Paniere domande

✅ C. Art. 45 CAD: il documento è SPEDITO quando il mittente lo consegna al proprio gestore (provider PEC). È CONSEGNATO quando è disponibile nella casella del destinatario. La lettura è irrilevante. ❌ A: la conferma di lettura non è il discrimine giuridico. ❌ B: quella è la definizione di «consegnato», non «spedito». ❌ D: il termine temporale non è previsto dall'art. 45.

✅ C. Art. 49 c.2 CAD: il messaggio è nella disponibilità giuridica del mittente fino alla CONSEGNA al destinatario (disponibilità nella casella). Dopo la consegna passa nella sfera del destinatario. ❌ A: l'eliminazione dalla cartella inviati è irrilevante. ❌ B: la lettura NON è il discrimine (il messaggio è del destinatario già dalla consegna, anche se non letto). ❌ D: nessun termine temporale fisso è previsto.

✅ C. Art. 21 c.2 CAD: il documento con firma digitale qualificata soddisfa il requisito della forma scritta e ha l'efficacia della scrittura privata ex art. 2702 c.c. (il disconoscimento spetta a chi nega l'autenticità). ❌ A: non è prova libera, ha valore legale specifico. ❌ B: la scrittura privata autenticata (art. 2703 c.c.) richiede l'autenticazione di un pubblico ufficiale — è un livello superiore non automatico. ❌ D: la firma digitale ha pieno valore probatorio.

✅ B. La firma elettronica avanzata (AdES) deve essere: univocamente connessa al firmatario, idonea a identificarlo, creata con dati sotto il controllo esclusivo del firmatario, collegata ai dati firmati in modo da rilevare modifiche. ❌ A: l'ente certificatore accreditato è requisito della firma qualificata (QES), non della AdES. ❌ C: l'equivalenza piena con la firma autografa per qualsiasi atto è propria della QES. ❌ D: l'HSM è tipico della QES ma non strettamente richiesto per la AdES.

✅ C. Art. 23 CAD: la copia informatica di documento analogico ha lo stesso valore dell'originale se la conformità è attestata da un pubblico ufficiale o da un soggetto autorizzato con firma digitale. ❌ A: il formato PDF/A è buona pratica ma non sufficiente da solo per il valore legale. ❌ B: il notaio può farlo ma non è l'unica figura autorizzata. ❌ D: la marca temporale garantisce la data, non la conformità.

✅ B. Art. 40 CAD: le PA formano gli atti originali su supporto informatico. La carta è l'eccezione (non la regola). Questo è il principio del «digital first» / «cloud first». ❌ A: è il vecchio paradigma pre-CAD, ora invertito. ❌ C: i formati aperti sono raccomandati ma non «esclusivi» o «certificati AgID» come unica opzione. ❌ D: non c'è un termine di 12 mesi fisso nel testo.

✅ B. Art. 41 CAD: il fascicolo informatico raccoglie i documenti relativi a un singolo procedimento amministrativo, in formato elettronico, con metadati che ne garantiscono l'identificazione e l'accessibilità. ❌ A: l'archivio complessivo è un concetto più ampio (patrimonio documentale). ❌ C: il protocollo è uno strumento separato (DPR 445/2000). ❌ D: le trasmissioni PEC sono tracciate dal provider, non dal fascicolo.

✅ B. La conservazione digitale a norma mira a preservare, nel lungo periodo, le proprietà essenziali dei documenti: autenticità (non alterati), integrità (completi), affidabilità (fonte certa), leggibilità (formati aperti), reperibilità. ❌ A: la riduzione dei costi è un effetto secondario, non lo scopo giuridico. ❌ C: la distruzione degli originali cartacei richiede specifiche condizioni (non è automatica dopo 5 anni). ❌ D: non esiste un obbligo di cloud unico nazionale per tutti gli archivi PA.

✅ C. Il Responsabile della Conservazione definisce e attua le politiche di conservazione, garantisce la sicurezza fisica e logica del sistema, il mantenimento della leggibilità nel tempo e la conformità alle regole tecniche AgID. ❌ A: la conservazione digitale non prevede firme autografe. ❌ B: la presenza fisica notturna non è un requisito del ruolo. ❌ D: non c'è un obbligo di invio semestrale al Ministero.

✅ B. SPID Livello 2: autenticazione a due fattori — qualcosa che si SA (password) + qualcosa che si HA (OTP via SMS/app). È il livello più usato nei servizi PA. Livello 1: solo password. Livello 3: aggiunge un fattore biometrico o un dispositivo hardware sicuro. ❌ A: è il livello 1. ❌ C: l'impronta digitale è il livello 3. ❌ D: la smart card qualificata è livello 3 o usata per la firma, non per il livello 2 SPID.

✅ B. Art. 65 CAD: le istanze telematiche sono valide se sottoscritte con firma digitale, inviate via PEC, trasmesse con identificazione tramite SPID o CIE, oppure accompagnate da copia del documento d'identità (eccezione per alcuni casi). ❌ A: non è richiesto l'uso esclusivo del portale ufficiale per la validità. ❌ C: l'email ordinaria non garantisce autenticazione, senza firma o PEC non ha lo stesso valore. ❌ D: la copia del documento d'identità è solo una delle modalità alternative, non l'unico requisito.

