Ultimo aggiornamento: 30 Agosto 2026 — di Marco Regazzo
La sicurezza di una piattaforma per eventi non è il lucchetto verde nel browser: quello ce l’hanno tutti. Le domande che contano sono altre: chi fa il penetration test, cosa devono installare i partecipanti, dove finiscono i loro dati, come entrano nell’evento. Se il fornitore risponde «è tutto sicuro», non hai una risposta: hai uno slogan.
«Ma i dati? ma la sicurezza?»
È la domanda che salta fuori a ogni evento, di solito da chi non deve organizzarlo. Preoccupazione legittima, e messa così spettacolarmente inutile. Perché «è sicuro?» è come chiedere «è buono?»: qualsiasi fornitore ti dirà di sì, e nessuno dei due avrà detto niente.
La sicurezza di una piattaforma per eventi non è una casella che si spunta. È un insieme di scelte che qualcuno ha fatto (o non ha fatto) quando ha costruito il sistema, e che tu puoi verificare con qualche domanda precisa prima di mandarci dentro il tuo pubblico.
Chi fa il penetration test? (e la parola «esterno» pesa)
Un penetration test è qualcuno che prova a bucare la piattaforma di proposito, per trovare i buchi prima che li trovi qualcun altro. La domanda non è «lo fate?». Sono tre: chi lo fa, ogni quanto, e soprattutto se è interno o di terza parte.
Noi la piattaforma la sviluppiamo seguendo le linee guida OWASP, lo standard con cui si costruisce software web pensando prima agli attacchi, e la facciamo testare a intervalli regolari da un terzo esterno. Non «ci fidiamo di noi stessi»: lo verifica qualcuno che non siamo noi e che non ha interesse a dire che va tutto bene. È la differenza tra dichiarare di essere onesti e far controllare i conti da un revisore. Non fidarti della parola di un fornitore: chiedigli chi gli guarda le carte.
Cosa devono installare i partecipanti? (risposta giusta: niente)
Ogni «scarica il plugin per partecipare» è due cose insieme: una fila di iscritti che si ferma sulla soglia, e una superficie d’attacco in più sul dispositivo di chi si è iscritto. Il software che installi sul computer di mille persone è mille computer in più di cui qualcuno si è preso la responsabilità.
Per questo una piattaforma web-based seria si apre dal browser, in HTTPS, senza far installare niente. Meno cose sul dispositivo del partecipante, meno cose che possono andare storte, e nessun reparto IT del cliente che deve autorizzare un’installazione a tappeto tre giorni prima dell’evento.
Come entra la gente? (un link pubblico non è un accesso)
Un evento con un link che gira per mail è un evento a cui può entrare chiunque abbia il link. Per qualche webinar aperto va bene. Per un evento aziendale con contenuti riservati, no.
Il controllo accessi vero passa da un’anticamera: una waiting area e una login page interna da cui le persone entrano in modo controllato, non un URL pubblico. E se la tua azienda usa l’SSO, tanto meglio: la persona entra con le sue credenziali aziendali di sempre, e la piattaforma non custodisce l’ennesima lista di password. Quello che non conservi non te lo possono rubare. Come l’SSO si aggancia ai tuoi sistemi lo abbiamo scritto nel pezzo sulle integrazioni con i sistemi aziendali.
Dove finiscono i dati dei partecipanti?
Due domande, non una. La prima: dove stanno fisicamente i dati e su che infrastruttura. Noi giriamo su un cloud provider con una security policy pubblica e verificabile, e le pagine statiche e le landing stanno su un hosting gestito: non è un dettaglio di comodità, è il perimetro dentro cui vivono i dati del tuo evento.
La seconda: quanto ne raccogli davvero. Non tutti gli eventi hanno bisogno di sapere nome e cognome di chi guarda. Quando serve misurare i comportamenti senza schedare le persone, la piattaforma può passare da un anonymizer: raccogli il dato utile all’evento senza tenerti addosso un archivio di persone che poi devi proteggere. La sicurezza migliore su un dato è non averlo raccolto.
La checklist da portare in trattativa
Le domande, tutte insieme, da fare a qualsiasi fornitore prima di firmare: sviluppate seguendo OWASP o linee guida equivalenti? Fate un penetration test, chi lo fa (voi o un terzo) e ogni quanto? I partecipanti devono installare qualcosa (la risposta buona è no)? È tutto in HTTPS, pagine comprese? Come entrano le persone, link pubblico o accesso controllato (waiting area, login interno, SSO)? Dove stanno i dati e su che cloud provider, con quale security policy? Potete raccogliere i comportamenti in forma anonima quando non serve identificare?
Se a queste sette il fornitore risponde con sicurezza e con dei nomi (di standard, di provider, del terzo che testa), stai parlando con qualcuno che ci ha pensato. Se risponde «tranquillo, è tutto sicuro», hai la tua risposta lo stesso, solo che è un’altra.
La security è una delle facce della piattaforma. Le altre, architettura, scalabilità, integrazione, stanno nella guida alle piattaforme per eventi digitali. E se vuoi vedere come lo facciamo noi, la piattaforma di Primo Round è qui.
Domande frequenti
Una piattaforma per eventi online è sicura?
Dipende da come è costruita e da chi la controlla, non da una dichiarazione. Gli indicatori concreti sono: sviluppo su linee guida OWASP, un penetration test fatto da un terzo esterno, tutto in HTTPS, niente da installare per i partecipanti e accessi controllati. Se ci sono questi, è una base solida; se c’è solo «è sicuro», no.
Devo installare qualcosa per partecipare a un evento online in sicurezza?
No, ed è meglio così. Una piattaforma web-based si apre dal browser in HTTPS senza installare plugin o software. Ogni cosa da installare è una superficie d’attacco in più sul dispositivo del partecipante e un iscritto che rischi di perdere sulla soglia.
Cosa vuol dire penetration test per una piattaforma di eventi?
È qualcuno che prova a bucare la piattaforma di proposito, per trovare le falle prima di un attaccante vero. Conta chi lo fa: un test svolto da un terzo esterno e ripetuto nel tempo vale molto più di un’autovalutazione interna.
I dati dei partecipanti a un evento online dove finiscono?
Sull’infrastruttura cloud della piattaforma: conta sapere quale provider e con quale security policy. E conta quanti dati raccogli davvero: quando basta misurare i comportamenti senza identificare le persone, una piattaforma può lavorare in forma anonima, e il dato che non raccogli è quello che non devi proteggere.
