Come creare una password sicura secondo le linee guida NIST SP 800-63B R.4 [Guida 2026]

Come creare una password sicura secondo NIST SP 800-63B-4

Creare una password sicura non significa aggiungere automaticamente una maiuscola, un numero e un simbolo. La versione finale delle Digital Identity Guidelines NIST, pubblicata nel luglio 2025, sposta il controllo su lunghezza, unicità, blocklist delle password comuni o compromesse, protezione del verifier e autenticazione resistente al phishing.

Questa guida distingue ciò che deve fare l'utente da ciò che deve implementare chi gestisce il sistema di autenticazione. La distinzione è essenziale: molti requisiti della SP 800-63B-4 sono rivolti a verifier e Credential Service Provider, non alla persona che sceglie la password.

SINTESI NIST
Password usata come unico fattore: almeno 15 caratteri. Password usata in un processo MFA: almeno 8 caratteri. Nessuna composizione forzata. Nessuna rotazione periodica arbitraria. Confronto obbligatorio con una blocklist al momento della creazione o del cambio.

Cosa prescrive davvero NIST SP 800-63B-4

La NIST SP 800-63B-4 definisce requisiti per autenticazione e gestione degli autenticatori. Il linguaggio SHALL, SHOULD e MAY va letto nel perimetro dell'organizzazione che adotta lo standard. La pubblicazione non è una legge italiana, ma costituisce un riferimento tecnico utile per progettare policy verificabili e coerenti con il rischio.

I requisiti cambiano in base al ruolo della password. Nel single-factor la password deve avere almeno 15 caratteri; quando è solo uno dei fattori di un processo MFA può avere un minimo di 8. Un'organizzazione può imporre soglie più elevate in base a minacce, vincoli applicativi e policy interne.

Perché le vecchie regole sulle password non funzionano più

Per oltre vent’anni, la ricetta per una password “sicura” è stata la stessa: almeno 8 caratteri, una maiuscola, un numero, un simbolo e cambio obbligatorio ogni 90 giorni. Questa regola nacque nel 2003 dalla NIST SP 800-63 Appendix A, redatta da William Burr, e divenne rapidamente uno standard globale.

Il problema? La ricerca ha dimostrato che queste regole producono l’effetto opposto a quello desiderato:

• Pattern prevedibili: quando gli utenti sono forzati a inserire maiuscole, numeri e simboli, seguono quasi sempre lo stesso schema: maiuscola all’inizio, numeri alla fine, punto esclamativo come simbolo. La password “P@ssw0rd!” è un esempio classico — e resta una delle più hackerate al mondo.
• Rotazione = password più deboli: studi dell’Università della Carolina del Nord hanno dimostrato che quando gli utenti cambiano la password ogni 90 giorni, si limitano ad applicare micro-variazioni prevedibili. “Primavera2025!” diventa “Estate2025!”, che un attaccante può indovinare in pochi tentativi.
• Tecniche mnemoniche obsolete: metodi come “prendi una frase e usa le iniziali” (es. “Mi piacciono i Cani” → MpccnCn) erano consigliati in passato, ma generano password corte e spesso riconducibili a pattern noti ai software di cracking come John The Ripper e Hashcat.
• Falsa sicurezza nella complessità: una password di 8 caratteri “complessa” ha un’entropia molto inferiore a una passphrase di 5 parole casuali. Eppure, molte aziende italiane — comprese PA e banche — continuano a imporre regole di composizione superate.

Il NIST ha riconosciuto ufficialmente questi problemi già nel 2017, ma è con la Revision 4 del 2024-2025 che il linguaggio è passato da raccomandazione a divieto esplicito.

Cos’è il NIST SP 800-63B Rev.4 e perché è importante

La NIST Special Publication 800-63B fa parte della suite “Digital Identity Guidelines” e si occupa specificamente di autenticazione e gestione del ciclo di vita delle credenziali. La Revision 4, pubblicata in versione finale il 31 luglio 2025, sostituisce la versione 3 del 2017 (ufficialmente ritirata il 1° agosto 2025).

Il documento definisce tre livelli di garanzia per l’autenticazione (AAL — Authentication Assurance Level):

• AAL1: autenticazione a fattore singolo (tipicamente solo password)
• AAL2: autenticazione a più fattori, con obbligo di un’opzione phishing-resistant
• AAL3: autenticazione con hardware crittografico dedicato e chiavi non esportabili

Le raccomandazioni sulle password si applicano principalmente all’AAL1, ma fungono da base anche per i livelli superiori.

