Sicurezza informatica

NIS2, CRA e SBOM: Cosa Delphi 13 può davvero fare per la tua compliance nel 2026 Una guida tecnica e normativa corretta per sviluppatori Delphi Se sviluppi software in Italia, il 2026 è un anno cruciale. Il panorama normativo europeo sulla cybersecurity è entrato in piena operatività: la Direttiva NIS2, recepita con il D.Lgs. 138/2024, impone obblighi concreti alle aziende che operano in settori critici. A questo si affianca il Cyber Resilience Act (CRA), un regolamento europeo che introduce requisiti specifici per i prodotti con elementi digitali, tra cui la produzione di una SBOM (Software Bill of Materials). Per chi lavora con Delphi, comprendere con precisione cosa richiedono queste normative — e cosa gli strumenti a disposizione possono effettivamente offrire — è fondamentale per prendere decisioni informate. 1. NIS2 e CRA: Due normative distinte, obiettivi complementari Un errore comune è confondere NIS2 e CRA. È importante distinguerli: La NIS2 (Direttiva UE 2022/2555) si rivolge agli operatori di servizi essenziali e importanti. Impone obblighi di gestione del rischio, notifica degli incidenti, governance della cybersecurity e sicurezza della supply chain. Non prescrive tecnologie specifiche né menziona esplicitamente la SBOM come requisito. Il Cyber Resilience Act (CRA, Regolamento UE 2024/2847) si rivolge ai produttori di prodotti con elementi digitali. È il CRA, non la NIS2, che richiede esplicitamente la produzione di una SBOM per i componenti software. Il CRA entrerà in piena applicazione nel 2027, con obblighi di segnalazione delle vulnerabilità già dal settembre 2026. In pratica, uno sviluppatore Delphi che fornisce software a settori critici potrebbe dover rispettare entrambe le normative: la NIS2 come fornitore nella supply chain di un soggetto essenziale, e il CRA come produttore di un prodotto digitale. La SBOM è quindi una best practice fortemente consigliata per la NIS2 e un obbligo diretto del CRA. 2. SBOM: Stato dell’arte per l’ecosistema Delphi Nota importante: Ad oggi (febbraio 2026), RAD Studio 13 Florence non include una funzionalità nativa di generazione SBOM integrata nell’IDE. La generazione di SBOM in formato CycloneDX o SPDX è disponibile tramite strumenti di terze parti: DerScanner SCA + SBOM: offerto da Embarcadero in bundle promozionale con l’acquisto di licenze RAD Studio 13. È uno strumento esterno, non una funzionalità integrata nel compilatore o nell’IDE. Delphi Code Analyzer (delphiparser.com): strumento commerciale di terze parti che supporta l’analisi di codice Delphi (da Delphi 1 a 13) e la generazione di SBOM in formato CycloneDX 1.5. Questo significa che per produrre una SBOM audit-ready occorre pianificare l’integrazione di strumenti aggiuntivi nel proprio processo di build, piuttosto che affidarsi a una funzione “out of the box” di Delphi 13. 3. La Roadmap NIS2 2026: Cosa fare subito Se la tua azienda rientra nei settori critici (energia, sanità, infrastrutture digitali, manifattura, PA, ecc.), il calendario 2026 non ammette ritardi: Entro il 28 febbraio 2026: Finestra aperta per la registrazione o l’aggiornamento annuale sul portale dell’Agenzia per la Cybersicurezza Nazionale (ACN). Dal 1° gennaio 2026: Obbligo di notifica di ogni incidente “significativo” al CSIRT Italia con pre-notifica entro 24 ore. Entro ottobre 2026: Per i soggetti notificati nel 2025, dovranno essere pienamente operative le misure tecniche minime richieste dalla normativa. Sanzioni: Fino a 10 milioni di euro o il 2% del fatturato globale per le entità essenziali; fino a 7 milioni di euro o l’1,4% del fatturato per le entità importanti. La NIS2 prevede inoltre responsabilità dirette per gli organi direttivi. 