Glossario DevSecOps
1. DevSecOps:
- Definizione: Una cultura e una pratica che integra la sicurezza nel ciclo di vita dello sviluppo del software (SDLC) fin dalle prime fasi, combinando sviluppo, operazioni e sicurezza.
2. Continuous Integration (CI):
- Definizione: La pratica di integrare continuamente il codice di lavoro nella base di codice principale, automatizzando il testing e la verifica per rilevare rapidamente i problemi.
3. Continuous Delivery (CD):
- Definizione: La pratica di rilasciare continuamente il software in produzione in modo automatico e frequente, garantendo che sia sempre in uno stato pronto per la distribuzione.
4. Continuous Deployment:
- Definizione: Un’estensione della continuous delivery dove ogni modifica passata attraverso la pipeline di CI viene automaticamente rilasciata in produzione senza intervento manuale.
5. Infrastructure as Code (IaC):
- Definizione: La gestione e il provisioning dell’infrastruttura tramite file di configurazione leggibili dall’uomo piuttosto che attraverso la configurazione fisica dell’hardware.
6. Microservices:
- Definizione: Un’architettura di sviluppo software in cui un’applicazione è strutturata come una collezione di servizi piccoli e indipendenti che comunicano tra loro attraverso API.
7. Containerization:
- Definizione: La pratica di eseguire le applicazioni e le loro dipendenze in contenitori (containers), garantendo che il software funzioni in modo uniforme e consistente su diverse piattaforme.
8. Orchestration:
- Definizione: La gestione automatizzata, la coordinazione e l’organizzazione dei container, spesso implementata con strumenti come Kubernetes.
9. Security as Code:
- Definizione: L’incorporazione della sicurezza nel codice sorgente e nelle configurazioni, automatizzando i controlli di sicurezza durante il ciclo di vita dello sviluppo del software.
10. Static Application Security Testing (SAST):
- Definizione: Una metodologia di testing di sicurezza che analizza il codice sorgente, bytecode o codice binario di un’applicazione per identificare vulnerabilità di sicurezza.
11. Dynamic Application Security Testing (DAST):
- Definizione: Un metodo di testing che analizza un’applicazione in esecuzione per rilevare vulnerabilità di sicurezza attaccando l’applicazione dall’esterno come farebbe un aggressore.
12. Vulnerability Management:
- Definizione: Il processo di identificazione, valutazione, trattamento e reporting delle vulnerabilità di sicurezza nei sistemi e nel software.
13. Threat Modeling:
- Definizione: Una tecnica utilizzata per identificare potenziali minacce e vulnerabilità in un sistema per mitigarle durante la fase di progettazione e sviluppo.
14. Shift Left:
- Definizione: Un principio che enfatizza l’integrazione di attività e controlli di sicurezza il più presto possibile nel ciclo di vita dello sviluppo del software.
15. Automated Security Testing:
- Definizione: L’uso di strumenti automatici per eseguire test di sicurezza come parte del processo di CI/CD, garantendo che le vulnerabilità siano rilevate e risolte rapidamente.
16. Security Information and Event Management (SIEM):
- Definizione: Una soluzione che fornisce analisi in tempo reale di allarmi di sicurezza generati da hardware e applicazioni di rete.
17. Continuous Monitoring:
- Definizione: La pratica di monitorare continuamente un sistema per individuare e rispondere rapidamente a eventi di sicurezza e altre anomalie.
18. Incident Response:
- Definizione: Il processo organizzato per gestire e rispondere a una violazione della sicurezza o ad altri incidenti di sicurezza informatica.
19. Compliance:
- Definizione: La conformità alle normative legali, standard di sicurezza e politiche interne.
20. Zero Trust:
- Definizione: Un modello di sicurezza che presuppone che le minacce possono essere sia interne che esterne alla rete e quindi non si fida implicitamente di nessun punto di accesso.
Professionalità nella Sicurezza Informatica
21. Security Architect:
- Definizione: Un professionista che progetta sistemi di sicurezza robusti per proteggere l’infrastruttura IT di un’organizzazione.
22. Security Analyst:
- Definizione: Un esperto che monitora e analizza i sistemi di sicurezza per identificare e risolvere le minacce alla sicurezza.
23. Security Engineer:
- Definizione: Un ingegnere che implementa e mantiene le misure di sicurezza per proteggere i sistemi IT e le reti.
24. Penetration Tester (Ethical Hacker):
- Definizione: Un professionista che esegue test di penetrazione per individuare e segnalare le vulnerabilità di sicurezza in un sistema.
25. Incident Responder:
- Definizione: Un esperto responsabile della gestione e risoluzione degli incidenti di sicurezza.
26. Security Consultant:
- Definizione: Un consulente che fornisce consigli e soluzioni di sicurezza personalizzate per le organizzazioni.
27. Chief Information Security Officer (CISO):
- Definizione: Un dirigente senior responsabile della strategia e dell’implementazione delle politiche di sicurezza informatica di un’organizzazione.
28. Security Auditor:
- Definizione: Un professionista che verifica e valuta le politiche e le procedure di sicurezza per garantire la conformità alle normative e agli standard di sicurezza.
29. Cryptographer:
- Definizione: Un esperto che progetta algoritmi di crittografia per proteggere i dati sensibili.
30. Security Operations Center (SOC) Analyst:
- Definizione: Un analista che lavora all’interno di un SOC per monitorare e rispondere agli incidenti di sicurezza in tempo reale.