Sebbene le linee guida NIST siano obbligatorie solo per le agenzie federali statunitensi, rappresentano il benchmark tecnico più autorevole a livello mondiale. Framework europei come NIS2, ISO 27001:2022, ANSSI e BSI si allineano progressivamente alle raccomandazioni NIST. Per le aziende italiane, adottarle significa anticipare i requisiti normativi e dimostrare una postura di sicurezza matura.

Le 7 regole NIST aggiornate per le password (2025-2026)

Il cambiamento più significativo della Revision 4 non è il contenuto delle regole — già introdotte nel 2017 — ma il linguaggio normativo. Il passaggio da “SHOULD NOT” (sconsigliato) a “SHALL NOT” (vietato) trasforma le raccomandazioni in requisiti di conformità vincolanti.

Ecco le 7 regole chiave:

Regola 1: La lunghezza conta più della complessità

Il minimo assoluto per le password scelte dall’utente è 8 caratteri. Il NIST raccomanda però un minimo di 15 caratteri quando la password è l’unico fattore di autenticazione. I sistemi devono supportare password fino ad almeno 64 caratteri, per incoraggiare l’uso di passphrase lunghe.

Regola 2: Niente più regole di composizione forzata

I requisiti del tipo “almeno una maiuscola, un numero e un simbolo” sono ora esplicitamente vietati (SHALL NOT). La ricerca dimostra che queste regole producono pattern prevedibili — maiuscola all’inizio, numeri alla fine, “!” come simbolo — riducendo l’entropia reale della password.

Regola 3: Niente più cambio periodico obbligatorio

La rotazione forzata (ogni 60, 90 o 180 giorni) è vietata (SHALL NOT). Una password deve essere cambiata solo se esiste evidenza concreta di compromissione (ad esempio, se risulta presente in un database di credenziali violate) o se l’utente lo richiede volontariamente.

Regola 4: Verifica obbligatoria contro le blocklist

Ogni nuova password deve essere confrontata con un database di credenziali note come compromesse prima di essere accettata dal sistema. Strumenti come Have I Been Pwned offrono API basate su k-anonymity che consentono questa verifica senza esporre la password stessa. Questo requisito è passato da “raccomandato” a “obbligatorio” (SHALL).

Regola 5: Vietati hint e security questions

I suggerimenti per il recupero della password (“il nome del tuo primo animale domestico”) e le domande segrete sono esplicitamente vietati (SHALL NOT). Queste informazioni sono spesso reperibili tramite OSINT e social engineering, rendendole un vettore di attacco, non una misura di protezione.

Regola 6: Hashing robusto obbligatorio

Le password devono essere memorizzate con salt e hash usando algoritmi progettati per essere computazionalmente costosi, come Argon2id o PBKDF2. Il cost factor deve essere il più alto possibile senza impattare negativamente le performance del sistema. Questo rende proibitivo il costo degli attacchi offline anche in caso di furto del database degli hash.

Regola 7: Tutti i caratteri sono ammessi

I sistemi devono accettare tutti i caratteri ASCII stampabili e i caratteri Unicode, inclusi spazi e persino emoji. Ogni carattere Unicode conta come un singolo carattere ai fini della lunghezza. La funzione copia/incolla deve essere abilitata per facilitare l’uso dei password manager.

Tabella comparativa: NIST Rev.3 (2017) vs Rev.4 (2025)

Come creare una passphrase sicura (con esempi)

Il NIST raccomanda l’uso delle passphrase come metodo principale per creare password memorizzabili e sicure. Una passphrase è una sequenza di parole casuali che, combinate, formano una stringa lunga e imprevedibile.

Perché le passphrase battono le password tradizionali

Il confronto è matematico. Una password di 8 caratteri complessi (maiuscole, minuscole, numeri, simboli) offre circa 50 bit di entropia. Una passphrase di 5 parole estratte a caso da un dizionario di 7.776 parole (metodo Diceware) offre circa 64 bit di entropia — ed è incomparabilmente più facile da ricordare.

