Paniere domande

✅ C. La contrapositiva di P→Q è ¬Q→¬P, equivalente all'originale. P=«manutenzione», Q=«non raggiungibile», quindi ¬Q=«raggiungibile» → ¬P=«non in manutenzione». ❌ A è la conversa (Q→P), non equivalente. ❌ B è l'inversa (¬P→¬Q), non equivalente. ❌ D collega entrambe le negazioni in modo scorretto (¬Q→¬Q, tautologia inutile).

✅ C. Il biconditionale P↔Q vale VERO quando P e Q hanno lo stesso valore di verità: entrambe vere (V↔V=V) o entrambe false (F↔F=V). ❌ A: V↔F = FALSO. ❌ B: F↔V = FALSO. ❌ D descrive la condizione di FALSITÀ del biconditionale (valori opposti).

✅ C. Se P→Q è vera, allora P∧¬Q è IMPOSSIBILE: ogni volta che P è vera, Q deve essere vera. Dire «prendo il permesso (P) ed è possibile non arrivare in ritardo (¬Q)» contraddice direttamente P→Q. ❌ A: la conversa è Q→P, non è questa. ❌ B: non è compatibile, la contraddice. ❌ D: non è indeterminata, è logicamente falsa.

✅ B. Modus Ponens: abbiamo P (server spento) e P→Q (server spento→servizio non disponibile), quindi Q (servizio non disponibile). ❌ A contraddice la deduzione. ❌ C contraddice la premessa. ❌ D è errata: la deduzione è valida e certa.

✅ B. Modus Tollens: P→Q e ¬Q → ¬P. «Server spento»→«servizio non disponibile». Servizio disponibile (¬Q), quindi server non spento (¬P). ❌ A: affermare P quando abbiamo ¬Q viola P→Q. ❌ C: la conclusione è certa tramite modus tollens. ❌ D è autocontraddittorio.

✅ C. Avere Q (terreno bagnato) e P→Q (piove→terreno bagnato) NON permette di concludere P (piove): il terreno può essere bagnato per innumerevoli altre cause. Questa è la fallacia dell'affermazione del conseguente (P→Q, Q ⊬ P). ❌ A: modus ponens è P→Q + P ⊢ Q, non è questo caso. ❌ B: modus tollens è P→Q + ¬Q ⊢ ¬P, non è questo caso. ❌ D: la contrapositiva è un'equivalenza logica, non una deduzione da Q.

✅ C. Marco=1, Luca=2 (immediatamente a destra di Marco). Anna=5. Giulia è tra Luca(2) e Anna(5) e non adiacente ad Anna(5): Giulia può essere in 3 o 4, ma non 4 (adiacente ad Anna). Quindi Giulia=3. Rimangono Paolo in posizione 4. ❌ A: posizione 2 è Luca. ❌ B: posizione 3 è Giulia. ❌ D: è determinabile con il ragionamento corretto.

✅ C. Dirigente=6°. Sistemista = 6-3 = 3°. Analista = immediatamente sopra il sistemista = 3°+1 = 4°. ❌ A: il 2° piano non corrisponde a nessuna delle relazioni date. ❌ B: il 3° è il sistemista. ❌ D: il 5° sarebbe immediatamente sotto il dirigente, non sopra il sistemista.

✅ C. Ogni termine = termine precedente × 2 + 1: 1→3 (1×2+1), 3→7 (3×2+1), 7→15, 15→31, 31×2+1=63. ❌ A (47): non segue la regola. ❌ B (55): non segue la regola. ❌ D (67): non segue la regola.

✅ C. Le differenze tra termini consecutivi crescono di 1: +1, +2, +3, +4, +5, +6. Quindi 17+6=23. ❌ A (21): differenza +4, non corretta. ❌ B (22): differenza +5, già usata. ❌ D (24): differenza +7, salta un passo.

✅ B. Ogni termine è diviso per 2 (o moltiplicato per 0.5): 100/2=50, 50/2=25, 25/2=12.5, 12.5/2=6.25. ❌ A (6): approssimazione errata. ❌ C (7) e D (8): non seguono la progressione geometrica di ragione 1/2.

✅ B. La chiave privata è usata per CREARE la firma digitale; la chiave pubblica è usata per VERIFICARE la firma digitale. ❌ A: la chiave pubblica del destinatario cifra il messaggio per riservatezza, non verifica la firma. ❌ C: l'autenticazione è processo più ampio. ❌ D: l'hash è generato da entrambi i lati indipendentemente dall'algoritmo di firma.

✅ B. 360 richieste/ora = 360/60 = 6 richieste/minuto. In 25 minuti: 6×25=150. ❌ A (90): sarebbe 15 minuti. ❌ C (180): sarebbe 30 minuti. ❌ D (250): non corrisponde alla proporzione.

✅ B. Tutti i funzionari INF hanno superato la prova tecnica (universale). Alcuni funzionari INF lavorano in PCM (particolare). Quei «alcuni» che lavorano in PCM SONO funzionari INF, quindi hanno superato la prova. ❌ A è troppo forte: parla di «tutti i funzionari PCM», non solo quelli INF. ❌ C è la conversa, non deducibile. ❌ D è errata: la conclusione B è certa.

✅ B. Necessaria = R→condizione (senza la condizione, R è impossibile). Non sufficiente = condizione→R non sempre vale (la condizione da sola non basta per R). ❌ A descrive una condizione sufficiente. ❌ C contraddirebbe la necessarietà. ❌ D descrive un biconditionale (necessaria E sufficiente).

✅ B. Linux: 80×0.35=28. Windows: 80×0.60=48. Entrambi: 80×0.10=8. Almeno uno: 28+48-8=68. Nessuno: 80-68=12. ATTENZIONE: 12, quindi la risposta è ❌ D. Ricalcolo: 80-68=12 → D. ❌ Scorrendo le opzioni: 4, 5, 8, 12 → corretta è 12 = opzione D.

✅ B (12). Linux: 28. Windows: 48. Entrambi: 8. Almeno uno: 28+48-8=68. Nessuno: 80-68=12. ❌ A (4): ignora il calcolo insiemistico. ❌ C (16): somma errata. ❌ D (20): non tiene conto degli utenti con entrambi i sistemi.

✅ C (N). Ogni lettera salta 2 posizioni nell'alfabeto: B(2)→E(5)→H(8)→K(11)→N(14). Distanza costante di 3. ❌ A (L=12): distanza 1. ❌ B (M=13): distanza 2. ❌ D (O=15): distanza 4.

✅ C. Art. 45 CAD: il documento è SPEDITO quando il mittente lo consegna al proprio gestore (provider PEC). È CONSEGNATO quando è disponibile nella casella del destinatario. La lettura è irrilevante. ❌ A: la conferma di lettura non è il discrimine giuridico. ❌ B: quella è la definizione di «consegnato», non «spedito». ❌ D: il termine temporale non è previsto dall'art. 45.

✅ C. Art. 49 c.2 CAD: il messaggio è nella disponibilità giuridica del mittente fino alla CONSEGNA al destinatario (disponibilità nella casella). Dopo la consegna passa nella sfera del destinatario. ❌ A: l'eliminazione dalla cartella inviati è irrilevante. ❌ B: la lettura NON è il discrimine (il messaggio è del destinatario già dalla consegna, anche se non letto). ❌ D: nessun termine temporale fisso è previsto.

✅ C. Art. 21 c.2 CAD: il documento con firma digitale qualificata soddisfa il requisito della forma scritta e ha l'efficacia della scrittura privata ex art. 2702 c.c. (il disconoscimento spetta a chi nega l'autenticità). ❌ A: non è prova libera, ha valore legale specifico. ❌ B: la scrittura privata autenticata (art. 2703 c.c.) richiede l'autenticazione di un pubblico ufficiale — è un livello superiore non automatico. ❌ D: la firma digitale ha pieno valore probatorio.

✅ B. La firma elettronica avanzata (AdES) deve essere: univocamente connessa al firmatario, idonea a identificarlo, creata con dati sotto il controllo esclusivo del firmatario, collegata ai dati firmati in modo da rilevare modifiche. ❌ A: l'ente certificatore accreditato è requisito della firma qualificata (QES), non della AdES. ❌ C: l'equivalenza piena con la firma autografa per qualsiasi atto è propria della QES. ❌ D: l'HSM è tipico della QES ma non strettamente richiesto per la AdES.

✅ C. Art. 23 CAD: la copia informatica di documento analogico ha lo stesso valore dell'originale se la conformità è attestata da un pubblico ufficiale o da un soggetto autorizzato con firma digitale. ❌ A: il formato PDF/A è buona pratica ma non sufficiente da solo per il valore legale. ❌ B: il notaio può farlo ma non è l'unica figura autorizzata. ❌ D: la marca temporale garantisce la data, non la conformità.