✅ B. Art. 68 CAD: le PA devono effettuare una «valutazione comparativa» che consideri in quest'ordine: 1) riuso di software PA esistente, 2) software open source, 3) software proprietario. La preferenza è per le soluzioni a basso costo e alta riusabilità. ❌ A: l'analisi dei rischi è separata (normativa NIS2/27001). ❌ C: le soglie per gara europea sono definite dal Codice Appalti, non dall'art. 68. ❌ D: AgID non approva preventivamente ogni acquisto software.

✅ B. Art. 69 CAD: la PA deve acquisire la proprietà (o titolarità dei diritti) del software sviluppato su commessa pubblica e renderlo disponibile per il riuso da parte di altre PA, pubblicando il codice sorgente con licenza aperta (es. EUPL, AGPL). ❌ A: i brevetti software non sono il meccanismo previsto dal CAD (e sono problematici nel diritto europeo). ❌ C: il lock-in con il fornitore è esattamente ciò che l'art. 69 vuole evitare. ❌ D: la SIAE non è coinvolta nel regime speciale del software PA.

✅ C. Art. 3-bis CAD: il domicilio digitale è l'indirizzo di posta elettronica certificata (PEC) o un servizio elettronico di recapito certificato qualificato (SERCQ), comunicato alla PA o all'INAD (Indice Nazionale dei Domicili Digitali). ❌ A: SPID è l'identità digitale (autenticazione), non il domicilio per le comunicazioni. ❌ B: l'email ordinaria non ha valore di domicilio digitale. ❌ D: l'SMS non ha valore giuridico equivalente alla PEC.

✅ B. La PEC (DPR 68/2005) fornisce: ricevuta di accettazione (dal proprio gestore) e ricevuta di avvenuta consegna (dal gestore del destinatario), entrambe con data/ora certa e valore legale. ❌ A: la PEC non cifra il contenuto end-to-end (il testo è leggibile dai gestori); per riservatezza occorre S/MIME o PGP. ❌ C: la PEC non appone firma digitale automatica sul contenuto. ❌ D: l'irrilevanza della lettura è un effetto collaterale della consegna, ma il «ripudio» in senso giuridico è diverso.

✅ B. La riforma Bassanini ha «privatizzato» il rapporto di lavoro: si applica il codice civile e la contrattazione collettiva, con alcune materie riservate alla legge (organizzazione macro-struttura, procedure concorsuali, responsabilità). ❌ A: privatizzazione del rapporto ≠ privatizzazione dell'ente. ❌ C: permangono differenze significative (concorso pubblico, responsabilità contabile, ecc.). ❌ D: gli atti di macro-organizzazione restano atti amministrativi impugnabili al TAR.

✅ B. Il principio cardine: l'organo di indirizzo politico (Ministro, Sindaco) determina gli obiettivi e verifica i risultati; il dirigente ha piena autonomia nell'attuazione gestionale e ne risponde. Questo evita l'interferenza politica nella gestione ordinaria. ❌ A: i ruoli sono invertiti rispetto alla realtà. ❌ C: le responsabilità sono distinte: politica per gli obiettivi, dirigenziale per l'attuazione. ❌ D: il dirigente risponde all'organo di vertice politico per i risultati, ma non con ingerenza nella gestione.

✅ C. Art. 40 c.3-quinquies D.Lgs. 165/2001: le clausole in contrasto con i vincoli e i limiti del CCNL nazionale sono NULLE (nullità assoluta, non annullabilità). Operano automaticamente, senza necessità di impugnazione. Le somme erogate in base a clausole nulle devono essere recuperate. ❌ A: non sono sospese, sono nulle ab initio. ❌ B: l'annullabilità relativa richiederebbe impugnazione — qui è nullità assoluta. ❌ D: nessuna ratifica può sanare la nullità di diritto.

✅ B. La contrattazione collettiva riguarda: trattamento economico, orario di lavoro, progressioni economiche, relazioni sindacali. ❌ A: organizzazione degli uffici, dotazioni organiche e procedure concorsuali sono riservate alla fonte unilaterale (legge/atto amministrativo), non contrattabili. ❌ C: responsabilità disciplinare e reclutamento sono materie legali. ❌ D: esistono materie esplicitamente escluse dalla contrattazione.

✅ B. Art. 55-bis D.Lgs. 165/2001: le sanzioni conservative (fino alla sospensione) sono irrogate dal dirigente; quelle espulsive (licenziamento) e i casi più gravi dall'UPD. ❌ A: il TAR può annullare su ricorso ma non irroga sanzioni. ❌ C: la Corte dei Conti giudica la responsabilità erariale (danno all'erario), non quella disciplinare. ❌ D: l'organo politico non può interferire nel procedimento disciplinare del singolo dipendente.

✅ B. Art. 63 D.Lgs. 165/2001: le controversie relative al rapporto di lavoro dei dipendenti pubblici privatizzati appartengono alla giurisdizione del giudice ordinario (giudice del lavoro). ❌ A: il TAR è competente per le materie non privatizzate (organizzazione macro, procedure concorsuali). ❌ C: la Corte dei Conti è competente per la responsabilità erariale. ❌ D: la Commissione di Garanzia ha funzioni regolatorie per scioperi, non giurisdizionali.

✅ B. L'ARAN rappresenta tutte le PA nella contrattazione collettiva nazionale. Firma i CCNL con le organizzazioni sindacali che raggiungono le soglie di rappresentatività. ❌ A: la contrattazione individuale è proibita nel pubblico impiego per i livelli non dirigenziali. ❌ C: il MEF può fissare i tetti di spesa ma non negozia direttamente. ❌ D: non è previsto un accordo diretto tra Presidente del Consiglio e segretari generali per i CCNL.