4. Perché Delphi è un alleato per la compliance Compilazione nativa e superficie di attacco Le applicazioni Delphi sono compilate nativamente in codice macchina, senza dipendenza da virtual machine o runtime gestiti a tempo di esecuzione. Questo può semplificare la gestione delle dipendenze rispetto ad ecosistemi con package manager molto estesi (npm, Maven, pip). Tuttavia, è importante essere onesti: il livello di complessità della supply chain di un’applicazione Delphi dipende dalle componenti di terze parti utilizzate (VCL/FMX, GetIt packages, librerie commerciali). Un progetto Delphi con molte dipendenze esterne può avere un profilo di rischio paragonabile a quello di un’applicazione Java o .NET. Inoltre, la compilazione nativa introduce rischi specifici (buffer overflow, memory corruption) che i runtime gestiti mitigano nativamente. Va anche notato che .NET moderno supporta la compilazione AOT (Ahead-of-Time) nativa, rendendo il confronto meno netto di quanto appaia. InterBase 15: Funzionalità di sicurezza verificate InterBase 15, rilasciato nell’autunno 2025, introduce caratteristiche di sicurezza concrete e documentate: Crittografia AES-256 di default per dati at-rest e in-transit. DES non è più supportato. TLS 1.2+ obbligatorio per le comunicazioni client-server. TLS 1.0 e 1.1 eliminati. OpenSSL 3.5 LTS come foundation crittografica. FIPS 140-3 opzionale (solo Server Edition su Windows e Linux). FIPS 140-3 è uno standard federale USA; per il contesto europeo NIS2, i riferimenti normativi primari sono ISO/IEC 27001 e il framework ENISA. Il supporto FIPS è comunque un indicatore di maturità crittografica. SHA-256 password digest per la protezione delle password. Change Views™ per il tracciamento delle modifiche ai dati, utile per l’audit trail. Separazione dei ruoli (SYSDSO) con crittografia a livello di colonna, implementando il principio del minimo privilegio. Il vantaggio pratico del bundle RAD Studio 13 Un aspetto concreto che merita attenzione è l’ecosistema di strumenti che Embarcadero rende disponibili con l’acquisto di una licenza RAD Studio 13. Al momento della stesura di questo documento: InterBase 15 Developer Edition è inclusa nella licenza RAD Studio, con tutte le funzionalità di sicurezza della Server Edition (AES-256, TLS 1.2+, Change Views, journaling) utilizzabili in sviluppo e test. DerScanner SCA + SBOM è offerto gratuitamente come promozione per i clienti che acquistano o aggiornano a RAD Studio 13. Si tratta di uno strumento di analisi statica del codice e generazione SBOM che consente di produrre un inventario delle dipendenze software — un requisito del CRA e una best practice per la NIS2. GetIt con versioning: RAD Studio 13 introduce il supporto al versionamento dei pacchetti GetIt, permettendo di “pinnare” versioni specifiche delle dipendenze. Questa funzionalità facilita la riproducibilità delle build e la tracciabilità delle componenti di terze parti. In termini pratici, questo significa che chi aggiorna a RAD Studio 13 dispone,