✅ B. Art. 40 CAD: le PA formano gli atti originali su supporto informatico. La carta è l'eccezione (non la regola). Questo è il principio del «digital first» / «cloud first». ❌ A: è il vecchio paradigma pre-CAD, ora invertito. ❌ C: i formati aperti sono raccomandati ma non «esclusivi» o «certificati AgID» come unica opzione. ❌ D: non c'è un termine di 12 mesi fisso nel testo.

✅ B. Art. 41 CAD: il fascicolo informatico raccoglie i documenti relativi a un singolo procedimento amministrativo, in formato elettronico, con metadati che ne garantiscono l'identificazione e l'accessibilità. ❌ A: l'archivio complessivo è un concetto più ampio (patrimonio documentale). ❌ C: il protocollo è uno strumento separato (DPR 445/2000). ❌ D: le trasmissioni PEC sono tracciate dal provider, non dal fascicolo.

✅ B. La conservazione digitale a norma mira a preservare, nel lungo periodo, le proprietà essenziali dei documenti: autenticità (non alterati), integrità (completi), affidabilità (fonte certa), leggibilità (formati aperti), reperibilità. ❌ A: la riduzione dei costi è un effetto secondario, non lo scopo giuridico. ❌ C: la distruzione degli originali cartacei richiede specifiche condizioni (non è automatica dopo 5 anni). ❌ D: non esiste un obbligo di cloud unico nazionale per tutti gli archivi PA.

✅ C. Il Responsabile della Conservazione definisce e attua le politiche di conservazione, garantisce la sicurezza fisica e logica del sistema, il mantenimento della leggibilità nel tempo e la conformità alle regole tecniche AgID. ❌ A: la conservazione digitale non prevede firme autografe. ❌ B: la presenza fisica notturna non è un requisito del ruolo. ❌ D: non c'è un obbligo di invio semestrale al Ministero.

✅ B. SPID Livello 2: autenticazione a due fattori — qualcosa che si SA (password) + qualcosa che si HA (OTP via SMS/app). È il livello più usato nei servizi PA. Livello 1: solo password. Livello 3: aggiunge un fattore biometrico o un dispositivo hardware sicuro. ❌ A: è il livello 1. ❌ C: l'impronta digitale è il livello 3. ❌ D: la smart card qualificata è livello 3 o usata per la firma, non per il livello 2 SPID.

✅ B. Art. 65 CAD: le istanze telematiche sono valide se sottoscritte con firma digitale, inviate via PEC, trasmesse con identificazione tramite SPID o CIE, oppure accompagnate da copia del documento d'identità (eccezione per alcuni casi). ❌ A: non è richiesto l'uso esclusivo del portale ufficiale per la validità. ❌ C: l'email ordinaria non garantisce autenticazione, senza firma o PEC non ha lo stesso valore. ❌ D: la copia del documento d'identità è solo una delle modalità alternative, non l'unico requisito.

✅ B. Art. 68 CAD: le PA devono effettuare una «valutazione comparativa» che consideri in quest'ordine: 1) riuso di software PA esistente, 2) software open source, 3) software proprietario. La preferenza è per le soluzioni a basso costo e alta riusabilità. ❌ A: l'analisi dei rischi è separata (normativa NIS2/27001). ❌ C: le soglie per gara europea sono definite dal Codice Appalti, non dall'art. 68. ❌ D: AgID non approva preventivamente ogni acquisto software.

✅ B. Art. 69 CAD: la PA deve acquisire la proprietà (o titolarità dei diritti) del software sviluppato su commessa pubblica e renderlo disponibile per il riuso da parte di altre PA, pubblicando il codice sorgente con licenza aperta (es. EUPL, AGPL). ❌ A: i brevetti software non sono il meccanismo previsto dal CAD (e sono problematici nel diritto europeo). ❌ C: il lock-in con il fornitore è esattamente ciò che l'art. 69 vuole evitare. ❌ D: la SIAE non è coinvolta nel regime speciale del software PA.

✅ C. Art. 3-bis CAD: il domicilio digitale è l'indirizzo di posta elettronica certificata (PEC) o un servizio elettronico di recapito certificato qualificato (SERCQ), comunicato alla PA o all'INAD (Indice Nazionale dei Domicili Digitali). ❌ A: SPID è l'identità digitale (autenticazione), non il domicilio per le comunicazioni. ❌ B: l'email ordinaria non ha valore di domicilio digitale. ❌ D: l'SMS non ha valore giuridico equivalente alla PEC.

✅ B. La PEC (DPR 68/2005) fornisce: ricevuta di accettazione (dal proprio gestore) e ricevuta di avvenuta consegna (dal gestore del destinatario), entrambe con data/ora certa e valore legale. ❌ A: la PEC non cifra il contenuto end-to-end (il testo è leggibile dai gestori); per riservatezza occorre S/MIME o PGP. ❌ C: la PEC non appone firma digitale automatica sul contenuto. ❌ D: l'irrilevanza della lettura è un effetto collaterale della consegna, ma il «ripudio» in senso giuridico è diverso.

✅ B. La riforma Bassanini ha «privatizzato» il rapporto di lavoro: si applica il codice civile e la contrattazione collettiva, con alcune materie riservate alla legge (organizzazione macro-struttura, procedure concorsuali, responsabilità). ❌ A: privatizzazione del rapporto ≠ privatizzazione dell'ente. ❌ C: permangono differenze significative (concorso pubblico, responsabilità contabile, ecc.). ❌ D: gli atti di macro-organizzazione restano atti amministrativi impugnabili al TAR.

✅ B. Il principio cardine: l'organo di indirizzo politico (Ministro, Sindaco) determina gli obiettivi e verifica i risultati; il dirigente ha piena autonomia nell'attuazione gestionale e ne risponde. Questo evita l'interferenza politica nella gestione ordinaria. ❌ A: i ruoli sono invertiti rispetto alla realtà. ❌ C: le responsabilità sono distinte: politica per gli obiettivi, dirigenziale per l'attuazione. ❌ D: il dirigente risponde all'organo di vertice politico per i risultati, ma non con ingerenza nella gestione.

✅ C. Art. 40 c.3-quinquies D.Lgs. 165/2001: le clausole in contrasto con i vincoli e i limiti del CCNL nazionale sono NULLE (nullità assoluta, non annullabilità). Operano automaticamente, senza necessità di impugnazione. Le somme erogate in base a clausole nulle devono essere recuperate. ❌ A: non sono sospese, sono nulle ab initio. ❌ B: l'annullabilità relativa richiederebbe impugnazione — qui è nullità assoluta. ❌ D: nessuna ratifica può sanare la nullità di diritto.

✅ B. La contrattazione collettiva riguarda: trattamento economico, orario di lavoro, progressioni economiche, relazioni sindacali. ❌ A: organizzazione degli uffici, dotazioni organiche e procedure concorsuali sono riservate alla fonte unilaterale (legge/atto amministrativo), non contrattabili. ❌ C: responsabilità disciplinare e reclutamento sono materie legali. ❌ D: esistono materie esplicitamente escluse dalla contrattazione.

✅ B. Art. 55-bis D.Lgs. 165/2001: le sanzioni conservative (fino alla sospensione) sono irrogate dal dirigente; quelle espulsive (licenziamento) e i casi più gravi dall'UPD. ❌ A: il TAR può annullare su ricorso ma non irroga sanzioni. ❌ C: la Corte dei Conti giudica la responsabilità erariale (danno all'erario), non quella disciplinare. ❌ D: l'organo politico non può interferire nel procedimento disciplinare del singolo dipendente.

✅ B. Art. 63 D.Lgs. 165/2001: le controversie relative al rapporto di lavoro dei dipendenti pubblici privatizzati appartengono alla giurisdizione del giudice ordinario (giudice del lavoro). ❌ A: il TAR è competente per le materie non privatizzate (organizzazione macro, procedure concorsuali). ❌ C: la Corte dei Conti è competente per la responsabilità erariale. ❌ D: la Commissione di Garanzia ha funzioni regolatorie per scioperi, non giurisdizionali.

✅ B. L'ARAN rappresenta tutte le PA nella contrattazione collettiva nazionale. Firma i CCNL con le organizzazioni sindacali che raggiungono le soglie di rappresentatività. ❌ A: la contrattazione individuale è proibita nel pubblico impiego per i livelli non dirigenziali. ❌ C: il MEF può fissare i tetti di spesa ma non negozia direttamente. ❌ D: non è previsto un accordo diretto tra Presidente del Consiglio e segretari generali per i CCNL.