✅ B. Il dirigente pubblico ha un contratto di lavoro a tempo indeterminato ma riceve incarichi dirigenziali a termine (di norma 3-5 anni). Se i risultati sono insufficienti, l'incarico non è rinnovato o è revocato. ❌ A: l'incarico è a termine e revocabile; l'iscrizione al ruolo è separata. ❌ C: il mandato politico è escluso dalla riforma — la dirigenza è indipendente dalla politica nella gestione. ❌ D: la retribuzione ha componenti determinate dalla contrattazione ma l'incarico è individuale.

✅ B. Art. 36 D.Lgs. 165/2001: le PA ricorrono a contratti flessibili (tempo determinato, somministrazione) solo per esigenze temporanee e straordinarie non soddisfacibili con il personale di ruolo. L'abuso comporta conseguenze ma non la trasformazione a tempo indeterminato (a differenza del settore privato). ❌ A: la libertà contrattuale è molto più limitata che nel privato. ❌ C: i 36 mesi nel quinquennio sono un tetto del D.Lgs. 81/2015 applicabile al privato; nel pubblico le regole sono diverse. ❌ D: non è limitato ai profili mancanti in organico, ma alle esigenze eccezionali.

✅ A. Art. 53 D.Lgs. 165/2001: il dipendente pubblico non può svolgere incarichi retribuiti senza autorizzazione preventiva della PA. Le attività incompatibili (es. imprenditore commerciale) sono vietate. Le attività non remunerate non richiedono autorizzazione. ❌ B: le attività extraistituzionali remunerate richiedono autorizzazione. ❌ C: il divieto si applica a tutti i dipendenti, non solo ai dirigenti. ❌ D: le attività non remunerate (volontariato, sport amatoriale) sono generalmente libere.

✅ A. Il D.Lgs. 150/2009 (cd. riforma Brunetta, modificato dal D.Lgs. 74/2017 e dal D.Lgs. 149/2023) introduce il ciclo di gestione della performance, il piano della performance, gli OIV e la valutazione individuale con conseguenze sulla retribuzione accessoria. ❌ B: il CCNL disciplina gli aspetti economici della premialità ma non il sistema complessivo di valutazione. ❌ C: il DPR 62/2013 disciplina il comportamento etico, non la performance. ❌ D: l'art. 2 D.Lgs. 165/2001 regola le fonti del rapporto, non la valutazione.

✅ B. Il D.Lgs. 24/2023 (recepimento direttiva UE 2019/1937) protegge chi segnala illeciti tramite canali interni (RPCT), esterni (ANAC) o pubblici, a condizione che la segnalazione sia fondata e in buona fede. ❌ A: la critica pubblica sui social non è whistleblowing protetto e può costituire violazione disciplinare. ❌ C: il rifiuto di ordini è disciplinato altrove (obbligo di obbedienza salvo reati manifesti). ❌ D: la divulgazione di dati riservati alla stampa è protetta solo come ultima istanza e con condizioni molto stringenti.

✅ B. Il terzo parametro `true` di addEventListener attiva la fase di CAPTURING (discesa dalla radice al target). Con `false` (default) è il BUBBLING (risalita dal target alla radice). Non esistono «thread separati» nel modello di eventi DOM — JavaScript è single-threaded. ❌ A: il bubbling corrisponde al valore `false`. ❌ C: i thread separati non esistono per i gestori DOM normali. ❌ D: la coda microtask è per Promise/queueMicrotask, non per addEventListener.

✅ B. In fase di BUBBLING l'evento parte dal target (figlio) e risale verso gli antenati: prima gestore del figlio, poi del padre. In capturing (terzo parametro `true`) è l'opposto. ❌ A: descrive il comportamento in fase capturing, non bubbling. ❌ C: thread separati non esistono per il DOM. ❌ D: il padre riceve l'evento tramite bubbling, salvo `stopPropagation()`.

✅ B. `stopPropagation()` impedisce che l'evento si propaghi (né bubbling né capturing). `preventDefault()` annulla l'azione di default del browser (es. submit del form, follow di un link). Sono indipendenti: si possono usare entrambi, uno solo, o nessuno. ❌ A: sono metodi distinti con effetti diversi. ❌ C: li inverte. ❌ D: stopPropagation non ferma «tutti gli script», agisce solo sulla catena di propagazione dell'evento corrente.

✅ B. JS ha un singolo thread principale (main thread). L'event loop gestisce una coda di callback/messaggi eseguendoli uno alla volta. I Web Workers sono thread separati ma NON accedono al DOM direttamente. Le Promise non cambiano questo — usano la coda delle microtask nello stesso thread. ❌ A e D: il DOM non è thread-safe; l'accesso parallelo causerebbe race condition. ❌ C: anche le Promise girano nel main thread tramite microtask queue.

✅ C. La firma digitale = hash del documento cifrato con la CHIAVE PRIVATA del mittente. Solo il mittente conosce la propria chiave privata → autenticazione. Il destinatario verifica decifrando con la chiave PUBBLICA del mittente e confrontando con l'hash ricalcolato. ❌ A: cifrare l'hash con la propria chiave pubblica non darebbe autenticazione (chiunque ha la chiave pubblica). ❌ B: cifrare con la chiave pubblica del destinatario è la cifratura per RISERVATEZZA, non firma. ❌ D: la chiave privata del destinatario è segreta e usata per decifrare messaggi ricevuti.

