Professore ordinario di informatica presso il Dipartimento di Informatica dell'Università di Pisa dove coordina il gruppo di ICT risk assessment & management. ha condotto assessment del cyber risk di impianti di controllo industriale e infrastrutture critiche per la distribuzione di energia e gas. Detiene alcuni brevetti su rilevazione di intrusioni e tecnologia twin. Fondatore e scientific advisor di Haruspex, una società che si occupa della valutazione e gestione del rischio informatico. Predica da anni, con scarso successo, la completa inutilità delle competizioni di capture the flag.