Furto di identità degli utenti su Discord Nel mese di ottobre 2025, Discord, la popolare piattaforma di comunicazione per milioni di utenti, ha subito un grave furto di dati personali che ha acceso un profondo dibattito sulla sicurezza e la privacy degli utenti online.L’allarme è arrivato direttamente dall’azienda che ha confermato che l’attacco informatico non ha colpito i server principali di Discord, ma si è verificato attraverso un fornitore esterno incaricato di gestire il servizio clienti e il supporto Trust & Safety. L’attacco è stato identificato e reso pubblico nei primi giorni di ottobre 2025, precisamente il 5 ottobre, quando Discord ha iniziato a notificare gli utenti potenzialmente coinvolti nella violazione.Gli hacker sono riusciti a ottenere un quantitativo impressionante di dati, circa 1,5 terabyte, comprendenti circa 70.000 immagini appartenenti agli utenti che avevano contattato il supporto clienti. Tra i dati trafugati figurano informazioni personali sensibili come nomi, nomi utente, indirizzi email, e dati di contatto quali numeri di cellulare.Particolarmente preoccupante è stata la compromissione delle ultime quattro cifre delle carte di credito e, soprattutto, di fotografie e scansioni di documenti di identità utilizzati dagli utenti per la verifica dell’età così come richiesto dalla normativa in alcuni paesi come il Regno Unito, in base all’Online Safety Act.Questi documenti sono fondamentali per dimostrare la maggiore età degli utenti e la loro esposizione rappresenta un rischio significativo di furto di identità e frodi. Secondo Discord, l’attacco sarebbe stato principalmente a scopo estorsivo, con i criminali informatici che avrebbero cercato di ricattare la compagnia minacciando di divulgare i dati sottratti.Fortunatamente, l’azienda è riuscita a bloccare l’accesso del fornitore compromesso ai suoi sistemi di ticketing e ha prontamente avviato una collaborazione con le autorità competenti per identificare i responsabili dell’attacco. Discord ha inoltre rassicurato gli utenti sul fatto che nessun dato relativo a messaggi personali, chat private o server è stato toccato, poiché questi sono conservati su infrastrutture separate e maggiormente protette. L’allarme sul furto di dati è stato lanciato da Discord stessa tramite comunicazioni ufficiali che includevano e-mail dettagliate agli utenti coinvolti, spiegando precisamente quali informazioni erano state esposte e suggerendo le azioni da intraprendere per proteggersi da possibili truffe o abusi.  La piattaforma ha sottolineato quanto sia importante mantenere alta l’attenzione sulla sicurezza digitale, anche nei rapporti con fornitori esterni, dato che proprio attraverso questi passaggi indiretti si possono aprire falle critiche. Questo evento ha riacceso il dibattito sulla complessità della sicurezza nelle grandi piattaforme tecnologiche che, pur investendo ingenti risorse per proteggere i propri sistemi principali, devono mettere in campo altrettanta attenzione nella gestione delle partnership e dei servizi accessori. La gestione della verifica dell’età e dell’identità digitale è particolarmente delicata e richiede protocolli di sicurezza rigorosi proprio perché coinvolge dati altamente riservati.  In conclusione, il furto di dati su Discord ha evidenziato come la sicurezza informatica sia un processo continuo e complesso, che deve considerare tutti gli anelli della catena dei servizi. Per gli utenti è fondamentale adottare misure di sicurezza personali come l’attivazione dell’autenticazione a due fattori ed evitare di condividere documenti sensibili al di fuori dei canali ufficiali, mentre per le aziende la sfida è garantire protezioni solide anche nei rapporti con partner e fornitori esterni. Discord ha già iniziato ad agire in questa direzione collaborando con le autorità e rafforzando i propri controlli interni per prevenire futuri incidenti di questo genere.