✅ D. Per verificare la firma di Mario si usa la CHIAVE PUBBLICA di Mario (pubblica = accessibile a tutti). Il destinatario: 1) decifra la firma con la chiave pubblica di Mario → ottiene l'hash originale; 2) calcola l'hash del documento ricevuto; 3) se i due hash coincidono, la firma è valida. ❌ A: la chiave privata del destinatario serve per decifrare messaggi cifrati per lui. ❌ B: la chiave privata di Mario è segreta, non accessibile al destinatario. ❌ C: la propria chiave pubblica non ha relazione con la firma di Mario.

✅ C. Per riservatezza: si cifra con la CHIAVE PUBBLICA del destinatario (Sara). Solo Sara, con la propria chiave privata, potrà decifrarlo. ❌ A: cifrare con la propria chiave privata crea una firma (autenticazione), non riservatezza. ❌ B: cifrare con la propria chiave pubblica sarebbe decifrabile solo con la propria chiave privata — inutile per la comunicazione. ❌ D: la chiave privata di Sara è segreta e non accessibile al mittente.

✅ B (24TB). RAID 5: capacità = (N-1) × dimensione_disco = (7-1) × 4TB = 6 × 4TB = 24TB. Un disco equivalente è usato per la parità (distribuita tra tutti). ❌ A (28TB): sarebbe la capacità totale senza ridondanza (RAID 0). ❌ C (20TB): sarebbe (N-2)×4=20 → formula del RAID 6. ❌ D (16TB): formula errata.

✅ C (12TB). RAID 6: doppia parità → capacità = (N-2) × dimensione = (8-2) × 2TB = 6 × 2TB = 12TB. Tollera la perdita di 2 dischi contemporaneamente. ❌ A (16TB): è la capacità totale (RAID 0). ❌ B (14TB): formula (N-1) corretta per RAID 5, non RAID 6. ❌ D (10TB): formula errata.

✅ C. RAID 1 puro (mirroring) con 4 dischi: tutti i dischi contengono gli stessi dati → capacità = 1 disco = 1TB. Può perdere fino a 3 dischi su 4 (rimane almeno 1 copia). ❌ A (4TB): è la capacità totale senza ridondanza. ❌ B: RAID 1 con 2 dischi avrebbe 1TB e tollera 1 guasto; con 4 dischi la capacità rimane 1TB ma la tolleranza è maggiore. ❌ D: con 4 dischi in mirror si tollerano 3 guasti (non 2).

✅ B. RAID 10 = RAID 1 (mirroring) + RAID 0 (striping). I dati sono distribuiti in stripe su più coppie di dischi specchiati. Con 4 dischi: capacità = 50% del totale, tollera la perdita di 1 disco per ogni coppia. ❌ A: la parità distribuita è RAID 5. ❌ C: solo mirroring è RAID 1. ❌ D: striping con parità singola è RAID 5.

✅ B. REPEATABLE READ garantisce che le righe lette nella transazione non cambino se rilette → previene dirty read e non-repeatable read. NON previene i phantom read (nuove righe inserite da altre transazioni che appaiono in query successive con predicati di range). ❌ A: solo dirty read è READ COMMITTED. ❌ C: tutti e tre sono prevenuti da SERIALIZABLE (non da REPEATABLE READ). ❌ D: solo phantom read non corrisponde a nessun livello standard.

✅ B. READ COMMITTED previene SOLO i dirty read (lettura di dati non ancora committati). Non previene: non-repeatable read (stessa riga riletta dà valori diversi) né phantom read (nuove righe appaiono). ❌ A: tutti e tre prevenuti = SERIALIZABLE. ❌ C: non-repeatable read non è prevenuto da READ COMMITTED. ❌ D: i phantom read non sono prevenuti da READ COMMITTED.

✅ C. Phantom read = nuove righe (o righe eliminate) inserite/cancellate da altre transazioni compaiono (o scompaiono) tra due esecuzioni della stessa query con predicato (es. WHERE età > 30). ❌ A: è la definizione di dirty read. ❌ B: è la definizione di non-repeatable read (stessa riga, valore diverso). ❌ D: gli indici obsoleti sono un problema di implementazione, non un'anomalia di isolamento.

✅ B. Il principio fondamentale del layered architecture: ogni strato usa i servizi del layer SOTTO e espone servizi al layer SOPRA. La dipendenza è unidirezionale verso il basso. Questo garantisce separazione delle responsabilità e sostituibilità dei layer. ❌ A: l'accesso arbitrario tra strati elimina i vantaggi del layering. ❌ C: la comunicazione bidirezionale con TUTTI violerebbe l'incapsulamento. ❌ D: l'indipendenza totale non è corretta — ogni layer dipende da quello sotto.

✅ C. SHA-256 (SHA-2 family) produce sempre un hash di 256 bit = 32 byte. ❌ A (128 bit): è MD5 (sconsigliato, vulnerabile a collisioni). ❌ B (160 bit): è SHA-1 (deprecato). ❌ D (512 bit): è SHA-512 (stessa famiglia SHA-2 ma digest più lungo).

✅ B. La catena di fiducia PKI: il certificato del server è firmato da una CA intermedia, che è firmata dalla CA radice (root CA). Il client verifica la catena risalendo fino alla root CA che ha in memoria come fidata. ❌ A: la PKI gestisce l'autenticazione/identità; la cifratura usa le chiavi derivate dall'handshake TLS. ❌ C: le chiavi private NON vengono mai distribuite dalla CA — restano sempre sul proprietario. ❌ D: il rinnovo è un processo separato (ACME, SCEP).