✅ B. Il dirigente pubblico ha un contratto di lavoro a tempo indeterminato ma riceve incarichi dirigenziali a termine (di norma 3-5 anni). Se i risultati sono insufficienti, l'incarico non è rinnovato o è revocato. ❌ A: l'incarico è a termine e revocabile; l'iscrizione al ruolo è separata. ❌ C: il mandato politico è escluso dalla riforma — la dirigenza è indipendente dalla politica nella gestione. ❌ D: la retribuzione ha componenti determinate dalla contrattazione ma l'incarico è individuale.

✅ B. Art. 36 D.Lgs. 165/2001: le PA ricorrono a contratti flessibili (tempo determinato, somministrazione) solo per esigenze temporanee e straordinarie non soddisfacibili con il personale di ruolo. L'abuso comporta conseguenze ma non la trasformazione a tempo indeterminato (a differenza del settore privato). ❌ A: la libertà contrattuale è molto più limitata che nel privato. ❌ C: i 36 mesi nel quinquennio sono un tetto del D.Lgs. 81/2015 applicabile al privato; nel pubblico le regole sono diverse. ❌ D: non è limitato ai profili mancanti in organico, ma alle esigenze eccezionali.

✅ A. Art. 53 D.Lgs. 165/2001: il dipendente pubblico non può svolgere incarichi retribuiti senza autorizzazione preventiva della PA. Le attività incompatibili (es. imprenditore commerciale) sono vietate. Le attività non remunerate non richiedono autorizzazione. ❌ B: le attività extraistituzionali remunerate richiedono autorizzazione. ❌ C: il divieto si applica a tutti i dipendenti, non solo ai dirigenti. ❌ D: le attività non remunerate (volontariato, sport amatoriale) sono generalmente libere.

✅ A. Il D.Lgs. 150/2009 (cd. riforma Brunetta, modificato dal D.Lgs. 74/2017 e dal D.Lgs. 149/2023) introduce il ciclo di gestione della performance, il piano della performance, gli OIV e la valutazione individuale con conseguenze sulla retribuzione accessoria. ❌ B: il CCNL disciplina gli aspetti economici della premialità ma non il sistema complessivo di valutazione. ❌ C: il DPR 62/2013 disciplina il comportamento etico, non la performance. ❌ D: l'art. 2 D.Lgs. 165/2001 regola le fonti del rapporto, non la valutazione.

✅ B. Il D.Lgs. 24/2023 (recepimento direttiva UE 2019/1937) protegge chi segnala illeciti tramite canali interni (RPCT), esterni (ANAC) o pubblici, a condizione che la segnalazione sia fondata e in buona fede. ❌ A: la critica pubblica sui social non è whistleblowing protetto e può costituire violazione disciplinare. ❌ C: il rifiuto di ordini è disciplinato altrove (obbligo di obbedienza salvo reati manifesti). ❌ D: la divulgazione di dati riservati alla stampa è protetta solo come ultima istanza e con condizioni molto stringenti.

✅ B. Il terzo parametro `true` di addEventListener attiva la fase di CAPTURING (discesa dalla radice al target). Con `false` (default) è il BUBBLING (risalita dal target alla radice). Non esistono «thread separati» nel modello di eventi DOM — JavaScript è single-threaded. ❌ A: il bubbling corrisponde al valore `false`. ❌ C: i thread separati non esistono per i gestori DOM normali. ❌ D: la coda microtask è per Promise/queueMicrotask, non per addEventListener.

✅ B. In fase di BUBBLING l'evento parte dal target (figlio) e risale verso gli antenati: prima gestore del figlio, poi del padre. In capturing (terzo parametro `true`) è l'opposto. ❌ A: descrive il comportamento in fase capturing, non bubbling. ❌ C: thread separati non esistono per il DOM. ❌ D: il padre riceve l'evento tramite bubbling, salvo `stopPropagation()`.

✅ B. `stopPropagation()` impedisce che l'evento si propaghi (né bubbling né capturing). `preventDefault()` annulla l'azione di default del browser (es. submit del form, follow di un link). Sono indipendenti: si possono usare entrambi, uno solo, o nessuno. ❌ A: sono metodi distinti con effetti diversi. ❌ C: li inverte. ❌ D: stopPropagation non ferma «tutti gli script», agisce solo sulla catena di propagazione dell'evento corrente.

✅ B. JS ha un singolo thread principale (main thread). L'event loop gestisce una coda di callback/messaggi eseguendoli uno alla volta. I Web Workers sono thread separati ma NON accedono al DOM direttamente. Le Promise non cambiano questo — usano la coda delle microtask nello stesso thread. ❌ A e D: il DOM non è thread-safe; l'accesso parallelo causerebbe race condition. ❌ C: anche le Promise girano nel main thread tramite microtask queue.

✅ C. La firma digitale = hash del documento cifrato con la CHIAVE PRIVATA del mittente. Solo il mittente conosce la propria chiave privata → autenticazione. Il destinatario verifica decifrando con la chiave PUBBLICA del mittente e confrontando con l'hash ricalcolato. ❌ A: cifrare l'hash con la propria chiave pubblica non darebbe autenticazione (chiunque ha la chiave pubblica). ❌ B: cifrare con la chiave pubblica del destinatario è la cifratura per RISERVATEZZA, non firma. ❌ D: la chiave privata del destinatario è segreta e usata per decifrare messaggi ricevuti.

✅ D. Per verificare la firma di Mario si usa la CHIAVE PUBBLICA di Mario (pubblica = accessibile a tutti). Il destinatario: 1) decifra la firma con la chiave pubblica di Mario → ottiene l'hash originale; 2) calcola l'hash del documento ricevuto; 3) se i due hash coincidono, la firma è valida. ❌ A: la chiave privata del destinatario serve per decifrare messaggi cifrati per lui. ❌ B: la chiave privata di Mario è segreta, non accessibile al destinatario. ❌ C: la propria chiave pubblica non ha relazione con la firma di Mario.

✅ C. Per riservatezza: si cifra con la CHIAVE PUBBLICA del destinatario (Sara). Solo Sara, con la propria chiave privata, potrà decifrarlo. ❌ A: cifrare con la propria chiave privata crea una firma (autenticazione), non riservatezza. ❌ B: cifrare con la propria chiave pubblica sarebbe decifrabile solo con la propria chiave privata — inutile per la comunicazione. ❌ D: la chiave privata di Sara è segreta e non accessibile al mittente.

✅ B (24TB). RAID 5: capacità = (N-1) × dimensione_disco = (7-1) × 4TB = 6 × 4TB = 24TB. Un disco equivalente è usato per la parità (distribuita tra tutti). ❌ A (28TB): sarebbe la capacità totale senza ridondanza (RAID 0). ❌ C (20TB): sarebbe (N-2)×4=20 → formula del RAID 6. ❌ D (16TB): formula errata.

✅ C (12TB). RAID 6: doppia parità → capacità = (N-2) × dimensione = (8-2) × 2TB = 6 × 2TB = 12TB. Tollera la perdita di 2 dischi contemporaneamente. ❌ A (16TB): è la capacità totale (RAID 0). ❌ B (14TB): formula (N-1) corretta per RAID 5, non RAID 6. ❌ D (10TB): formula errata.

✅ C. RAID 1 puro (mirroring) con 4 dischi: tutti i dischi contengono gli stessi dati → capacità = 1 disco = 1TB. Può perdere fino a 3 dischi su 4 (rimane almeno 1 copia). ❌ A (4TB): è la capacità totale senza ridondanza. ❌ B: RAID 1 con 2 dischi avrebbe 1TB e tollera 1 guasto; con 4 dischi la capacità rimane 1TB ma la tolleranza è maggiore. ❌ D: con 4 dischi in mirror si tollerano 3 guasti (non 2).

✅ B. RAID 10 = RAID 1 (mirroring) + RAID 0 (striping). I dati sono distribuiti in stripe su più coppie di dischi specchiati. Con 4 dischi: capacità = 50% del totale, tollera la perdita di 1 disco per ogni coppia. ❌ A: la parità distribuita è RAID 5. ❌ C: solo mirroring è RAID 1. ❌ D: striping con parità singola è RAID 5.

✅ B. REPEATABLE READ garantisce che le righe lette nella transazione non cambino se rilette → previene dirty read e non-repeatable read. NON previene i phantom read (nuove righe inserite da altre transazioni che appaiono in query successive con predicati di range). ❌ A: solo dirty read è READ COMMITTED. ❌ C: tutti e tre sono prevenuti da SERIALIZABLE (non da REPEATABLE READ). ❌ D: solo phantom read non corrisponde a nessun livello standard.