Blackout della penisola iberica: le ripercussioni informatiche Il 28 aprile 2025, un blackout di vasta portata ha colpito la Spagna, il Portogallo e parte della Francia meridionale, causando gravi disagi ai sistemi informatici e digitali. Impatti sui sistemi informatici e digitali  Interruzione delle reti di comunicazione: le reti mobili e Internet hanno subito gravi interruzioni, rendendo difficili le comunicazioni e l’accesso alle informazioni. Sospensione dei servizi bancari e di pagamento: i bancomat e i sistemi di pagamento elettronico sono stati disattivati, impedendo transazioni finanziarie e l’accesso al contante. Disservizi nei trasporti: le linee ferroviarie e metropolitane, tra cui la metropolitana di Madrid, sono state evacuate a causa dell’interruzione dell’alimentazione elettrica, bloccando i sistemi di controllo e sicurezza.  Interruzione dei servizi ospedalieri: gli ospedali hanno dovuto fare affidamento su generatori di emergenza per mantenere operativi i sistemi critici, come quelli di terapia intensiva e diagnostica. Da parte del personale di Delphi Studio, società informatica di Valencia, ci è stata riportata l’interruzione di elettricità di circa 12 ore. Ma al ripristino tutto è tornato alla normalità e i server sono di nuovo operativi per continuare a sviluppare codice Delphi. Indagini sulle cause Le autorità spagnole e portoghesi hanno avviato indagini per determinare le cause del blackout. L’Istituto nazionale per la sicurezza informatica (Incibe) sta valutando la possibilità di un attacco informatico, sebbene le prime analisi suggeriscano un problema tecnico o di cavi come causa principale. La compagnia energetica portoghese REN ha indicato un raro fenomeno atmosferico, denominato “vibrazione atmosferica indotta”, come possibile origine dell’interruzione.  Ripristino dei servizi Entro la sera del 28 aprile, la corrente è stata ripristinata in diverse zone, con il 99% della domanda energetica soddisfatta in Spagna e la maggior parte delle sottostazioni operative in Portogallo. Tuttavia, i disagi ai sistemi informatici e digitali hanno evidenziato la vulnerabilità delle infrastrutture critiche in caso di interruzioni prolungate dell’alimentazione elettrica. Questo evento sottolinea l’importanza di rafforzare la resilienza dei sistemi informatici e delle reti di comunicazione, implementando misure di sicurezza e piani di emergenza per garantire la continuità dei servizi essenziali in situazioni di crisi.  

Grave violazione di sicurezza nel progetto Polyfill.io: oltre 100.000 siti web compromessi Recentemente è stato scoperto un grave attacco alla supply chain che ha coinvolto il servizio Polyfill.io, utilizzato da migliaia di siti web per garantire compatibilità con i browser più vecchi. L’attacco ha colpito oltre 100.000 siti, portando a preoccupazioni significative riguardo la sicurezza online e la fiducia nelle librerie di terze parti. La Violazione di Polyfill.io Polyfill.io fornisce “polyfills”, ossia porzioni di codice JavaScript che implementano funzionalità moderne nei browser più datati. Questo servizio è stato compromesso dopo che la gestione del dominio è passata alla società cinese Funnull nel febbraio 2024. Poco dopo, il codice distribuito attraverso Polyfill.io ha iniziato a contenere script dannosi, mirati principalmente a dispositivi mobili, che reindirizzavano gli utenti verso siti di scommesse sportive e contenuti per adulti​​. La Risposta della Comunità Tecnologica L’attacco ha sollevato immediate preoccupazioni tra gli esperti di sicurezza e i fornitori di infrastrutture web. Cloudflare e Fastly hanno rapidamente implementato versioni sicure del servizio Polyfill per mitigare i rischi. Inoltre, Google ha iniziato ad avvisare i propri inserzionisti riguardo i potenziali rischi legati ai siti che caricavano codice da Polyfill.io, bloccando gli annunci su questi siti compromessi​. Raccomandazioni per i Webmaster Gli esperti di sicurezza raccomandano vivamente di rimuovere immediatamente ogni riferimento a Polyfill.io dai propri siti web. Oltre a questo, è suggerito di adottare misure di sicurezza come: Implementare una Content Security Policy (CSP): per limitare le fonti da cui possono essere caricati gli script. Utilizzare Subresource Integrity (SRI): per verificare che le risorse scaricate non siano state modificate. Monitorare Regolarmente le Dipendenze: effettuare audit di sicurezza periodici per individuare eventuali comportamenti anomali​​. L’incidente di Polyfill.io è un chiaro esempio dei rischi associati all’uso di librerie di terze parti e sottolinea l’importanza di adottare pratiche di sicurezza robuste per proteggere la propria infrastruttura web. Le aziende devono rimanere vigili, aggiornare regolarmente le proprie dipendenze e seguire le best practice per la sicurezza.