Adottare una strategia passwordless?
Paolo Lossa di CyberArk indica gli aspetti da non sottovalutare nell’approccio di una strategia passwordless I criteri di creazione di una nuova password sono ormai noti: deve essere lunga almeno otto caratteri, contenerne di speciali, evitare quelli sequenziali o basati su parole del dizionario. Sebbene questi requisiti possano rappresentare una difficoltà e ostacolare l’esperienza utente, non sono richieste troppo esigenti da parte dei team di sicurezza IT. Al contrario, si tratta di richieste ormai necessarie nelle aziende moderne, poiché le credenziali sono tra gli obiettivi più vulnerabili e la forzatura delle password rimane un vettore utilizzato dagli attori delle minacce. Per questo il concetto di autenticazione senza password esiste da molto tempo, ma solo di recente il mercato si è orientato verso l’utilizzo attivo di questa tecnologia detta autentificazione passwordless. Diverse vie per contrastare le minacce Ottenendo password valide, gli attaccanti possono infiltrarsi furtivamente nei sistemi, elevare i propri privilegi fino a raggiungere il livello di amministratore o superutente e danneggiare sicurezza, reputazione e profitti di un’azienda. Per contrastare questo fenomeno, le imprese hanno adottato sempre più spesso l’autenticazione multi-fattore (MFA) per impedire agli utenti di accedere ad applicazioni, reti e risorse aziendali senza inserire un’ulteriore forma di verifica. Ad esempio, agli utenti può essere chiesto di verificare i loro tentativi di accesso fornendo un codice via e-mail, approvando la richiesta di accesso nell’app Authenticator o inserendo una smart card. Purtroppo, gli attori delle minacce hanno a disposizione numerosi strumenti per aggirare anche le protezioni MFA, tra cui il furto di cookie, l’impiego di social engineering o di attacchi che fanno leva sulla MFA fatigue, la difficoltà dell’utente a seguire con attenzione le policy relative all’autenticazione. Questo ci porta al punto di partenza, con le password che rappresentano spesso l’anello di sicurezza più debole. Cosa accadrebbe se non ci fosse alcuna password da cui iniziare? Significherebbe assenza di requisiti di complessità delle password da rispettare, di aggiornamenti periodici o riposo delle password e, soprattutto, nessuna password da rubare. Si fa strada l’autenticazione passwordless Il concetto di autenticazione senza password esiste da molto tempo, ma solo di recente il mercato si è orientato verso l’utilizzo attivo di questa tecnologia. L’autenticazione passwordless può impiegare qualsiasi mezzo per convalidare l’utente, a eccezione di un secret memorizzato. Può trattarsi, ad esempio, di un codice QR visualizzato al momento dell’accesso, un messaggio SMS con un codice unico o una chiave USB fisica. Nel back-end, l’autenticazione senza password si basa sullo stesso principio dei certificati digitali che utilizzano chiavi pubbliche e private, in cui la chiave pubblica è la porta e quella privata la chiave che la apre. Con l’autenticazione senza password, c’è una sola chiave per la porta e una sola porta per la chiave. Ad esempio, un utente desidera creare un account sicuro e utilizza un’applicazione di autenticazione mobile per generare una coppia di chiavi pubbliche e private. La chiave pubblica viene fornita al sistema e quella privata è accessibile dal dispositivo locale dell’utente utilizzando un fattore di autenticazione come un codice QR. L’autenticazione senza password offre migliore user experience e maggiore produttività grazie a un’esperienza di accesso più agile. Inoltre, aumenta la sicurezza eliminando i rischi legati alle password, riducendo le spese IT e liberando risorse dedicate a supportare gli utenti a sbloccare gli account e reimpostare le password. Sebbene la tecnologia passwordless prometta vantaggi significativi, è importante comprendere che il percorso verso questa tipologia di autenticazione è unico per le esigenze di ogni azienda. Il percorso verso il passwordless è complesso La realtà è che nessuna azienda può fare immediatamente a meno delle password e la maggior parte non sarà mai in grado di raggiungere questo stato in modo completo. Ci sono troppi sistemi legacy profondamente radicati nell’infrastruttura IT che