• Password tradizionale: P@ssw0rd! → ~30 bit di entropia reale (pattern noto)
• Passphrase NIST: tramonto verde bicicletta viaggio lago → ~64 bit di entropia

Come creare una passphrase sicura in 4 passi

1. Scegli 4-6 parole casuali: non usare frasi famose, citazioni o testi di canzoni. L’ideale è usare il metodo Diceware: lancia un dado 5 volte per ogni parola e cerca il risultato nella lista EFF (eff.org/dice). Esempio: 3-4-2-6-1 = “magenta”.
2. Assicurati che sia lunga almeno 15 caratteri: con 4 parole di media lunghezza superi facilmente questa soglia. Più è lunga, meglio è.
3. Non sostituire lettere con simboli: trasformare “a” in “@” o “e” in “3” è un trucco che i software di cracking conoscono da anni. La forza della passphrase sta nella lunghezza e nella casualità, non nelle sostituzioni.
4. Verifica che non sia compromessa: prima di adottarla, controlla su haveibeenpwned.com/Passwords che la tua passphrase (o parti di essa) non compaia in database violati.

Quando la passphrase non basta

Le passphrase sono ottime quando devi ricordare una password a memoria, come la Master Password del tuo password manager o il PIN di avvio del computer. Per tutti gli altri servizi, la soluzione migliore resta un password manager che genera credenziali casuali da 20+ caratteri

Password manager: perché il NIST li raccomanda

Le linee guida NIST citano esplicitamente i password manager come strumento efficace per la creazione e la gestione delle credenziali. Il motivo è semplice: nessun essere umano può ricordare password uniche e casuali da 20 caratteri per decine di servizi diversi.

Come funzionano

Un password manager archivia tutte le credenziali in un vault cifrato con crittografia AES-256. L’utente deve ricordare una sola Master Password (ecco dove la passphrase torna utile) per accedere a tutto il resto. I gestori moderni offrono anche generazione automatica di password complesse, compilazione automatica dei moduli web e sincronizzazione multi-dispositivo.

Browser vs gestori dedicati vs soluzioni enterprise

• Password manager del browser (Chrome, Edge, Firefox): comodi e integrati, ma meno sicuri. Malware specializzati possono estrarre le credenziali dal database locale del browser. Adatti per utenti consumer con esigenze base.
• Gestori dedicati (1Password, Bitwarden, Keeper, KeePass): offrono architettura zero-knowledge, audit di sicurezza, condivisione sicura tra team e supporto per passkey. Raccomandati per professionisti e PMI.
• Soluzioni enterprise (ManageEngine Password Manager Pro, CyberArk, Thycotic): gestione centralizzata degli account privilegiati, rotazione automatica delle password di servizio, audit trail per compliance SOX/HIPAA/NIS2. Necessari per infrastrutture critiche.

La Rev.4 del NIST impone che i sistemi consentano la funzione copia/incolla delle password (SHALL). Questo obbligo è stato introdotto proprio per facilitare l’adozione dei password manager, eliminando una delle barriere tecniche più frustranti.

Passkey e autenticazione passwordless: il futuro secondo il NIST

La novità più rilevante della SP 800-63B Rev.4 non riguarda le password, ma il loro superamento. Il NIST ha introdotto il riconoscimento ufficiale delle passkey (definite “syncable authenticators”) come autenticatori conformi al livello AAL2.

Cos’è una passkey

Una passkey è una credenziale crittografica basata sullo standard FIDO2/WebAuthn. A differenza di una password, la passkey non è un segreto condiviso: si basa su crittografia a chiave pubblica. La chiave privata resta sul dispositivo dell’utente e non viene mai trasmessa al server. L’autenticazione avviene tramite biometria (Face ID, impronta digitale) o PIN del dispositivo.

Perché le passkey sono più sicure

• Resistenti al phishing per design: una passkey è legata al dominio del servizio. Un sito clone non può richiedere la firma della passkey, rendendo inefficaci attacchi come Evilginx2 e i proxy AiTM.
• Immuni al credential stuffing: poiché il server conserva solo la chiave pubblica, anche in caso di breach del database le credenziali sono inutilizzabili.
• Più veloci: Google riporta che l’autenticazione con passkey è 4 volte più veloce rispetto alla combinazione password + MFA tradizionale, con un tasso di successo del 99,9%.

Passkey sincronizzate vs device-bound

Le passkey sincronizzate vengono archiviate in cloud (iCloud Keychain, Google Password Manager) e sono disponibili su tutti i dispositivi dell’utente. Sono end-to-end encrypted e il NIST le riconosce come AAL2. Le passkey device-bound, invece, sono legate a un singolo dispositivo hardware (come una YubiKey) e qualificano per AAL3 — il livello più alto, richiesto per sistemi governativi e finanziari.