✅ B. TLS 1.3 riduce a 1 round-trip (1-RTT) l'handshake rispetto ai 2 di TLS 1.2, con «0-RTT» per le sessioni ripristinate. Elimina algoritmi deboli (RSA key exchange, RC4, MD5/SHA-1) e usa solo suite sicure (ECDHE, AES-GCM, ChaCha20). ❌ A: TLS usa sempre sia asimmetrica (key exchange) sia simmetrica (dati). ❌ C: i certificati X.509 rimangono fondamentali per l'autenticazione. ❌ D: MD5 è eliminato da TLS 1.3, non adottato.

✅ C. HTTP 401 (Unauthorized) = manca l'autenticazione o le credenziali sono errate. Il client deve autenticarsi. ❌ A: l'autenticato senza permessi riceve 403 (Forbidden). ❌ B: risorsa inesistente = 404 Not Found. ❌ D: errore interno server = 500 Internal Server Error.

✅ B. Stateless = il server non mantiene stato della sessione tra richieste. Ogni richiesta è autosufficiente (include token di autenticazione, parametri, etc.). Questo facilita scalabilità orizzontale. ❌ A: il DB è separato dallo stato della sessione. ❌ C: il client può usare cookie/localStorage; il vincolo riguarda il server. ❌ D: le risorse REST hanno stato (possono essere modificate via PUT/PATCH/DELETE).

✅ B. La concatenazione diretta dell'input utente nella stringa SQL è la causa classica di SQL injection. Un input come `' OR '1'='1` modifica la logica della query. ❌ A, C, D: tutte usano parametri — il DBMS interpreta il valore dell'utente come dato puro, mai come codice SQL. Questo è il modo corretto (prepared statements / parametrized queries).

✅ B. XSS stored (persistente): lo script malevolo è salvato nel DB (es. in un commento) e viene servito a tutti gli utenti che visitano la pagina → più pericoloso. XSS reflected: il payload è nel request (URL, form) e il server lo «rimanda» (reflect) nella risposta → colpisce solo chi clicca il link malevolo. ❌ A: è l'opposto. ❌ C: non è richiesto accesso fisico. ❌ D: né l'uno né l'altro cifra il payload.

✅ C. Il «mero interesse commerciale» del responsabile del trattamento (data processor) non è una delle 6 basi giuridiche dell'art. 6 GDPR. Il responsabile tratta per conto del titolare, che deve avere una propria base giuridica. ❌ A: contratto (art. 6 c.1 lett. b) è base valida. ❌ B: obbligo legale (art. 6 c.1 lett. c) è base valida. ❌ D: legittimo interesse (art. 6 c.1 lett. f) è base valida (con bilanciamento).

✅ B. Il diritto alla cancellazione si esercita quando: i dati non sono più necessari allo scopo, il consenso è revocato (e manca altra base), si è opposto ex art. 21, trattamento illecito, obbligo legale. Ma ha eccezioni: obbligo legale di conservazione, interesse pubblico, ricerca scientifica, difesa in giudizio. ❌ A: non è assoluto. ❌ C: si applica a qualsiasi dato personale, non solo online. ❌ D: si applica anche ad altre basi giuridiche, non solo al consenso.

✅ C. Art. 33 GDPR: notifica al Garante entro 72 ore dalla scoperta, quando il breach è «suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche». Breach senza rischio = solo documentazione interna. ❌ A: 24 ore non è il termine GDPR. ❌ B: 48 ore non è il termine (era proposto in bozza ma non adottato). ❌ D: 30 giorni è il termine tipico per notifiche agli interessati in altri ambiti (NIS2), non al Garante GDPR.

✅ B. I 3 casi obbligatori per il DPO (art. 37 GDPR): 1) Autorità/organismo pubblico; 2) Trattamento su larga scala di categorie speciali (art. 9) o dati penali (art. 10); 3) Monitoraggio sistematico su larga scala degli interessati. ❌ A: il numero di dipendenti non è criterio GDPR per il DPO. ❌ C: il trasferimento extra-UE richiede garanzie (cap. V), non un DPO obbligatorio per questo. ❌ D: il data breach passato non genera obbligo di DPO.

✅ B. Art. 25 GDPR: «data protection by design and by default» → la privacy deve essere considerata fin dall'inizio della progettazione, non aggiunta dopo. Le impostazioni di default devono essere le più protettive (minimizzazione). ❌ A: l'afterthought approach è esattamente ciò che il principio vieta. ❌ C: l'utente può personalizzare, ma il default deve essere protettivo. ❌ D: raccogliere tutto e anonimizzare dopo viola il principio di minimizzazione.

✅ B. Art. 20 GDPR: l'interessato può ricevere i propri dati in formato strutturato (es. JSON, CSV) e trasmetterli direttamente a un altro titolare, quando il trattamento è basato su consenso o contratto ed è automatizzato. ❌ A: la portabilità riguarda i dati, non il trasferimento territoriale. ❌ C: il formato leggibile da macchina è l'opposto del cartaceo. ❌ D: il FOIA (D.Lgs. 33/2013) è un istituto diverso (accesso civico generalizzato).

✅ B. La DPIA è richiesta per trattamenti ad alto rischio: profilazione sistematica, trattamento su larga scala di categorie speciali, sorveglianza sistematica di zone pubbliche, nuove tecnologie. Il Garante pubblica liste di trattamenti che richiedono sempre DPIA. ❌ A: il numero 100 non è una soglia GDPR. ❌ C: la nomina di responsabili richiede un contratto (art. 28), non una DPIA. ❌ D: la modifica dell'informativa non richiede automaticamente una DPIA.

