la riceve. Non basta infatti una pigra affermazione del tipo LALEGGELOPREVEDE (ma va?!) per rendere decente un adempimento documentale in materia di protezione dei dati personali, dal momento che la sua funzione tipica nel sistema di

Errore umano e data breach: la sanzione scatta se manca una capacità di gestione.

Stefano Gazzella 16/10/2025

Nel momento in cui una violazione di sicurezza che coinvolge dati personali (anche detta: data breach) è riconducibile al comportamento degli operatori, gli scenari che troviamo sul podio sono in seconda posizione l’azione dolosa e, al primo posto, quel famigerato errore umano. Mentre il primo scenario però giustamente allarma le organizzazioni quel che basta per far rivedere la propria postura di sicurezza, dal momento che sono ben motivate a svolgere azioni di rimedio affinché tale evento non si ripresenti, il secondo viene sottovalutato il più delle volte. Normalizzato, persino. Anche perché all’interno del termine ombrello dell’errore umano annoveriamo una serie di fattori

Il veleno della curiosità e l’antidoto della cyber hygiene: una ricetta da ingegneri sociali

Stefano Gazzella 16/10/2025

La curiosità, vecchia canaglia. Quella che da tempo fa cliccare link o aprire allegati in modo decisamente improvvido. Dopotutto è una di quelle leve che i cybercriminali conoscono bene e non si fanno problemi ad inserire all’interno delle campagne di phishing. E funziona maledettamente bene, soprattutto quando le reti da pesca sono gettate su una larga scala di destinatari. Dopotutto, finché un metodo funziona perché cambiarlo? Certo, nel tempo tutto sta nel progettare la giusta esca attraverso le tecniche di ingegneria sociale. Ma quel che conta è preparare un bel bait che attiri l’attenzione, solletichi un interesse e induca all’azione di aprire

Nel designare il DPO, l’incarico non dev’essere un segreto!

Stefano Gazzella 08/10/2025

La designazione del DPO avviene seguendo la procedura prevista dall’art. 37 par. 7 GDPR, per cui è necessario svolgere due adempimenti: pubblicare i dati di contatto e comunicare gli stessi all’autorità di controllo. Questo significa pertanto che un incarico formale è una condizione necessaria ma non sufficiente, motivo per cui il Garante Privacy si è più volte espresso a riguardo sanzionando per lo più enti pubblici per la mancanza di questi ulteriori passaggi. Passaggi che, beninteso, devono essere intesi come tutt’altro che meri formalismi dal momento che il loro adempimento consente di porre alcuni dei presupposti fondamentali per garantire l’efficace attuazione dei

NIS 2: arriva il referente CSIRT, il vero braccio operativo della sicurezza informatica italiana

Stefano Gazzella 07/10/2025

Con la determinazione del 19 settembre 2025, ACN introduce con l’art. 7 la figura del referente CSIRT all’interno degli adempimenti previsti dalla NIS 2. O, per meglio dire, dal decreto di recepimento della direttiva in Italia. Mentre il punto di contatto è la persona fisica designata dal soggetto NIS che ha il compito di curare l’attuazione delle disposizioni del decreto NIS per conto del soggetto stesso, il referente CSIRT è una persona delegata da questi che ha il compito di interloquire con lo CSIRT Italia, e di effettuare le notifiche degli incidenti e delle informazioni pertinenti. Le qualità professionali di questa figura

Autore: Stefano Gazzella

Categorie