Lo stato dell’adozione nel 2026

Oggi oltre 15 miliardi di account online supportano l’autenticazione con passkey (Apple, Google, Microsoft, Amazon, GitHub, PayPal e centinaia di altri). Apple ha reso le passkey il metodo di accesso predefinito da iOS 17, mentre Microsoft ha dichiarato tutti gli account Microsoft passwordless by default. In ambito aziendale, Entra ID supporta nativamente Windows Hello for Business, chiavi FIDO2 e passkey sincronizzate tramite Microsoft Authenticator.

L’importanza dell’autenticazione a più fattori (MFA) e quale metodo scegliere nel 2026

Anche la password più robusta non basta da sola. Il NIST richiede che l’AAL2 offra almeno un’opzione di autenticazione phishing-resistant. Ma non tutti i metodi MFA sono equivalenti.

Secondo il NIST, il passo più importante che un utente o un’azienda possa compiere è attivare l’autenticazione a più fattori (MFA). Questo meccanismo aggiunge un ulteriore livello di protezione oltre alla semplice password. Attivare la MFA è il passo più efficace per proteggere i tuoi account. Anche se un attaccante ruba la password, non potrà accedere senza l’altro fattore di verifica, come:

• un codice generato da un’app di autenticazione sullo smartphone,
• una chiave fisica di sicurezza,
• una notifica push di conferma.

Sebbene alcuni metodi (come i codici via SMS) siano meno sicuri, rappresentano comunque una protezione aggiuntiva molto più efficace rispetto al semplice uso della password.

Il consiglio operativo è chiaro: per gli utenti privilegiati e gli amministratori, le passkey FIDO2 o le chiavi hardware sono l’unica scelta phishing-resistant conforme alla Rev.4 del NIST. Per gli utenti standard, le app authenticator rappresentano un buon compromesso, a patto di affiancarle a policy di Conditional Access che richiedano number matching e blocchino i tentativi di prompt bombing.

Se vuoi approfondire come proteggere gli utenti della tua azienda con MFA e altri strumenti di cyber security, puoi scoprire il nostro corso Cybersecurity Awareness pensato proprio per formare i dipendenti e ridurre il rischio di attacchi basati sull’errore umano.

Come creare una password sicura senza password manager

Esistono situazioni in cui non puoi utilizzare un password manager, e devi creare manualmente una password robusta. È il caso, ad esempio, di dispositivi aziendali con restrizioni software o di accessi temporanei a sistemi esterni. In questi casi, le linee guida NIST offrono un metodo semplice e scientifico.

Come verificare se la tua password è stata compromessa

La Rev.4 del NIST rende obbligatorio per i service provider il controllo delle nuove password contro database di credenziali violate. Ma anche come utente privato puoi (e dovresti) verificare le tue credenziali.

Strumenti di verifica

• Have I Been Pwned — Pwned Passwords: il servizio di Troy Hunt contiene oltre 900 milioni di password compromesse. Utilizza un sistema di k-anonymity: invia solo i primi 5 caratteri dell’hash SHA-1 della tua password, riceve una lista di hash corrispondenti e il confronto avviene localmente. La tua password non viene mai trasmessa in chiaro.
• Kaspersky Secure Password Checker: stima il tempo medio necessario per violare la password con un attacco brute force. Utile per una valutazione qualitativa rapida.
• Password manager con audit integrato: 1Password (Watchtower), Bitwarden (Vault Health Reports) e altri gestori dedicati segnalano automaticamente le credenziali deboli, duplicate o presenti in breach noti.

Per i sysadmin: l’API di Have I Been Pwned può essere integrata direttamente nelle password policy di Active Directory tramite tool come Enzoic for AD o Specops Password Policy. Questo consente di bloccare automaticamente le password compromesse al momento della creazione o del cambio.

Il metodo NIST: la lunghezza batte la complessità

Il NIST sottolinea che la lunghezza è il fattore più importante nella sicurezza di una password. Non servono sostituzioni complicate come “P@ssw0rd!”: molto meglio una frase lunga e coerente.

La regola dei 15 caratteri minimi

Una password sicura dovrebbe contenere almeno 15 caratteri. Questa lunghezza garantisce una resistenza elevata contro gli attacchi brute force, rendendo quasi impossibile violarla anche con hardware avanzato.
Più la password è lunga, più cresce esponenzialmente il numero di combinazioni possibili.