✅ B. READ COMMITTED previene SOLO i dirty read (lettura di dati non ancora committati). Non previene: non-repeatable read (stessa riga riletta dà valori diversi) né phantom read (nuove righe appaiono). ❌ A: tutti e tre prevenuti = SERIALIZABLE. ❌ C: non-repeatable read non è prevenuto da READ COMMITTED. ❌ D: i phantom read non sono prevenuti da READ COMMITTED.

✅ C. Phantom read = nuove righe (o righe eliminate) inserite/cancellate da altre transazioni compaiono (o scompaiono) tra due esecuzioni della stessa query con predicato (es. WHERE età > 30). ❌ A: è la definizione di dirty read. ❌ B: è la definizione di non-repeatable read (stessa riga, valore diverso). ❌ D: gli indici obsoleti sono un problema di implementazione, non un'anomalia di isolamento.

✅ B. Il principio fondamentale del layered architecture: ogni strato usa i servizi del layer SOTTO e espone servizi al layer SOPRA. La dipendenza è unidirezionale verso il basso. Questo garantisce separazione delle responsabilità e sostituibilità dei layer. ❌ A: l'accesso arbitrario tra strati elimina i vantaggi del layering. ❌ C: la comunicazione bidirezionale con TUTTI violerebbe l'incapsulamento. ❌ D: l'indipendenza totale non è corretta — ogni layer dipende da quello sotto.

✅ C. SHA-256 (SHA-2 family) produce sempre un hash di 256 bit = 32 byte. ❌ A (128 bit): è MD5 (sconsigliato, vulnerabile a collisioni). ❌ B (160 bit): è SHA-1 (deprecato). ❌ D (512 bit): è SHA-512 (stessa famiglia SHA-2 ma digest più lungo).

✅ B. La catena di fiducia PKI: il certificato del server è firmato da una CA intermedia, che è firmata dalla CA radice (root CA). Il client verifica la catena risalendo fino alla root CA che ha in memoria come fidata. ❌ A: la PKI gestisce l'autenticazione/identità; la cifratura usa le chiavi derivate dall'handshake TLS. ❌ C: le chiavi private NON vengono mai distribuite dalla CA — restano sempre sul proprietario. ❌ D: il rinnovo è un processo separato (ACME, SCEP).

✅ B. TLS 1.3 riduce a 1 round-trip (1-RTT) l'handshake rispetto ai 2 di TLS 1.2, con «0-RTT» per le sessioni ripristinate. Elimina algoritmi deboli (RSA key exchange, RC4, MD5/SHA-1) e usa solo suite sicure (ECDHE, AES-GCM, ChaCha20). ❌ A: TLS usa sempre sia asimmetrica (key exchange) sia simmetrica (dati). ❌ C: i certificati X.509 rimangono fondamentali per l'autenticazione. ❌ D: MD5 è eliminato da TLS 1.3, non adottato.

✅ C. HTTP 401 (Unauthorized) = manca l'autenticazione o le credenziali sono errate. Il client deve autenticarsi. ❌ A: l'autenticato senza permessi riceve 403 (Forbidden). ❌ B: risorsa inesistente = 404 Not Found. ❌ D: errore interno server = 500 Internal Server Error.

✅ B. Stateless = il server non mantiene stato della sessione tra richieste. Ogni richiesta è autosufficiente (include token di autenticazione, parametri, etc.). Questo facilita scalabilità orizzontale. ❌ A: il DB è separato dallo stato della sessione. ❌ C: il client può usare cookie/localStorage; il vincolo riguarda il server. ❌ D: le risorse REST hanno stato (possono essere modificate via PUT/PATCH/DELETE).

✅ B. La concatenazione diretta dell'input utente nella stringa SQL è la causa classica di SQL injection. Un input come `' OR '1'='1` modifica la logica della query. ❌ A, C, D: tutte usano parametri — il DBMS interpreta il valore dell'utente come dato puro, mai come codice SQL. Questo è il modo corretto (prepared statements / parametrized queries).

✅ B. XSS stored (persistente): lo script malevolo è salvato nel DB (es. in un commento) e viene servito a tutti gli utenti che visitano la pagina → più pericoloso. XSS reflected: il payload è nel request (URL, form) e il server lo «rimanda» (reflect) nella risposta → colpisce solo chi clicca il link malevolo. ❌ A: è l'opposto. ❌ C: non è richiesto accesso fisico. ❌ D: né l'uno né l'altro cifra il payload.

✅ C. Il «mero interesse commerciale» del responsabile del trattamento (data processor) non è una delle 6 basi giuridiche dell'art. 6 GDPR. Il responsabile tratta per conto del titolare, che deve avere una propria base giuridica. ❌ A: contratto (art. 6 c.1 lett. b) è base valida. ❌ B: obbligo legale (art. 6 c.1 lett. c) è base valida. ❌ D: legittimo interesse (art. 6 c.1 lett. f) è base valida (con bilanciamento).

✅ B. Il diritto alla cancellazione si esercita quando: i dati non sono più necessari allo scopo, il consenso è revocato (e manca altra base), si è opposto ex art. 21, trattamento illecito, obbligo legale. Ma ha eccezioni: obbligo legale di conservazione, interesse pubblico, ricerca scientifica, difesa in giudizio. ❌ A: non è assoluto. ❌ C: si applica a qualsiasi dato personale, non solo online. ❌ D: si applica anche ad altre basi giuridiche, non solo al consenso.

✅ C. Art. 33 GDPR: notifica al Garante entro 72 ore dalla scoperta, quando il breach è «suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche». Breach senza rischio = solo documentazione interna. ❌ A: 24 ore non è il termine GDPR. ❌ B: 48 ore non è il termine (era proposto in bozza ma non adottato). ❌ D: 30 giorni è il termine tipico per notifiche agli interessati in altri ambiti (NIS2), non al Garante GDPR.

✅ B. I 3 casi obbligatori per il DPO (art. 37 GDPR): 1) Autorità/organismo pubblico; 2) Trattamento su larga scala di categorie speciali (art. 9) o dati penali (art. 10); 3) Monitoraggio sistematico su larga scala degli interessati. ❌ A: il numero di dipendenti non è criterio GDPR per il DPO. ❌ C: il trasferimento extra-UE richiede garanzie (cap. V), non un DPO obbligatorio per questo. ❌ D: il data breach passato non genera obbligo di DPO.

✅ B. Art. 25 GDPR: «data protection by design and by default» → la privacy deve essere considerata fin dall'inizio della progettazione, non aggiunta dopo. Le impostazioni di default devono essere le più protettive (minimizzazione). ❌ A: l'afterthought approach è esattamente ciò che il principio vieta. ❌ C: l'utente può personalizzare, ma il default deve essere protettivo. ❌ D: raccogliere tutto e anonimizzare dopo viola il principio di minimizzazione.

✅ B. Art. 20 GDPR: l'interessato può ricevere i propri dati in formato strutturato (es. JSON, CSV) e trasmetterli direttamente a un altro titolare, quando il trattamento è basato su consenso o contratto ed è automatizzato. ❌ A: la portabilità riguarda i dati, non il trasferimento territoriale. ❌ C: il formato leggibile da macchina è l'opposto del cartaceo. ❌ D: il FOIA (D.Lgs. 33/2013) è un istituto diverso (accesso civico generalizzato).

✅ B. La DPIA è richiesta per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, sorveglianza sistematica di zone pubbliche, nuove tecnologie. Il Garante pubblica liste di trattamenti che richiedono sempre DPIA. ❌ A: il numero 100 non è una soglia GDPR. ❌ C: la nomina di responsabili richiede un contratto (art. 28), non una DPIA. ❌ D: la modifica dell'informativa non richiede automaticamente una DPIA.

✅ B. Titolare (Controller): decide perché e come trattare i dati → responsabilità primaria. Responsabile (Processor): tratta per conto del titolare, seguendo le istruzioni contrattuali (art. 28). ❌ A: entrambi possono essere persone fisiche o giuridiche. ❌ C: il responsabile è spesso un fornitore esterno (es. cloud provider, società di marketing). ❌ D: hanno responsabilità distinte e diversi obblighi GDPR.

✅ B. Capitolo V GDPR: i trasferimenti extra-UE sono leciti se: 1) Decisione di adeguatezza della Commissione (es. UK, Svizzera, Giappone); 2) Garanzie appropriate: Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), codici di condotta. ❌ A: la popolazione non è criterio GDPR. ❌ C: HTTPS cifra la trasmissione ma non costituisce una base giuridica per il trasferimento. ❌ D: il volume di dati non è rilevante.