richiedono password. Si tratta quindi di trovare il giusto equilibrio tra sicurezza, impegno e costi. Passare al passwordless non è un’attività semplice, soprattutto quando le aziende devono gestire migliaia di utenti, innumerevoli applicazioni, ambienti ibridi e multi-cloud e flussi di login complessi. Il raggiungimento di un ambiente completamente privo di password richiede un approccio graduale, quando la tecnologia continua a evolversi e l’adozione da parte degli utenti aumenta. Le aziende devono essere consapevoli che non tutte le esperienze senza password sono uguali e il loro successo dipende dalla selezione dei migliori fattori di autenticazione allineati alle esigenze di business e utenti. Sebbene l’eliminazione totale delle password sia ancora lontana, è possibile ridurne l’utilizzo implementando le giuste soluzioni IAM (Identity Access Management) che supportano i casi d’uso senza password. Fonte: bitmat.it
Presentato il Digitalization&Decarbonization Report 2023
La digitalizzazione è l’elemento cardine per raggiungere la neutralità climatica. L’Italia è al top in Europa per copertura della rete 5G, diffusione base del digitale tra le PMI e sviluppo del cloud La tecnologia permette di monitorare e massimizzare le politiche ambientali, ma le infrastrutture di cui si serve, come data center e reti di telecomunicazione, hanno a loro volta un impatto sulle emissioni che va mitigato promuovendo le fonti rinnovabili e incrementando l’efficienza energetica. Il carico di lavoro dei data center, ad esempio, secondo i dati dell’IEA è cresciuto del 340% nel 2022 rispetto al 2015, ma l’aumento nei consumi è rimasto contenuto tra il 20% e il 70%. Il Digitalization&Decarbonization Report 2023, alla sua prima edizione, redatto da Energy&Strategy della School of Management del Politecnico di Milano, si occupa precisamente di queste tematiche. Per raggiungere l’obiettivo della neutralità climatica Per raggiungere l’obiettivo Zero emissioni per il 2050, la Comunità Europea ha avviato una transizione gemella “digitale-decarbonizzazione” tramite lo sviluppo di specifiche strutture di policy e di governance: la digitalizzazione infatti è considerata un elemento cardine per la transizione verde, poiché permette di monitorare e massimizzare le politiche ambientali, ma allo stesso tempo ha un impatto non trascurabile sulle emissioni e richiede piani ad hoc per raggiungere la piena neutralità climatica delle proprie infrastrutture, come data center e reti di telecomunicazione, in particolare promuovendo le fonti rinnovabili per la produzione di energia e incrementando l’efficienza energetica. In questa direzione va il Percorso verso il Decennio Digitale, un solido quadro di governance presentato dalla Commissione Europea a settembre per raggiungere obiettivi digitali al 2030 in merito a competenze, trasformazione digitale delle imprese, infrastrutture digitali e digitalizzazione dei servizi pubblici. L’Italia ha fatto progressi soprattutto in termini di infrastrutture e di trasformazione dei business, superando la media UE in alcuni indicatori chiave tra cui la copertura della rete 5G, la diffusione di un livello base di intensità digitale fra le PMI e lo sviluppo del cloud, ma si posiziona al di sotto della media sulle skill digitali della popolazione e sulla digitalizzazione dei servizi pubblici. Il Digitalization&Decarbonization Report 2023 Il Digitalization&Decarbonization Report 2023 studia queste tematiche. Nell’ottica della decarbonizzazione, le tecnologie digitali possono garantire non solo un monitoraggio adeguato dei parametri di funzionamento dei processi aziendali ed energetici, ma anche una maggiore automazione ed efficienza nell’utilizzo delle risorse. L’adozione di un più alto livello di digitalizzazione nei processi aziendali potrebbe inoltre supportare la verifica delle emissioni di gas serra e la creazione di passaporti digitali dei prodotti, migliorando la tracciabilità di materiali e componenti e abilitando modelli di circular economy. “Il PNRR è una delle principali leve per finanziare lo sviluppo dell’ambito digitale in differenti settori nevralgici del Paese – commenta Federico Frattini, vicedirettore di E&S e responsabile dello studio – con stanziamenti complessivi