Politica editoriale e metodologia

Questa pagina descrive le regole che ogni contenuto di MLSecOps.it deve rispettare prima di essere pubblicato e come viene mantenuto dopo. È vincolante per gli autori ed è il riferimento per chi vuole segnalare un errore.

Principi

Rigore prima della velocità. Una pagina incompleta ma corretta vale più di una pagina completa ma imprecisa. In caso di dubbio non pubblichiamo.
Autorità differenziata, non volume. Pubblichiamo solo pagine che aggiungono valore tecnico rispetto a ciò che esiste già, in italiano o in inglese.
Utilità per il practitioner. Ogni pagina deve essere usabile da chi progetta, implementa o verifica sistemi reali.
Nessuna invenzione. Non inventiamo CVE, standard, nomi di attacchi, statistiche, volumi di ricerca, comportamenti di modelli, capacità di prodotti o risultati di ricerca. Dove una verifica non è ancora possibile, la pagina resta in bozza.

Etichette epistemiche

Le affermazioni rilevanti sono etichettate esplicitamente con una di queste categorie:

Etichetta	Significato	Requisito
Fatto	Verificabile in una fonte primaria o riproducibile	Fonte citata
Best practice consolidata	Raccomandata da standard o framework riconosciuti	Riferimento allo standard
Pratica emergente	Adottata da practitioner ma non ancora standardizzata	Esempi concreti
Risultato di ricerca	Deriva da una pubblicazione o da un esperimento	Citazione o metodologia
Ipotesi	Plausibile, non ancora dimostrata	Dichiarata come tale
Opinione dell’autore	Giudizio professionale	Firmata
Stima	Valore approssimato	Metodo e incertezza dichiarati

Le stime restano stime: non vengono mai convertite in fatti con il passare del tempo.

Fonti

Preferiamo fonti primarie: NIST, OWASP, MITRE ATLAS, ENISA, Commissione europea, AgID/CERT-AgID, SLSA, Sigstore, in-toto, OpenTelemetry, specifiche ufficiali (per esempio la specifica del Model Context Protocol), advisory dei maintainer, ricerca peer-reviewed o tecnicamente riproducibile. La documentazione dei vendor è usata principalmente per affermazioni specifiche sui loro prodotti ed è etichettata come tale nell’elenco delle fonti.

Le mappature a OWASP, MITRE ATLAS, CWE, CVE o NIST compaiono solo quando sono tecnicamente giustificate, non per decorazione.

Analisi di vulnerabilità e incidenti

Quando descriviamo un problema di sicurezza indichiamo, dove applicabile: precondizioni, trust boundary attraversato, percorso d’attacco, componente interessato, impatto, mitigazioni e rischio residuo. Non pubblichiamo exploit funzionanti per vulnerabilità non corrette; descriviamo meccanismi e mitigazioni.

Controlli prima della pubblicazione

Una pagina diventa pubblica solo se supera tutti questi controlli:

risponde a un bisogno reale e distinto di un lettore o di una ricerca;
la spiegazione tecnica è corretta;
aggiunge valore rispetto alle fonti esistenti;
ogni affermazione fattuale è supportata da una fonte primaria;
non duplica né cannibalizza un’altra pagina del sito;
ha un URL canonico, collegamenti interni corretti e, dove serve, una definizione estraibile;
è utile a un practitioner esperto;
è scritta per persone, non per permutazioni di parole chiave;
non contiene elementi di verifica ancora aperti.

Se un controllo fallisce, la pagina resta in bozza o in revisione.

Autori e responsabilità

Ogni pagina tecnica riporta un autore identificato con biografia accurata e profili pubblici, la data di pubblicazione e la data dell’ultimo aggiornamento sostanziale. Gli strumenti di assistenza alla scrittura, inclusi i modelli linguistici, possono essere usati nella preparazione del materiale, ma la verifica tecnica, la scelta delle fonti e la responsabilità del contenuto restano dell’autore che firma la pagina.

Correzioni

Gli errori vengono corretti appena verificati. Per le correzioni sostanziali (non refusi) la pagina riporta la nuova data di aggiornamento e, quando cambia una conclusione, una nota che descrive cosa è cambiato. Le segnalazioni possono essere inviate tramite i profili pubblici indicati nella pagina dell’autore.

Aggiornamenti e deprecazione

Le pagine di riferimento vengono riviste periodicamente e quando cambiano gli standard, le specifiche o le evidenze citate. Una pagina superata viene marcata come deprecata, esclusa dalla navigazione e dagli indici e collegata alla versione corrente, senza rompere i link in ingresso.

Lingua

Scriviamo in italiano tecnico naturale. I termini consolidati in inglese restano in inglese. Evitiamo le introduzioni generiche e partiamo dal problema tecnico.