✅ B. La minimizzazione vieta la raccolta di dati «per ogni evenienza» (data hoarding). I dati devono essere strettamente necessari alla finalità dichiarata. ❌ A: è l'opposto del principio. ❌ C: la durata di conservazione è il principio di «limitazione della conservazione» (art. 5 lett. e), non di minimizzazione; 10 anni non è un termine fisso GDPR. ❌ D: l'anonimizzazione è consigliata ma non obbligatoria entro 30 giorni.

✅ C (14). /28 = 28 bit di rete, 4 bit per gli host. 2^4 = 16 indirizzi totali. Host utilizzabili = 16 - 2 (network address + broadcast) = 14. ❌ A (30): sarebbe /27 (5 bit host, 2^5-2=30). ❌ B (16): è il totale inclusi network e broadcast. ❌ D (8): sarebbe /29 (3 bit host, 2^3-2=6) — 8 non corrisponde a nessuna subnet comune.

✅ B. IPv6: 128 bit (vs 32 IPv4), header semplificato (no checksum, no frammentazione nei router), SLAAC per autoconfigurazione senza DHCP, multicast nativo. NAT NON è necessario grazie all'enorme spazio di indirizzamento. ❌ A: 64 bit non è IPv6. ❌ C: IPv6 elimina la necessità di NAT (non lo rende obbligatorio). ❌ D: l'header IPv6 è fisso a 40 byte (più grande di IPv4), ma più semplice.

✅ B. SSH cifra l'intera sessione (negoziazione, autenticazione, comandi, output). Telnet trasmette tutto in chiaro, incluse le password → inaccettabile su reti non fidate. ❌ A: SSH usa cifratura che aggiunge overhead ma non compressione obbligatoria. ❌ C: SSH usa porta 22; Telnet usa porta 23 (invertiti nella risposta). ❌ D: SSH supporta nativamente l'autenticazione con chiave pubblica (è una delle sue principali caratteristiche).

✅ B. CSRF: l'utente è autenticato su sito-legittimo.it; un sito malevolo contiene una richiesta automatica verso sito-legittimo.it che viene eseguita con la sessione/cookie dell'utente. La prevenzione è il CSRF token (valore casuale nel form verificato lato server). ❌ A: è XSS. ❌ C: è man-in-the-middle. ❌ D: è command injection / OS injection.

✅ B. MitM: l'attaccante si interpone tra client e server. TLS con verifica del certificato (catena di fiducia) rende impraticabile l'intercettazione senza che il client veda un warning. HSTS forza HTTPS. Certificate pinning associa il certificato atteso all'applicazione. ❌ A: il firewall filtra il traffico ma non autentica l'identità del server. ❌ C: l'antivirus non previene MitM a livello di rete. ❌ D: il rate limiting limita gli abusi ma non protegge dall'intercettazione.

✅ B. Il WAF analizza il traffico HTTP/HTTPS e blocca richieste che corrispondono a pattern di attacchi web noti (OWASP Top 10). Opera a livello applicativo (L7). ❌ A: gli attacchi DDoS volumetrici sono mitigati da CDN, scrubbing center, BGP blackholing — non dal WAF. ❌ C: le vulnerabilità OS sono coperte da patch management e IDS/IPS a livello OS. ❌ D: la sicurezza fisica è separata dalla sicurezza applicativa.

✅ B. DNSSEC firma crittograficamente i record DNS con la chiave privata della zona. Il resolver verifica le firme usando la chiave pubblica → autentica l'origine e garantisce integrità (nessuna manomissione). NON cifra il contenuto (per cifratura: DNS over HTTPS o DNS over TLS). ❌ A: DNSSEC non cifra le query. ❌ C: DNSSEC non autentica gli utenti. ❌ D: il caching è funzione del DNS resolver, non di DNSSEC.

✅ B. Zero Trust: «never trust, always verify». Anche un utente dentro la rete aziendale deve autenticarsi e autorizzarsi per ogni risorsa. Contesto (device, location, orario) è sempre valutato. ❌ A: il modello tradizionale «castle and moat» (fiducia implicita interna) è esattamente ciò che Zero Trust supera. ❌ C: Zero Trust si applica sia agli accessi interni sia esterni. ❌ D: il perimetro da solo non è sufficiente (lateral movement, insider threat).

✅ B. A 'stakeholder' is anyone with an interest in the project: sponsors, users, team members, regulators, affected communities. ❌ A: the budget holder is the sponsor or PMO, a subset of stakeholders. ❌ C: the supervisor may be a stakeholder but it's not the definition. ❌ D: a tester is a team role, not the meaning of stakeholder.

✅ B. 'Deploy' = rilasciare e installare il software nell'ambiente di destinazione (produzione, test, cloud). ❌ A: design is 'to architect' or 'to design'. ❌ C: documentation is 'to document'. ❌ D: vulnerability testing is 'to pen-test' or 'to assess'.

✅ B. First conditional (real possibility): If + present simple → will + infinitive. 'Lose' (not 'loose') is the correct spelling. ❌ A: 'loose' is an adjective (lento/allentato); the verb is 'lose'. ❌ C: 'will fail' in the if-clause is incorrect in first conditional. ❌ D: mixing past simple with 'will' creates an incorrect conditional form.

✅ B. 'Compliance' = conformità alle leggi, regolamenti, standard (es. GDPR compliance, NIS2 compliance). ❌ A: 'compression' refers to data size reduction. ❌ C: compliance is not a network protocol. ❌ D: 'compiling' is the technical process of code compilation — unrelated.

✅ B. 'Legacy system' = sistema obsoleto ancora in uso (es. applicativi COBOL del 1980 ancora attivi in banche o PA). Difficile da mantenere, aggiornare e integrare con architetture moderne. ❌ A: il contrario di legacy. ❌ C: license management system è un'altra cosa. ❌ D: un backup system ha una funzione specifica diversa.

✅ B. Il principio del minimo privilegio impone accessi giustificati, temporanei e tracciati. Richiedere motivazione documentata protegge il dirigente, il consulente e l'ente. L'accesso temporaneo con log è un compromesso professionale. ❌ A: eseguire senza domande viola il principio del minimo privilegio e la policy di sicurezza. ❌ C: il rifiuto categorico senza dialogo è inappropriato. ❌ D: avvisare il consulente non sostituisce la corretta procedura di autorizzazione.

✅ B. Password in chiaro nei log è una vulnerabilità critica. La segnalazione al responsabile della sicurezza è immediata. La remediation include: correggere il codice (mai loggare credenziali), bonificare i log esistenti (con accesso controllato), valutare se è avvenuto un data breach GDPR. ❌ A: eliminare i log senza valutazione potrebbe distruggere prove di un incidente. ❌ C: l'informativa privacy non risolve il problema tecnico. ❌ D: aspettare di capire chi ha letto ritarda la remediation.

✅ C. I requisiti formali sono necessari ma non sufficienti: un servizio PA deve essere effettivamente usabile (art. 1 L. 4/2004, WCAG). Documentare in verbale tutela la PA e impone al fornitore una remediation formale. ❌ A: accettare un sistema inutilizzabile espone la PA a reclami e inefficienza. ❌ B: il rifiuto senza documentazione non produce azioni concrete. ❌ D: la segnalazione verbale non ha valore contrattuale.

✅ B. La ricezione accidentale non autorizza il trattamento. Azione corretta: segnalare l'errore al mittente (che può valutare il data breach), cancellare l'email, non accedere o trattare i dati ricevuti erroneamente. ❌ A: leggere il contenuto costituisce trattamento non autorizzato. ❌ C: trasferire i dati amplia la violazione. ❌ D: pubblicare internamente aggrava la violazione.

✅ B. Un componente EOL non riceve patch di sicurezza → rischio crescente nel tempo. La remediation pianificata (aggiornamento o sostituzione) è la risposta corretta, con misure compensative nel frattempo (WAF, isolamento, monitoraggio). ❌ A: «se funziona non toccare» non è accettabile per la sicurezza. ❌ C: la decisione tecnica spetta al team IT, non agli utenti finali. ❌ D: la migrazione completa in 30 giorni è spesso irrealistica e va pianificata.

✅ B. Il GDPR (art. 5, 15) permette l'accesso ai dati solo all'interessato o a chi ha delega/procura. Fornire dati di terzi a chi non ha titolo è una violazione. ❌ A: la credibilità non sostituisce il titolo giuridico. ❌ C: la risposta non dipende dal superiore ma dalla norma. ❌ D: anche informazioni parziali potrebbero violare la privacy se riferite a terzi identificabili.