di circa 34 miliardi di euro, già assegnati per oltre il 53%: alcuni esempi di investimento sono la cybersecurity, la migrazione al cloud, il potenziamento della PA e lo sviluppo di reti ultraveloci, mentre nel settore energy, che ha visto assegnati ben 4,5 miliardi di euro su 5, riguardano in particolare lo sviluppo delle smart grid, la realizzazione di sistemi di monitoraggio e la digitalizzazione delle reti di distribuzione dell’acqua, il rafforzamento delle infrastrutture elettriche. Gli investimenti sul digitale, soprattutto nel settore energy, mostrano dei risultati incoraggianti e le assegnazioni dei bandi conclusi o in corso segnalano un notevole fermento e un’opportunità importante per cambiare il volto tecnologico dell’Italia”. Data center, fondamentali per la transizione digitale Il Digitalization&Decarbonization Report mette in luce che merita una particolare attenzione la forte crescita delle installazioni e dell’uso dei data center, fondamentali per la transizione digitale, che tuttavia non ha comportato un aumento equivalente di consumi e di emissioni: secondo i dati dell’IEA, il carico di lavoro globale associato è salito del 340% nel 2022 rispetto al 2015, mentre i consumi sono cresciuti solo del 20%-70%, sia per l’incremento dell’efficienza della componentistica IT che per una gestione efficace dell’energia di tutte le infrastrutture presenti all’interno del data center, a partire dai sistemi di cooling. Nei comparti della produzione di energia, della gestione degli edifici e dei trasporti ci sono grandi margini di miglioramento, sia dal punto di vista normativo che dell’integrazione delle tecnologie digitali nel sistema. Emerge infatti una generale inadeguatezza delle norme attuali, che frena lo sviluppo e l’implementazione delle tecnologie. Al contrario, pratiche come lo smart working e la dematerializzazione dei documenti possono contribuire concretamente alla riduzione dell’impatto emissivo delle aziende in diversi settori. Produzione di energia, digitalizzazione degli edifici e smart transport La produzione energetica è certamente una delle priorità nel processo di decarbonizzazione, priorità a cui possono contribuire soluzioni digitali come le smart grid, il monitoraggio da remoto e l’integrazione di strumenti di manutenzione predittiva degli impianti. L’andamento delle emissioni, in base al Digitalization&Decarbonization, mostra al 2021 un trend in riduzione (-37%) rispetto al 1990, passando da 137,6 a 86,4 MtCO: rispetto al picco registrato nel 2006, le emissioni sono calate del 47% principalmente grazie all’aumento della produzione da fonti rinnovabili, le cui installazioni hanno raggiunto nel 2022 i 63,6 GW. Tuttavia, gli operatori del comparto sottolineano una bassa adeguatezza normativa. Il settore degli edifici è molto complesso da decarbonizzare, poiché alla predisposizione digitale ex novo degli stabili in costruzione vanno affiancati interventi profondi ed estesi su un parco edilizio particolarmente vetusto. Le emissioni degli edifici in Italia, infatti, anziché diminuire sono in aumento: +9% nel 2021 rispetto al 1990, da 69,19 a 75,5 MtCO 2 , per il 67% a causa del settore residenziale e per il 33% del terziario; tuttavia, a fronte del picco del 2010 c’è stato un calo del 14,3% grazie all’aumentata efficienza energetica degli edifici. I trasporti rappresentano per l’alto potenziale di decarbonizzazione uno dei settori in più rapida evoluzione di tutte le tecnologie considerate, e questo crea vivo interesse negli operatori. Tuttavia, occorre sviluppare normative ad hoc per integrare al meglio queste tecnologie e abbattere in breve tempo le emissioni di un settore che non riesce a compiere sostanziali passi in avanti: dal 1990 al 2021 i gas serra derivati dai trasporti
Entrate: false email di pagamento