✅ B. Titolare (Controller): decide perché e come trattare i dati → responsabilità primaria. Responsabile (Processor): tratta per conto del titolare, seguendo le istruzioni contrattuali (art. 28). ❌ A: entrambi possono essere persone fisiche o giuridiche. ❌ C: il responsabile è spesso un fornitore esterno (es. cloud provider, società di marketing). ❌ D: hanno responsabilità distinte e diversi obblighi GDPR.

✅ B. Capitolo V GDPR: i trasferimenti extra-UE sono leciti se: 1) Decisione di adeguatezza della Commissione (es. UK, Svizzera, Giappone); 2) Garanzie appropriate: Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR), codici di condotta. ❌ A: la popolazione non è criterio GDPR. ❌ C: HTTPS cifra la trasmissione ma non costituisce una base giuridica per il trasferimento. ❌ D: il volume di dati non è rilevante.

✅ B. La minimizzazione vieta la raccolta di dati «per ogni evenienza» (data hoarding). I dati devono essere strettamente necessari alla finalità dichiarata. ❌ A: è l'opposto del principio. ❌ C: la durata di conservazione è il principio di «limitazione della conservazione» (art. 5 lett. e), non di minimizzazione; 10 anni non è un termine fisso GDPR. ❌ D: l'anonimizzazione è consigliata ma non obbligatoria entro 30 giorni.

✅ C (14). /28 = 28 bit di rete, 4 bit per gli host. 2^4 = 16 indirizzi totali. Host utilizzabili = 16 - 2 (network address + broadcast) = 14. ❌ A (30): sarebbe /27 (5 bit host, 2^5-2=30). ❌ B (16): è il totale inclusi network e broadcast. ❌ D (8): sarebbe /29 (3 bit host, 2^3-2=6) — 8 non corrisponde a nessuna subnet comune.

✅ B. IPv6: 128 bit (vs 32 IPv4), header semplificato (no checksum, no frammentazione nei router), SLAAC per autoconfigurazione senza DHCP, multicast nativo. NAT NON è necessario grazie all'enorme spazio di indirizzamento. ❌ A: 64 bit non è IPv6. ❌ C: IPv6 elimina la necessità di NAT (non lo rende obbligatorio). ❌ D: l'header IPv6 è fisso a 40 byte (più grande di IPv4), ma più semplice.

✅ B. SSH cifra l'intera sessione (negoziazione, autenticazione, comandi, output). Telnet trasmette tutto in chiaro, incluse le password → inaccettabile su reti non fidate. ❌ A: SSH usa cifratura che aggiunge overhead ma non compressione obbligatoria. ❌ C: SSH usa porta 22; Telnet usa porta 23 (invertiti nella risposta). ❌ D: SSH supporta nativamente l'autenticazione con chiave pubblica (è una delle sue principali caratteristiche).

✅ B. CSRF: l'utente è autenticato su sito-legittimo.it; un sito malevolo contiene una richiesta automatica verso sito-legittimo.it che viene eseguita con la sessione/cookie dell'utente. La prevenzione è il CSRF token (valore casuale nel form verificato lato server). ❌ A: è XSS. ❌ C: è man-in-the-middle. ❌ D: è command injection / OS injection.

✅ B. MitM: l'attaccante si interpone tra client e server. TLS con verifica del certificato (catena di fiducia) rende impraticabile l'intercettazione senza che il client veda un warning. HSTS forza HTTPS. Certificate pinning associa il certificato atteso all'applicazione. ❌ A: il firewall filtra il traffico ma non autentica l'identità del server. ❌ C: l'antivirus non previene MitM a livello di rete. ❌ D: il rate limiting limita gli abusi ma non protegge dall'intercettazione.

✅ B. Il WAF analizza il traffico HTTP/HTTPS e blocca richieste che corrispondono a pattern di attacchi web noti (OWASP Top 10). Opera a livello applicativo (L7). ❌ A: gli attacchi DDoS volumetrici sono mitigati da CDN, scrubbing center, BGP blackholing — non dal WAF. ❌ C: le vulnerabilità OS sono coperte da patch management e IDS/IPS a livello OS. ❌ D: la sicurezza fisica è separata dalla sicurezza applicativa.

✅ B. DNSSEC firma crittograficamente i record DNS con la chiave privata della zona. Il resolver verifica le firme usando la chiave pubblica → autentica l'origine e garantisce integrità (nessuna manomissione). NON cifra il contenuto (per cifratura: DNS over HTTPS o DNS over TLS). ❌ A: DNSSEC non cifra le query. ❌ C: DNSSEC non autentica gli utenti. ❌ D: il caching è funzione del DNS resolver, non di DNSSEC.

✅ B. Zero Trust: «never trust, always verify». Anche un utente dentro la rete aziendale deve autenticarsi e autorizzarsi per ogni risorsa. Contesto (device, location, orario) è sempre valutato. ❌ A: il modello tradizionale «castle and moat» (fiducia implicita interna) è esattamente ciò che Zero Trust supera. ❌ C: Zero Trust si applica sia agli accessi interni sia esterni. ❌ D: il perimetro da solo non è sufficiente (lateral movement, insider threat).

✅ B. A 'stakeholder' is anyone with an interest in the project: sponsors, users, team members, regulators, affected communities. ❌ A: the budget holder is the sponsor or PMO, a subset of stakeholders. ❌ C: the supervisor may be a stakeholder but it's not the definition. ❌ D: a tester is a team role, not the meaning of stakeholder.