✅ B. Un deploy senza rollback verificato è un rischio operativo inaccettabile per sistemi produttivi. Il test in staging è obbligatorio. Se non c'è tempo, si posticipa. ❌ A: «improvvisare» un rollback durante un incidente è la ricetta per un downtime prolungato. ❌ C: il fornitore non può garantire il rollback senza averlo testato. ❌ D: il canary deployment riduce il rischio ma non sostituisce la procedura di rollback documentata e testata.

✅ C. L. 241/1990 e GDPR coesistono: l'accesso agli atti va bilanciato con la privacy dei terzi. La PA oscura (o nega) i dati dei terzi che non sono strettamente necessari per la tutela del richiedente. ❌ A: l'accesso non è assoluto — le eccezioni includono la privacy di terzi. ❌ B: il rigetto totale è sproporzionato se i dati del richiedente sono accessibili. ❌ D: il Garante non decide le singole richieste di accesso agli atti.

✅ B. Il debito tecnico non gestito aumenta i costi futuri in modo non lineare. La soluzione pragmatica è dedicare una quota fissa dello sprint alla riduzione del debito (refactoring, test, documentazione) e rendere visibile il rischio al management con metriche concrete. ❌ A: ignorare il debito porta a sistemi sempre più fragili e costosi. ❌ C: il big rewrite è raramente la soluzione (spesso genera nuovo debito). ❌ D: il personale aggiuntivo non riduce il debito senza una strategia di prioritizzazione.

✅ B. Usare dati reali in ambiente di test viola il GDPR: i dati sono raccolti per una finalità (il servizio) non compatibile con il test. La soluzione corretta è la generazione di dati sintetici o la pseudonimizzazione/anonimizzazione robusta. ❌ A: «cancellare dopo» non risolve il problema durante il test (accessi non autorizzati, log). ❌ C: il mascheramento nell'UI non protegge i dati nel DB di test. ❌ D: il consenso non sarebbe sufficiente: la finalità test non è compatibile con quella originale.

✅ C. Il conflitto di priorità va gestito in modo trasparente: comunicare a tutti gli stakeholder, far emergere la priorità (che è una decisione di business, non tecnica) e concordare l'ordine. ❌ A: lavorare in parallelo su task che richiedono focus divide la qualità. ❌ B: FIFO senza comunicazione lascia i manager senza visibilità sui ritardi. ❌ D: la gerarchia formale non è sempre il criterio giusto per la priorità operativa.

✅ C. Una stima senza requisiti è fiction. Comunicarlo chiaramente e proporre un mini-analisi per produrre una stima fondata è la risposta professionale. ❌ A: la stima generosa crea false aspettative e spreco. ❌ B: una stima rapida non fondata verrà presa come impegno e causerà problemi. ❌ D: dichiarare l'impossibilità totale non è costruttivo — l'analisi di 1-2 giorni è una proposta concreta.

✅ B. Il rallentamento progressivo è un segnale da analizzare proattivamente (approccio SRE/ITIL: problem management, non solo incident). Diagnosticare la causa radice prima del punto di rottura evita l'indisponibilità. ❌ A: aspettare il crash è reattivo e costoso. ❌ C: aggiungere risorse senza diagnosi può mascherare il problema senza risolverlo. ❌ D: aspettare le segnalazioni degli utenti è troppo tardivo e danneggia la fiducia.

✅ B. La «risoluzione» del fornitore deve essere verificata con test concreti. Le segnalazioni degli utenti sono prove da documentare e riportare al fornitore con evidenze (screenshot, log, video). ❌ A: chiudere il ticket basandosi solo sulla dichiarazione del fornitore viola la verifica di qualità. ❌ C: verificare il lato utente è corretto MA non sostituisce la verifica tecnica. ❌ D: aspettare è inaccettabile se gli utenti sono impattati.

✅ B. Il funzionario proattivo segnala le lacune (ownership collettiva della qualità) e propone soluzioni. L'autorizzazione formale tutela il dipendente e garantisce visibilità. ❌ A: l'inerzia di fronte a un rischio noto è irresponsabile. ❌ C: agire senza comunicare impedisce al management di avere visibilità e prendersi responsabilità. ❌ D: aspettare l'incidente è il peggio scenario (danno reale + «avevi notato il rischio e non hai detto nulla?»).

PaaS (Platform as a Service) offre una piattaforma di sviluppo gestita: il provider gestisce OS, middleware, runtime. Il cliente si occupa solo del codice. IaaS fornisce VM/rete/storage. SaaS fornisce applicazioni pronte. FaaS è serverless.

In SaaS il provider gestisce tutto lo stack tecnologico. Il cliente è responsabile solo dei propri dati e della gestione degli account/accessi.

L'elasticità cloud è la capacità di aumentare o ridurre automaticamente le risorse (CPU, memoria, storage) in risposta alla domanda in tempo reale. La fault tolerance è la sopravvivenza ai guasti.

In FaaS (Function as a Service) il provider esegue funzioni discrete in risposta a eventi; il cliente non gestisce server e paga per invocazione/durata.

Kubernetes (K8s) è un sistema open-source per automatizzare il deployment, lo scaling e la gestione di applicazioni containerizzate.

Il multi-cloud riduce la dipendenza da un singolo fornitore (vendor lock-in) e aumenta la resilienza: se un provider ha un outage, i servizi su altri provider continuano.

La strategia cloud PA italiana prevede la migrazione verso il PSN (Polo Strategico Nazionale) e l'utilizzo di servizi cloud qualificati da AgID, secondo la classificazione dati in strategici, critici e ordinari.

Il cloud ibrido integra un cloud privato (on-premise o dedicato) con uno o più cloud pubblici, permettendo workload portability e burst capacity.

Le 5V del Big Data: Volume (quantità), Velocity (velocità), Variety (formati eterogenei), Veracity (qualità/affidabilità), Value (valore estraibile).

L'overfitting si verifica quando il modello memorizza i dati di training (incluso il rumore) invece di apprendere pattern generalizzabili, risultando in alta accuracy sul training e bassa su dati nuovi. Il contrario è underfitting.

Apache Hadoop MapReduce è il framework classico per batch processing distribuito su grandi dataset (HDFS + job MapReduce). Kafka è un message broker per streaming. NiFi è per data flow/ETL. Redis è un in-memory data store.

Il data lake memorizza dati in formato nativo/grezzo senza imporre uno schema (schema-on-read), a differenza del data warehouse che richiede schema predefinito (schema-on-write) e dati strutturati.

Il collaborative filtering analizza i comportamenti e le preferenze di utenti simili ('chi ha apprezzato X ha anche apprezzato Y') senza analizzare le caratteristiche degli oggetti.

Apache Spark elabora i dati in-memory (RAM) invece di scrivere su disco tra ogni step come MapReduce, risultando generalmente 10-100x più veloce per molti workload.

L'AI Act è stato pubblicato nella GU dell'UE il 12 luglio 2024 ed è entrato in vigore il 1 agosto 2024 (20 giorni dopo la pubblicazione). L'applicazione è differita: 6 mesi per divieti, 12 mesi per GPAI, 24 mesi per alto rischio.

I sistemi AI a rischio inaccettabile (es. social scoring da governi, manipolazione subliminale, biometric mass surveillance in tempo reale) sono vietati nell'UE. Gli altri livelli hanno obblighi crescenti.

L'allegato III dell'AI Act classifica i sistemi AI per selezione/assunzione del personale (incluse PA) come ad 'alto rischio', soggetti a obblighi di qualità dei dati, documentazione, trasparenza, supervisione umana.

I GPAI (General Purpose AI) sono modelli come i Large Language Models (LLM) addestrati su larga scala con capacità polivalenti. Soggetti a obblighi specifici tra cui trasparenza, copyright e valutazione per modelli con rischi sistemici.

L'AI Office (istituito con Decisione della Commissione europea, febbraio 2024) è l'organismo europeo centrale per l'applicazione dell'AI Act, in particolare per i modelli GPAI. Le autorità nazionali vigilano sugli altri sistemi.

I fornitori di sistemi AI ad alto rischio hanno obblighi multipli: sistema di gestione della qualità, documentazione tecnica, registrazione nell'EU AI database, trasparenza, supervisione umana, robustezza e sicurezza informatica.

La Direttiva NIS2 è stata recepita in Italia con il D.Lgs. n. 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024. Il D.Lgs. 65/2018 era il recepimento della NIS1. La L. 90/2024 riguarda la cybersecurity PA (Legge Crosetto).

L'ACN (Agenzia per la Cybersicurezza Nazionale), istituita con D.L. 82/2021, è l'autorità nazionale competente NIS2, gestisce il CSIRT Italia e coordina la risposta agli incidenti cyber.