Nuova campagna phishing con false email che richiedono versamenti a nome dell’Agenzia delle Entrate: il Fisco mette in guardia i contribuenti. E’ in corso una nuova campagna di false comunicazioni che sembrano arrivare dall’Agenzia delle Entrate a nome del Direttore Ruffini, aventi per oggetto “Fattura”, “Urgente”oppure “Richiesta di pagamento”. Come di consueto in queste false email (phishing) a scopo estorsivo, si avanza una richiesta di versamento urgente. Stavolta sulla base di una richiesta proveniente da un’azienda di un paese estero. Come sempre, la falsità delle missive è facilmente riscontrabile dagli errori ortografici o dalla composizione degli indirizzi di posta, del tutto estranei a quelli dell’Amministrazione finanziaria. Il Fisco non comunica mai con il contribuente facendo telefonato che intimano pagamenti e, se invia comunicazioni, lo fa attraverso canali ufficiali e con modalità formali e verificabili. L’Agenzia delle Entrate mette dunque in guardia i contribuenti, consigliando di fare attenzione e di non rispondere in alcun modo alle richieste, senza mai cliccare su eventuali link che potrebbero essere contenuti nei messaggi. La raccomandazione è quella consueta: non cliccare sui link contenuti nelle email sospette, non fornire dati personali neppure per telefono in caso di contatto legato a queste comunicazioni, non rispondere mai al mittente. Nelle campagne di phishing aventi legate ad istituzioni ed enti pubblici, quasi sempre i truffatori chiedono il pagamento di somme minacciando azioni di recupero in caso contrario. In genere i messaggi arrivano via mail, SMS, WhatsApp o per telefono, con prefissi italiani o esteri. I messaggi spesso contengono documenti che possono sembrare autentici, riportando i loghi del Fisco italiano e recapiti che sembrano autentici. In realtà, si caratterizzano anche per una serie di errori grammaticali, il tono perentorio e il carattere di urgenza. In caso di dubbi, prima di fare qualsiasi cosa, chiamare l’ufficio territorialmente competente dell’Agenzia delle entrate, oppure fare riferimento ai recapiti che si trovano online. C’è anche una pagina dedicata al “focus sul phishing“, sul portale del Fisco, che fornisce indicazioni ed esempi di come funzionano queste azioni di pirateria informatica. Fonte: pmi.it
PMI europee e rischi informatici: preoccupa l’errore umano
Una ricerca commissionata da Sharp Europe, azienda leader nella fornitura di prodotti e servizi tecnologici per le imprese, ha rivelato un preoccupante divario tra i livelli di preoccupazione per la sicurezza informatica e la formazione specifica che le aziende hanno messo in atto per affrontare i rischi informatici. Infatti, nonostante l’errore umano sia la principale preoccupazione per la sicurezza informatica per quasi quattro PMI europee su dieci (37% in Europa – 38 % in Italia), dai dati appena pubblicati risulta che la formazione informatica è debole persino per prevenire alcuni dei più comuni rischi informatici. La mancata formazione dei dipendenti: il maggior rischio per le aziende La ricerca paneuropea ha intervistato 5.770 professionisti responsabili di acquisto IT e rivela che i dipendenti che non seguono o non ricevono alcuna formazione informatica rappresentano il maggior rischio per le aziende, più degli attacchi informatici stessi o delle preoccupazioni connesse alla mancanza della giusta protezione. Infatti, un terzo delle PMI europee (28%), è ora più preoccupato di prima per i rischi legati alla sicurezza tecnologica a causa della mancanza di formazione dei propri dipendenti e delle probabilità dell’errore umano. Nonostante l’importanza della formazione e le preoccupazioni legate all’errore umano, la ricerca rivela che le aree predisposte alla difesa da minacce come gli attacchi di virus, il phishing, la perdita di dati e gli attacchi alle password (tutti fenomeni che hanno colpito fino a un terzo delle PMI europee e in media in Italia il 31%) non sono significativamente coperte della formazione messa in atto. All’incirca solo quattro programmi su dieci per formazione sulla sicurezza coprono le password (in Italia 42%), il download di file (Italia 44%), la gestione sicura dei dati (Italia 53%), la connessione a una rete sicura (Italia 57%) o persino le nozioni di base per l’accesso e la disconnessione (Italia 50%). Colin Blumenthal, vicepresidente dei servizi IT di Sharp Europe, commenta: “La sicurezza informatica è un problema che riguarda sia le persone che la tecnologia. Le aziende e le organizzazioni devono ovviamente disporre di tutte le tecnologie necessarie, come firewall e software antivirus, ma devono anche creare una cultura della sicurezza online che coinvolga tutti i dipendenti, non