Passphrase: il segreto per password forti e memorabili

Il NIST raccomanda l’uso delle passphrase, cioè sequenze di parole comuni che insieme formano una frase di senso compiuto.
Sono più facili da ricordare e molto più sicure delle password complesse ma corte.

Esempio pratico:

Password tradizionale debole: P@ssw0rd!

• Prevedibile e facilmente attaccabile
• Difficile da ricordare nonostante la brevità

Passphrase sicura: "tramonto verde bicicletta viaggio lago"

• 36 caratteri di lunghezza
• Facile da visualizzare e ricordare
• Estremamente resistente agli attacchi automatizzati

Scadenza password: quando e perché cambiarle

Contrariamente a quanto molti credono, non è necessario cambiare regolarmente una password forte se non ci sono indizi di compromissione. Il NIST ha infatti abbandonato la raccomandazione dei cambi periodici obbligatori, riconoscendo che questa pratica spesso porta a password più deboli.

Quando cambiare la password

Cambia la password solo nei seguenti casi:

• sospetta compromissione o accessi anomali;
• violazioni di sicurezza del servizio che utilizzi;
• condivisione accidentale delle credenziali;
• infezioni malware o furto del dispositivo.

Il mito del cambio mensile

Cambiare password ogni 30-90 giorni è una pratica superata:

• induce gli utenti a creare password più semplici;
• aumenta il riutilizzo con piccole variazioni (es. “Password1”, “Password2”);
• genera un falso senso di sicurezza.

La regola d’oro

Una passphrase lunga e robusta come "tramonto verde bicicletta viaggio lago" può restare valida per anni, a patto che non venga compromessa. La sicurezza deriva dalla lunghezza e imprevedibilità, non dalla frequenza di sostituzione.

Questo approccio rappresenta l'evoluzione naturale nella creazione di password sicure quando non si può fare affidamento su strumenti automatizzati di gestione delle credenziali.

I vantaggi delle passphrase

Le passphrase offrono diversi vantaggi rispetto alle password tradizionali:

• Facili da ricordare: il cervello memorizza meglio sequenze logiche.
• Più sicure: la lunghezza aumenta esponenzialmente le combinazioni possibili.
• Meno errori: riducono le digitazioni sbagliate.
• Sostenibili: non servono continue modifiche.

Questo approccio rappresenta l’evoluzione naturale nella creazione di password sicure, soprattutto quando non si può fare affidamento su strumenti automatizzati.

Passkey: il futuro senza password

Il NIST guarda già oltre le password tradizionali, promuovendo l’uso delle passkey, una tecnologia che elimina del tutto la necessità di digitare una password.
Le passkey si basano su chiavi crittografiche uniche memorizzate sul dispositivo dell’utente e collegate in modo esclusivo al servizio online.

Vantaggi principali:

• Resistenza totale al phishing: non c’è una password da rubare.
• Accesso rapido e sicuro da dispositivi registrati.
• Niente più password da ricordare o gestire.

Sempre più piattaforme stanno adottando questa tecnologia, destinata a rivoluzionare la sicurezza digitale.

L’uso dei password manager

Finché le passkey non diventeranno uno standard universale, la gestione delle password rimane una sfida quotidiana. Il NIST consiglia l’uso di password manager affidabili, che generano password complesse e le archiviano in modo cifrato.

Un password manager:

• riduce il rischio di riutilizzare la stessa password su più siti;
• semplifica l’accesso alle credenziali;
• migliora la sicurezza se protetto con MFA.

Checklist aziendale per una password policy coerente

1. Censire applicazioni, directory, protocolli legacy, account privilegiati, account di servizio e procedure di recovery.
2. Distinguere i flussi single-factor da quelli MFA prima di stabilire la lunghezza minima e i controlli compensativi.
3. Applicare blocklist globali e contestuali al cambio e al reset; in ambienti Microsoft valutare Entra Password Protection anche per Active Directory on-premises.
4. Rimuovere la rotazione calendarizzata solo dopo aver definito rilevamento della compromissione, reset forzato, revoca sessioni e risposta agli incidenti.
5. Consentire password manager, autofill e paste; distribuire una soluzione governata con MFA, recovery controllato e policy di condivisione.
6. Proteggere account amministrativi e accessi critici con metodi phishing-resistant e Authentication Strength adeguate.
7. Separare le password degli utenti dai secret macchina: migrare account di servizio verso gMSA, Managed Identities, vault o PAM quando tecnicamente possibile.
8. Eseguire il rollout per gruppi pilota, verificare applicazioni legacy, VPN, RDP, dispositivi, sincronizzazioni e procedure help desk prima dell'enforcement generale.