✅ B. 'Deploy' = rilasciare e installare il software nell'ambiente di destinazione (produzione, test, cloud). ❌ A: design is 'to architect' or 'to design'. ❌ C: documentation is 'to document'. ❌ D: vulnerability testing is 'to pen-test' or 'to assess'.

✅ B. First conditional (real possibility): If + present simple → will + infinitive. 'Lose' (not 'loose') is the correct spelling. ❌ A: 'loose' is an adjective (lento/allentato); the verb is 'lose'. ❌ C: 'will fail' in the if-clause is incorrect in first conditional. ❌ D: mixing past simple with 'will' creates an incorrect conditional form.

✅ B. 'Compliance' = conformità alle leggi, regolamenti, standard (es. GDPR compliance, NIS2 compliance). ❌ A: 'compression' refers to data size reduction. ❌ C: compliance is not a network protocol. ❌ D: 'compiling' is the technical process of code compilation — unrelated.

✅ B. 'Legacy system' = sistema obsoleto ancora in uso (es. applicativi COBOL del 1980 ancora attivi in banche o PA). Difficile da mantenere, aggiornare e integrare con architetture moderne. ❌ A: il contrario di legacy. ❌ C: license management system è un'altra cosa. ❌ D: un backup system ha una funzione specifica diversa.

PaaS (Platform as a Service) offre una piattaforma di sviluppo gestita: il provider gestisce OS, middleware, runtime. Il cliente si occupa solo del codice. IaaS fornisce VM/rete/storage. SaaS fornisce applicazioni pronte. FaaS è serverless.

In SaaS il provider gestisce tutto lo stack tecnologico. Il cliente è responsabile solo dei propri dati e della gestione degli account/accessi.

L'elasticità cloud è la capacità di aumentare o ridurre automaticamente le risorse (CPU, memoria, storage) in risposta alla domanda in tempo reale. La fault tolerance è la sopravvivenza ai guasti.

In FaaS (Function as a Service) il provider esegue funzioni discrete in risposta a eventi; il cliente non gestisce server e paga per invocazione/durata.

Kubernetes (K8s) è un sistema open-source per automatizzare il deployment, lo scaling e la gestione di applicazioni containerizzate.

Il multi-cloud riduce la dipendenza da un singolo fornitore (vendor lock-in) e aumenta la resilienza: se un provider ha un outage, i servizi su altri provider continuano.

La strategia cloud PA italiana prevede la migrazione verso il PSN (Polo Strategico Nazionale) e l'utilizzo di servizi cloud qualificati da AgID, secondo la classificazione dati in strategici, critici e ordinari.

Il cloud ibrido integra un cloud privato (on-premise o dedicato) con uno o più cloud pubblici, permettendo workload portability e burst capacity.

Le 5V del Big Data: Volume (quantità), Velocity (velocità), Variety (formati eterogenei), Veracity (qualità/affidabilità), Value (valore estraibile).

L'overfitting si verifica quando il modello memorizza i dati di training (incluso il rumore) invece di apprendere pattern generalizzabili, risultando in alta accuracy sul training e bassa su dati nuovi. Il contrario è underfitting.

Apache Hadoop MapReduce è il framework classico per batch processing distribuito su grandi dataset (HDFS + job MapReduce). Kafka è un message broker per streaming. NiFi è per data flow/ETL. Redis è un in-memory data store.

Il data lake memorizza dati in formato nativo/grezzo senza imporre uno schema (schema-on-read), a differenza del data warehouse che richiede schema predefinito (schema-on-write) e dati strutturati.

Il collaborative filtering analizza i comportamenti e le preferenze di utenti simili ('chi ha apprezzato X ha anche apprezzato Y') senza analizzare le caratteristiche degli oggetti.

Apache Spark elabora i dati in-memory (RAM) invece di scrivere su disco tra ogni step come MapReduce, risultando generalmente 10-100x più veloce per molti workload.

OSPF è un protocollo IGP (Interior Gateway Protocol) di tipo link-state: ogni router costruisce una mappa topologica completa della rete e calcola il percorso più breve con l'algoritmo di Dijkstra.

BGP è il protocollo EGP (Exterior Gateway Protocol) che gestisce il routing tra Autonomous System (AS) su Internet. I router degli ISP usano BGP per scambiarsi le tabelle di routing globali.

Gli indirizzi IPv6 sono di 128 bit (vs 32 bit di IPv4), scritti come 8 gruppi di 4 cifre esadecimali separati da ':'. Permette circa 3.4×10^38 indirizzi distinti.

Le VLAN segmentano a livello logico (layer 2) una rete fisica in più broadcast domain separati, migliorando sicurezza e gestione. Il traffico inter-VLAN richiede routing (router o switch L3).

SDN disaccoppia il control plane (decisioni di routing, su un controller centralizzato software) dal data plane (forwarding dei pacchetti negli switch). Permette programmabilità e gestione centralizzata della rete.

In un attacco MitM, l'attaccante si posiziona tra A e B, intercettando il canale di comunicazione. Può leggere (sniffing) e/o modificare (tampering) i dati. Contromisure: TLS con pinning, HSTS, autenticazione mutua.

TLS garantisce: autenticazione (verifica del certificato server), confidenzialità (cifratura simmetrica), integrità (MAC/HMAC). Tutte e tre le proprietà insieme.