I soggetti essenziali (energia, trasporti, banche, sanità, acqua, infrastrutture digitali) hanno vigilanza ex-ante proattiva e sanzioni fino a 10M€ o 2% fatturato. I soggetti importanti: vigilanza ex-post e sanzioni fino a 7M€ o 1,4%.

NIS2 introduce un processo in tre fasi: allerta precoce entro 24h, notifica entro 72h con valutazione iniziale, relazione finale entro 1 mese. Il termine GDPR per data breach è 72h ma è una norma diversa.

La L. 90/2024 (Legge Crosetto) obbliga le PA a notificare gli incidenti ad ACN entro 24h, a nominare un referente per la cybersicurezza e ad adottare misure di sicurezza minime secondo le linee guida ACN.

Il CSIRT Italia (Computer Security Incident Response Team) riceve le notifiche di incidenti NIS2/GDPR, coordina la risposta a livello nazionale, coopera con ENISA e gli altri CSIRT europei.

L'art. 21 NIS2 elenca misure minime obbligatorie: politiche di analisi del rischio, gestione incidenti, continuità operativa (BCP/DRP), sicurezza della supply chain, sicurezza nello sviluppo, valutazione efficacia misure, igiene informatica, crittografia, MFA, comunicazioni sicure.

L'art. 37 GDPR stabilisce che tutti gli enti pubblici (autorità e organismi pubblici) devono designare obbligatoriamente un DPO, indipendentemente dal tipo di trattamento o dimensione.

La pseudonimizzazione (art. 4 n.5 GDPR) sostituisce gli identificativi diretti con alias, ma i dati rimangono personali perché la re-identificazione è possibile con le informazioni aggiuntive. Diversa dall'anonimizzazione (irreversibile).

Art. 35 GDPR: la DPIA è obbligatoria per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, videosorveglianza su larga scala. Il Garante pubblica liste di casi obbligatori.

Artt. 44-49 GDPR: i trasferimenti extra-UE richiedono: decisione di adeguatezza (es. UK, Giappone, USA con DPF), garanzie adeguate (clausole contrattuali standard, BCR, codici di condotta), o deroghe specifiche.

Art. 83(5) GDPR: le violazioni più gravi comportano sanzioni fino a 20M€ o 4% del fatturato mondiale annuo. Le violazioni meno gravi (art. 83(4)) prevedono fino a 10M€ o 2%.

Art. 33 GDPR: il titolare notifica il data breach all'autorità di controllo entro 72 ore dalla scoperta, salvo che sia improbabile che presenti un rischio per i diritti e le libertà delle persone.

L'art. 9 GDPR elenca le categorie speciali che richiedono protezione rafforzata: origine razziale/etnica, opinioni politiche, convinzioni religiose/filosofiche, appartenenza sindacale, dati genetici, biometrici identificativi, dati sanitari, vita/orientamento sessuale.

Il CAD è il D.Lgs. 7 marzo 2005, n. 82, più volte modificato. Il D.Lgs. 196/2003 è il Codice Privacy (ora sostituito). Il D.Lgs. 165/2001 è il TUPI. Il D.Lgs. 33/2013 è il Decreto Trasparenza.

Art. 3-bis CAD: il domicilio digitale è un indirizzo PEC o altro servizio di recapito certificato qualificato, registrato nell'INAD (Indice Nazionale dei Domicili Digitali). SPID è un'identità digitale, non un domicilio.

Art. 21 CAD: il documento informatico sottoscritto con firma digitale o altra firma elettronica qualificata ha l'efficacia prevista dall'art. 2702 c.c. (scrittura privata). La firma elettronica semplice ha valore probatorio libero.

Art. 64-bis CAD: le PA devono rendere disponibili i propri servizi in rete tramite la piattaforma digitale nazionale dati e garantire l'interoperabilità tramite API. Il cittadino ha diritto all'accesso digitale (art. 3 CAD).

Art. 69 CAD: le PA che abbiano svolto sviluppo di software sono tenute a rendere il codice sorgente disponibile su piattaforme pubbliche (Developers Italia) in modalità open source, salvo motivate eccezioni.

Il SPC (artt. 73-87 CAD) è l'infrastruttura di interconnessione telematica delle PA italiane, gestita da AgID, che garantisce sicurezza, qualità e interoperabilità delle comunicazioni tra le PA.

Il Piano Triennale è adottato dalla Presidenza del Consiglio dei Ministri su proposta di AgID (art. 14-bis CAD). Definisce la strategia ICT della PA: cloud, interoperabilità, sicurezza, dati, piattaforme abilitanti.

Art. 2 D.Lgs. 165/2001: il rapporto di impiego pubblico è regolato dal codice civile e dalle leggi sui rapporti di lavoro subordinato privato, nonché dai CCNL. È il principio di 'privatizzazione' del pubblico impiego.

Art. 5 D.Lgs. 165/2001: il potere di gestione del personale spetta ai dirigenti (potere privatistico), mentre gli organi politici definiscono gli obiettivi e le risorse (atti di indirizzo). È il principio di separazione politica-gestione.

Il D.Lgs. 24/2023 ha recepito la Direttiva UE 2019/1937 (Whistleblowing), abrogando il previgente art. 54-bis D.Lgs. 165/2001. Introduce tutele rafforzate per chi segnala illeciti, sia nel pubblico che nel privato.

Art. 36 D.Lgs. 165/2001: il lavoro flessibile è ammesso solo per esigenze temporanee ed eccezionali. La violazione non determina conversione a tempo indeterminato ma obbliga al risarcimento del danno.

Art. 28 D.Lgs. 165/2001: l'accesso alla dirigenza avviene tramite concorso pubblico (bandito dalla SNA) o corso-concorso selettivo. Gli incarichi a esterni sono ammessi entro limiti percentuali definiti dalla legge.

Il D.P.R. 62/2013 si applica a tutti i dipendenti delle PA (art. 2), inclusi i collaboratori a qualsiasi titolo. Le PA possono adottare codici integrativi. La violazione costituisce illecito disciplinare.

Art. 2 L. 241/1990: il termine generale è di 30 giorni, salvo che disposizioni legislative o regolamentari stabiliscano termini diversi (max 90 giorni per PA statali, 180 per casi eccezionali autorizzati dal CdM).

Art. 20 L. 241/1990: per i procedimenti ad istanza di parte, la mancata risposta entro il termine equivale ad accoglimento (silenzio-assenso), salvo eccezioni per interessi primari (sicurezza, salute, patrimonio culturale, ecc.).

Artt. 14-14-quinquies L. 241/1990: la Conferenza di servizi riunisce le PA interessate a un procedimento per acquisire simultaneamente pareri, riducendo i tempi rispetto alle procedure sequenziali.

Il D.Lgs. 33/2013 disciplina gli obblighi di pubblicazione sul sito istituzionale (sezione 'Amministrazione Trasparente') e il diritto di accesso civico e accesso civico generalizzato (FOIA italiano).

Art. 6 L. 241/1990: il responsabile del procedimento valuta l'ammissibilità, acquisisce dichiarazioni/documenti, propone o emette il provvedimento. Non ha necessariamente potere decisionale finale (che può spettare al dirigente).

OSPF è un protocollo IGP (Interior Gateway Protocol) di tipo link-state: ogni router costruisce una mappa topologica completa della rete e calcola il percorso più breve con l'algoritmo di Dijkstra.

BGP è il protocollo EGP (Exterior Gateway Protocol) che gestisce il routing tra Autonomous System (AS) su Internet. I router degli ISP usano BGP per scambiarsi le tabelle di routing globali.

Gli indirizzi IPv6 sono di 128 bit (vs 32 bit di IPv4), scritti come 8 gruppi di 4 cifre esadecimali separati da ':'. Permette circa 3.4×10^38 indirizzi distinti.

Le VLAN segmentano a livello logico (layer 2) una rete fisica in più broadcast domain separati, migliorando sicurezza e gestione. Il traffico inter-VLAN richiede routing (router o switch L3).

SDN disaccoppia il control plane (decisioni di routing, su un controller centralizzato software) dal data plane (forwarding dei pacchetti negli switch). Permette programmabilità e gestione centralizzata della rete.

In un attacco MitM, l'attaccante si posiziona tra A e B, intercettando il canale di comunicazione. Può leggere (sniffing) e/o modificare (tampering) i dati. Contromisure: TLS con pinning, HSTS, autenticazione mutua.

TLS garantisce: autenticazione (verifica del certificato server), confidenzialità (cifratura simmetrica), integrità (MAC/HMAC). Tutte e tre le proprietà insieme.

