Benvenuto. Quando un'organizzazione porta la posta, i documenti o un gestionale in cloud, una parte del lavoro di sicurezza passa davvero al fornitore: i data center, l'hardware, la rete fisica, spesso il sistema operativo e l'applicazione stessa. Un'altra parte non passa mai: chi può entrare, con quali permessi, con quali impostazioni, dove finiscono i dati, chi tiene le chiavi, chi guarda i registri.

È la distinzione che i grandi fornitori chiamano responsabilità condivisa, e la sintesi più utile è questa: il fornitore risponde della sicurezza del cloud, il cliente della sicurezza nel cloud. Gli incidenti documentati degli ultimi anni nascono quasi tutti nella seconda metà: un ruolo con troppi permessi, un account senza secondo fattore, un archivio lasciato pubblico, un registro che nessuno aveva attivato. Nessun contratto trasferisce quella metà.

Il percorso tiene insieme le due facce del problema. Quella tecnica, cioè identità, configurazione, dati, chiavi, registri e risposta agli incidenti. E quella che si gioca prima e intorno alla tecnica: la scelta del fornitore, il contratto, gli obblighi della NIS2 e del decreto italiano, del GDPR, del Data Act e, per il settore finanziario, di DORA, e la strategia di uscita senza la quale un servizio cloud diventa una dipendenza.

Le esercitazioni seguono un caso unico: Corriere Brivio, un operatore di servizi postali e di corriere soggetto importante NIS, che porta in cloud posta, documenti, il gestionale delle spedizioni e una parte della sua infrastruttura. Un caso costruito, con i problemi veri di chi lo fa oggi.

Obiettivi del percorso

Al termine del percorso sarai in grado di:

• distinguere per IaaS, PaaS e SaaS che cosa resta in capo al cliente e collocare la propria organizzazione e i propri fornitori negli obblighi di NIS2, GDPR, Data Act e DORA (Modulo 1);
• progettare identità e accessi nel cloud con autenticazione resistente al phishing, privilegio minimo, account di emergenza e governo delle identità delle applicazioni (Modulo 2);
• tenere sotto controllo la configurazione con riferimenti, controllo continuo della postura, guardrail e infrastruttura come codice verificata (Modulo 3);
• proteggere i dati con classificazione, cifratura, gestione delle chiavi e backup resistenti, e valutare le scelte tecniche anche alla luce delle regole sui trasferimenti (Modulo 4);
• attivare e conservare i registri che servono, rilevare gli abusi e rispondere a un incidente in cloud rispettando i tempi di notifica (Modulo 5);
• scegliere e contrattualizzare un fornitore, valutarne le certificazioni, governare il rischio di concentrazione e preparare una strategia di uscita praticabile (Modulo 6).

A chi si rivolge e prerequisiti

Il percorso si rivolge a chi progetta, gestisce o acquista servizi cloud: responsabili IT e della sicurezza, amministratori di sistemi e di piattaforme, DevOps e architetti, responsabili acquisti e conformità, referenti NIS e DPO.

Prerequisiti. Una familiarità di base con reti, sistemi e concetti di rischio, che i Fondamenti di Information Security forniscono. Non serve conoscere un fornitore in particolare: il percorso usa i concetti comuni e cita la documentazione dei principali fornitori come esempio. Chi sviluppa software per il cloud trova la parte applicativa in Sviluppo sicuro del software; la gestione degli incidenti in generale in Gestione e risposta agli incidenti; i fornitori nel programma NIS nel Modulo 13 di Cybersecurity Governance, Risk & Compliance.

Modalità di svolgimento

Il percorso si svolge interamente online, in modalità asincrona: puoi studiare quando vuoi, al tuo ritmo, da qualsiasi dispositivo. La durata complessiva stimata è di 26 ore, da distribuire entro il termine di completamento indicato più avanti.

Ogni modulo è organizzato in quattro lezioni e due verifiche:

1. Lezione. Una trattazione ragionata dell'argomento, con schemi, esempi e casi concreti.
2. Test di verifica. Domande a risposta chiusa sull'intero modulo. Il superamento richiede almeno il 70%; i tentativi sono illimitati e vale il voto migliore. Al termine di ogni tentativo ricevi la spiegazione puntuale di ogni risposta, anche di quelle corrette.
3. Esercitazione. Un caso da attraversare scegliendo: ogni decisione apre una strada diversa e l'esito dipende da quello che hai scelto, con la spiegazione di che cosa sarebbe successo altrimenti. La valutazione è automatica e si può rifare quante volte si vuole.

Progressione. I 6 moduli si affrontano in sequenza: ciascun modulo si sblocca soltanto dopo aver superato il test del modulo precedente. Le esercitazioni non bloccano l'avanzamento, ma sono parte integrante del percorso e della valutazione complessiva.

Test finale e certificato

Superati i test di tutti i moduli si sblocca il test finale: 30 domande estratte casualmente dagli argomenti dell'intero percorso, con la stessa soglia del 70%. I tentativi sono tre, a distanza di almeno una settimana l'uno dall'altro: se nessuno raggiunge la soglia, il percorso riparte dal primo modulo. Al superamento ottieni il certificato del percorso, scaricabile in PDF, con un codice univoco che ne consente la verifica di autenticità.

Avvertenza

I contenuti sono aggiornati a ottobre 2026. Tre avvertenze specifiche.

La prima, sui fornitori. Servizi, nomi commerciali e impostazioni predefinite dei fornitori cambiano spesso: il percorso insegna i concetti e cita la documentazione ufficiale con la data in cui è stata letta. Prima di applicare un'indicazione si controlla la versione corrente della documentazione del proprio fornitore.

La seconda, sul diritto. Le norme citate sono lette sui testi ufficiali, ma il percorso non costituisce consulenza legale; per trasferimenti di dati e contratti la decisione spetta a chi ne risponde, con il supporto di chi pratica quel diritto.

La terza, sui casi. I casi reali sono verificati su fonti ufficiali (autorità, commissioni d'inchiesta, rapporti dei fornitori) e collegati; gli scenari delle esercitazioni sono costruiti.

Supporto

Nel forum Annunci trovi le comunicazioni del docente. Per domande sui contenuti o sulle esercitazioni usa i canali indicati dal tuo referente per la formazione.