QoS classifica il traffico e garantisce risorse (banda, latenza, jitter) ai flussi critici (VoIP, videoconferenza) rispetto al traffico best-effort. Fondamentale nelle reti convergenti.

Un DDoS usa una botnet (molti sistemi compromessi) per saturare le risorse del target (banda, CPU, memoria) rendendolo irraggiungibile ai legittimi utenti. Diverso da un attacco di esfiltrazione dati.

I document store (MongoDB, CouchDB) memorizzano dati come documenti semi-strutturati (JSON, BSON) con schema flessibile. Key-value sono Redis/DynamoDB. Graph database sono Neo4j.

Il teorema CAP (Brewer, 2000): un sistema distribuito può garantire al massimo due di: Consistency (tutti i nodi vedono gli stessi dati), Availability (ogni richiesta riceve risposta), Partition Tolerance (funziona anche se nodi si disconnettono).

Il problema N+1 query: si carica 1 query per N oggetti, poi per ogni oggetto si fa 1 query aggiuntiva, risultando in N+1 query totali invece di una sola con JOIN. Risolto con eager loading.

Gli indici B-Tree sono ottimali per equality lookups (=), range queries (BETWEEN, >, <), e ORDER BY. Per full-text si usano indici GIN/GIST (PostgreSQL) o FULLTEXT (MySQL).

SERIALIZABLE è il livello di isolamento più alto: garantisce che il risultato di transazioni concorrenti sia equivalente a una loro esecuzione seriale. Protegge da dirty read, non-repeatable read e phantom read.

La CI prevede integrazione frequente del codice nel repository. Ogni integrazione scatta build automatica e test, rilevando errori rapidamente. La CD si occupa del deploy.

I microservizi decompongono l'applicazione in servizi autonomi, con responsabilità singola, deployabili e scalabili indipendentemente, comunicanti via API REST/gRPC/message broker.

IaC è la pratica di definire e gestire l'infrastruttura tramite codice dichiarativo (Terraform, CloudFormation) o imperativo (Ansible, Chef), versionato in un repository Git come il codice applicativo.

Nel blue-green deployment si mantengono due ambienti produzione identici: blue è attivo, green riceve il nuovo deploy. Quando verificato, lo switch del traffico è istantaneo via load balancer, con rollback immediato possibile. Il canary è progressivo.

ISO/IEC 27001 definisce i requisiti per implementare, mantenere e migliorare un Sistema di Gestione della Sicurezza delle Informazioni (ISMS). Può essere certificata da enti accreditati.

Le 5 funzioni del NIST CSF: Identify (asset/rischi), Protect (controlli preventivi), Detect (rilevazione eventi), Respond (risposta all'incidente in corso), Recover (ripristino post-incidente).

Le prepared statements separano il codice SQL dai dati, rendendo impossibile l'iniezione. Complementari: ORM, stored procedure, validazione input, WAF come difesa in profondità.

L'MFA richiede almeno due fattori di categorie diverse: Conoscenza (password, PIN), Possesso (OTP token, smartphone, smart card), Inerenza/Biometria (impronta, volto). Due password sono entrambe 'qualcosa che sai'.

Il modello Zero Trust assume che nessuna entità (utente, dispositivo, servizio) sia affidabile per default, anche se si trova all'interno della rete aziendale. Ogni accesso richiede verifica continua (identity, device health, context).

Il vulnerability assessment scansiona e classifica le vulnerabilità. Il penetration test va oltre: tenta attivamente di sfruttare le vulnerabilità per dimostrare l'impatto reale, simulando un attaccante reale (con autorizzazione esplicita).

Il ransomware cifra i file (o l'intero disco) della vittima usando crittografia asimmetrica, chiedendo un riscatto in criptovaluta per la chiave privata. Spyware = raccolta dati. RAT = accesso remoto. Worm = auto-replica.

NoiPA è la piattaforma per la gestione del personale e delle paghe dei dipendenti pubblici, gestita dal Dipartimento della Ragioneria Generale dello Stato (MEF/RGS). Gestisce cedolini, TFR, permessi per circa 1,4 milioni di dipendenti.

Il Casellario Centrale Infortuni è gestito dall'INAIL (Istituto Nazionale Assicurazione Infortuni sul Lavoro), che raccoglie i dati su infortuni sul lavoro e malattie professionali. INPS gestisce pensioni e ammortizzatori sociali.

Dal 1° ottobre 2021 l'INPS ha progressivamente disattivato il PIN e le credenziali proprietarie, adottando i sistemi di identità digitale nazionali: SPID, CIE (Carta d'Identità Elettronica) e CNS (Carta Nazionale dei Servizi).

La fattura elettronica italiana B2B usa il formato XML FatturaPA, trasmessa tramite il Sistema di Interscambio (SdI) dell'Agenzia delle Entrate. L'SdI valida il file, lo recapita al destinatario e conferma la ricezione.

Il cassetto fiscale (accessibile tramite SPID/CIE/CNS) è l'area riservata dove il contribuente consulta: dichiarazioni presentate, versamenti effettuati, rimborsi richiesti/erogati, atti e comunicazioni dell'AdE.

AIDA è il sistema informatico dell'Agenzia delle Dogane che gestisce le dichiarazioni doganali di importazione/esportazione, il calcolo dei dazi, i controlli e lo sdoganamento delle merci.

ICS2 è il sistema doganale europeo per la sicurezza delle spedizioni in entrata nell'UE: impone la presentazione di dati pre-arrivo (Entry Summary Declaration) per analisi del rischio prima che le merci arrivino al confine UE.