QoS classifica il traffico e garantisce risorse (banda, latenza, jitter) ai flussi critici (VoIP, videoconferenza) rispetto al traffico best-effort. Fondamentale nelle reti convergenti.

Un DDoS usa una botnet (molti sistemi compromessi) per saturare le risorse del target (banda, CPU, memoria) rendendolo irraggiungibile ai legittimi utenti. Diverso da un attacco di esfiltrazione dati.

I document store (MongoDB, CouchDB) memorizzano dati come documenti semi-strutturati (JSON, BSON) con schema flessibile. Key-value sono Redis/DynamoDB. Graph database sono Neo4j.

Il teorema CAP (Brewer, 2000): un sistema distribuito può garantire al massimo due di: Consistency (tutti i nodi vedono gli stessi dati), Availability (ogni richiesta riceve risposta), Partition Tolerance (funziona anche se nodi si disconnettono).

Il problema N+1 query: si carica 1 query per N oggetti, poi per ogni oggetto si fa 1 query aggiuntiva, risultando in N+1 query totali invece di una sola con JOIN. Risolto con eager loading.

Gli indici B-Tree sono ottimali per equality lookups (=), range queries (BETWEEN, >, <), e ORDER BY. Per full-text si usano indici GIN/GIST (PostgreSQL) o FULLTEXT (MySQL).

SERIALIZABLE è il livello di isolamento più alto: garantisce che il risultato di transazioni concorrenti sia equivalente a una loro esecuzione seriale. Protegge da dirty read, non-repeatable read e phantom read.

La CI prevede integrazione frequente del codice nel repository. Ogni integrazione scatta build automatica e test, rilevando errori rapidamente. La CD si occupa del deploy.

I microservizi decompongono l'applicazione in servizi autonomi, con responsabilità singola, deployabili e scalabili indipendentemente, comunicanti via API REST/gRPC/message broker.

IaC è la pratica di definire e gestire l'infrastruttura tramite codice dichiarativo (Terraform, CloudFormation) o imperativo (Ansible, Chef), versionato in un repository Git come il codice applicativo.

Nel blue-green deployment si mantengono due ambienti produzione identici: blue è attivo, green riceve il nuovo deploy. Quando verificato, lo switch del traffico è istantaneo via load balancer, con rollback immediato possibile. Il canary è progressivo.

ISO/IEC 27001 definisce i requisiti per implementare, mantenere e migliorare un Sistema di Gestione della Sicurezza delle Informazioni (ISMS). Può essere certificata da enti accreditati.

Le 5 funzioni del NIST CSF: Identify (asset/rischi), Protect (controlli preventivi), Detect (rilevazione eventi), Respond (risposta all'incidente in corso), Recover (ripristino post-incidente).

Le prepared statements separano il codice SQL dai dati, rendendo impossibile l'iniezione. Complementari: ORM, stored procedure, validazione input, WAF come difesa in profondità.

L'MFA richiede almeno due fattori di categorie diverse: Conoscenza (password, PIN), Possesso (OTP token, smartphone, smart card), Inerenza/Biometria (impronta, volto). Due password sono entrambe 'qualcosa che sai'.

Il modello Zero Trust assume che nessuna entità (utente, dispositivo, servizio) sia affidabile per default, anche se si trova all'interno della rete aziendale. Ogni accesso richiede verifica continua (identity, device health, context).

Il vulnerability assessment scansiona e classifica le vulnerabilità. Il penetration test va oltre: tenta attivamente di sfruttare le vulnerabilità per dimostrare l'impatto reale, simulando un attaccante reale (con autorizzazione esplicita).

Il ransomware cifra i file (o l'intero disco) della vittima usando crittografia asimmetrica, chiedendo un riscatto in criptovaluta per la chiave privata. Spyware = raccolta dati. RAT = accesso remoto. Worm = auto-replica.

NoiPA è la piattaforma per la gestione del personale e delle paghe dei dipendenti pubblici, gestita dal Dipartimento della Ragioneria Generale dello Stato (MEF/RGS). Gestisce cedolini, TFR, permessi per circa 1,4 milioni di dipendenti.

Il Casellario Centrale Infortuni è gestito dall'INAIL (Istituto Nazionale Assicurazione Infortuni sul Lavoro), che raccoglie i dati su infortuni sul lavoro e malattie professionali. INPS gestisce pensioni e ammortizzatori sociali.

Dal 1° ottobre 2021 l'INPS ha progressivamente disattivato il PIN e le credenziali proprietarie, adottando i sistemi di identità digitale nazionali: SPID, CIE (Carta d'Identità Elettronica) e CNS (Carta Nazionale dei Servizi).

La fattura elettronica italiana B2B usa il formato XML FatturaPA, trasmessa tramite il Sistema di Interscambio (SdI) dell'Agenzia delle Entrate. L'SdI valida il file, lo recapita al destinatario e conferma la ricezione.

Il cassetto fiscale (accessibile tramite SPID/CIE/CNS) è l'area riservata dove il contribuente consulta: dichiarazioni presentate, versamenti effettuati, rimborsi richiesti/erogati, atti e comunicazioni dell'AdE.

AIDA è il sistema informatico dell'Agenzia delle Dogane che gestisce le dichiarazioni doganali di importazione/esportazione, il calcolo dei dazi, i controlli e lo sdoganamento delle merci.

ICS2 è il sistema doganale europeo per la sicurezza delle spedizioni in entrata nell'UE: impone la presentazione di dati pre-arrivo (Entry Summary Declaration) per analisi del rischio prima che le merci arrivino al confine UE.

Throughput is the actual data transfer rate achieved in practice, which is always lower than the theoretical bandwidth due to overhead and congestion. Bandwidth is the theoretical max. Latency is the travel time.

Technical debt (Ward Cunningham's metaphor) is the future cost of rework caused by taking shortcuts — like financial debt, it accumulates 'interest' (increasing cost to fix later).

An API Gateway is a reverse proxy handling cross-cutting concerns: authentication/authorization, SSL termination, rate limiting, request routing, load balancing, caching, and logging.

Idempotency: calling the same API endpoint multiple times with the same parameters produces the same result as calling it once. GET, PUT, DELETE are idempotent; POST typically is not.

A zero-day vulnerability is unknown to the vendor or the public, so there is no patch available. It's extremely dangerous because defenders have 'zero days' to prepare before attackers can exploit it.

Modus Tollens: P→Q (certificato→sicuro); ¬Q (non sicuro); quindi ¬P (non certificato). Se fosse certificato dovrebbe essere sicuro, ma non lo è.

Dalle relazioni: Analisi < Design < Sviluppo < Test. L'ordine corretto è: Analisi → Design → Sviluppo → Test.

Per eventi indipendenti: P(A∩B) = P(A) × P(B) = 0.1 × 0.05 = 0.005. La somma 0.15 si usa solo per eventi mutuamente esclusivi.

Fibonacci: ogni termine è la somma dei due precedenti. 8+13=21.

Numero di link in un grafo completo con n nodi: n(n-1)/2 = 6×5/2 = 15.

Pattern: lettera ogni 2 posizioni nell'alfabeto (A→C→E→G→I) + numero crescente di 2 (1→3→5→7→9). Quindi I9.

Sillogismo: 'nessun virus è rilevato' = per tutti i virus: non rilevato. Questo malware è un virus → non è rilevato.

Ogni termine è diviso per 2: 100/2=50, 50/2=25, 25/2=12.5, 12.5/2=6.25.

Dal ragionamento sillogistico: router ⊆ dispositivi di rete; alcuni dispositivi di rete sono vulnerabili. L'intersezione tra router e dispositivi vulnerabili è indeterminata: è solo possibile che alcuni router siano vulnerabili.

Un allegato inatteso da mittente sconosciuto con urgenza fittizia è un classico phishing. Procedura: NON aprire l'allegato, segnalare al referente sicurezza/CERT interno. Eliminare senza segnalare non protegge l'organizzazione. Rispondere al mittente conferma l'account attivo.

Le credenziali hardcoded sono vulnerabilità critica (OWASP A07). Priorità: informare il responsabile, rimuovere URGENTEMENTE, sostituire con secrets manager, verificare se già esposte in git history o repository pubblici.

In caso di data breach con rischio per gli interessati: 1) notificare al Garante entro 72h, 2) valutare notifica agli interessati se rischio elevato, 3) attivare incident response, 4) documentare. La notifica è obbligatoria, non discrezionale.

La valutazione corretta include: interoperabilità (art. 68-69 CAD), formati aperti, accessibilità WCAG 2.1 AA (L. 4/2004), sicurezza, portabilità dati (no vendor lock-in), conformità GDPR, costo totale di proprietà.