Per le procedure di cambio, reset, SSPR e password writeback, la pagina proprietaria è Gestione Password Active Directory.

Per ridurre riutilizzo, condivisione impropria, phishing e approvazioni MFA non richieste, integrare la policy tecnica con il Corso Cyber Security Awareness per utenti aziendali.

FAQ su password sicure e NIST

Quanti caratteri deve avere una password secondo NIST SP 800-63B-4?

Almeno 15 caratteri quando la password è l'unico fattore di autenticazione. Se la password è usata come parte di un processo MFA, il minimo NIST è 8 caratteri. Il sistema dovrebbe consentire una lunghezza massima di almeno 64 caratteri.

Bisogna cambiare la password ogni 90 giorni?

No. NIST stabilisce che il verifier non deve imporre cambi periodici arbitrari. Deve invece forzare il cambio quando esiste evidenza che la password sia stata compromessa; restano necessari monitoraggio, recovery e risposta agli incidenti.

Servono ancora maiuscole, numeri e simboli obbligatori?

No. NIST vieta le regole di composizione forzata. Lunghezza, blocklist, unicità, rate limiting e autenticazione multi-fattore sono controlli più efficaci rispetto a pattern obbligatori e prevedibili.

NIST consente l'uso dei password manager?

Sì. I verifier devono consentire password manager e autofill; dovrebbero inoltre permettere il paste quando l'autofill non è disponibile. NIST non certifica però uno specifico prodotto: la soluzione deve essere valutata rispetto a sicurezza, recovery e governance.

Come verificare se una password è compromessa senza esporla?

Le organizzazioni devono confrontare le nuove password con blocklist di valori comuni, attesi o compromessi. Un utente non deve inserire una password reale in checker pubblici: il controllo va eseguito con funzioni integrate, audit del password manager o meccanismi che non trasmettono il segreto.

Una passkey sincronizzata soddisfa AAL3?

No. Le passkey sincronizzate possono supportare implementazioni fino ad AAL2 se rispettano i requisiti applicabili. AAL3 richiede una chiave privata non esportabile, protezione hardware, crittografia approvata e ulteriori controlli; una credenziale device-bound non è automaticamente AAL3.

Le linee guida NIST sono obbligatorie per le aziende italiane?

Non direttamente. NIST SP 800-63B-4 è una pubblicazione tecnica statunitense. Può diventare vincolante quando è adottata da contratti, policy o framework applicabili e resta un riferimento autorevole per progettare controlli di autenticazione basati sul rischio.

In Active Directory basta disabilitare complessità e scadenza?

No. La policy deve essere riprogettata insieme a lunghezza, blocklist, MFA, monitoraggio della compromissione, recovery, account di servizio e compatibilità legacy. Le modifiche vanno testate e applicate per fasi, non replicate automaticamente da una checklist generica.

Proteggi la tua azienda: dalla teoria alla pratica

Le linee guida NIST dimostrano che la sicurezza delle credenziali non si basa su regole complicate, ma su scelte architetturali intelligenti: password lunghe, niente rotazione forzata, blocklist delle credenziali compromesse, password manager per tutti e passkey come obiettivo strategico. Ma anche la migliore policy è inutile se i dipendenti non la comprendono e non sanno riconoscere le minacce.

Nexsys aiuta le aziende italiane a trasformare le best practice internazionali in azioni concrete:

• Corso Cybersecurity Awareness: formazione pratica per tutti i dipendenti, dai concetti di base alle simulazioni di phishing. Il primo livello di difesa della tua azienda.
• Cybersecurity Assessment: valutazione strutturata della postura di sicurezza basata su NIST CSF 2.0, CIS Controls v8 e ISO 27001:2022. Identifichiamo i gap e definiamo un piano di remediation.
• Corso Ethical Hacking: per chi vuole capire le tecniche di attacco alle credenziali dal punto di vista dell’attaccante e costruire difese più efficaci.

Contattaci per una consulenza personalizzata o scopri il calendario dei prossimi corsi su nexsys.it.