solo il team IT e il senior management. L’assenza di una formazione informatica costantemente aggiornata – prosegue Blumenthal – per affrontare problemi quotidiani come la modifica delle password, l’individuazione di e-mail di phishing e il download di file, è un problema reale. La recente ondata di attacchi di phishing basati sull’intelligenza artificiale sta aggiungendo nuovi livelli di sofisticazione, il che significa che le aziende sono più vulnerabili che mai agli attacchi. Per contrastare questo fenomeno – conclude il Vicepresidente dei servizi IT di Sharp Europe – le aziende devono formare il proprio personale affinché sia più vigile e pronto a gestire queste minacce in continua evoluzione e ogni possibile errore umano. In definitiva, queste debolezze formative potrebbero costare molto alle aziende”. L’indagine ha rivelato che, in seguito al passaggio di massa verso il lavoro ibrido, solo il 41% delle aziende in Europa ha aumentato la formazione sulla sicurezza informatica. Solo il 36% delle piccole imprese europee include, infatti, il lavoro ibrido nei propri programmi di formazione. Infine, solo il 30% dei responsabili IT delle PMI europee è convinto di avere una adeguata conoscenza dell’IT. Fonte: bitmat.it
Whistleblowing: più tutele nelle piccole e medie imprese
Più tutele per chi segnala irregolarità sul luogo di lavoro anche nelle piccole e medie imprese: le novità in vigore dal 17 dicembre. È operativa la nuova disciplina del whistleblowing anche nelle piccole e medie imprese, che impiegano da 50 a 249 dipendenti. Come previsto dal decreto legislativo n.24 del 10 marzo 2023, per tutelare coloro che denunciano irregolarità sul luogo di lavoro anche le PMI sono tenute ad attivare un canale interno per la trasmissione e gestione delle segnalazioni. Recependo la direttiva europea, il decreto prevede che chi denuncia usi inizialmente i canali interni alla propria organizzazione, pertanto le imprese devono attivare un canale digitale interno per raccogliere le denunce e la documentazione del segnalante, sempre garantendo la piena riservatezza sulla sua identità. Il ricorso ad ANAC avviene solo in un secondo momento, qualora il whistleblower abbia già segnalato l’illecito tramite canale interno senza avere alcun riscontro, oppure in presenza di rischi elevati di ritorsione. L’ANAC viene chiamato in causa anche se l’illecito che si intende segnalare potrebbe costituire un pericolo imminente per l’interesse pubblico. Come sottolineato dal Presidente dell’Autorità Anticorruzione Giuseppe Busia, ANAC ha ricevuto complessivamente oltre 600 segnalazioni, 240 dal settore privato e 360 dal pubblico. Una leva fondamentale, non solo per far emergere corruzione e malaffare, ma anche per far crescere e migliorare l’efficienza del settore pubblico e di quello privato. L’Unione europea ha valorizzato il ruolo di tale strumento in tutti i 27 Paesi membri, introducendo importanti tutele recepite dall’Italia con apposito decreto. Fonte: pmi.it
Minacce informatiche via SMS: Italia sotto attacco
AgID segnala l’aumento di campagne smishing via SMS legate a finti pagamenti, messaggi dall’Agenzia delle Entrate a preventivi falsi. Italia sotto assedio informatico: nel 2023 è stata interessata complessivamente da 1723 attacchi , fortunatamente individuati e contrastati. Dai dati emerge in modo preoccupante l’incremento degli attacchi che passano via SMS, coinvolgendo i cittadini con falsi messaggi da banche, Fisco e assicurazioni. Lo segnala CERT-AgID, pubblicando la sintesi delle informazioni raccolte a supporto della Pubblica Amministrazione nella prevenzione e nel contrasto alle attività malevoli legate alla sicurezza informatica. Vediamo tutto i dettagli. Minacce informatiche emergenti in Italia Il report sottolinea come il ransomware rimanga la minaccia più rilevante, ma anche come – oltre alla diffusione degli Infostealer – ci sia stata una crescita dell’uso illecito di strumenti di controllo remoto, come ScreenConnect o UltraVNC. A crescere, inoltre, sono gli attacchi spyware con funzionalità di RAT, veicolati attraverso campagne di smishing e finalizzati a ottenere il controllo dei dispositivi Android. Di fatto, è aumentato notevolmente il fenomeno dello smishing: l’invio massivo di SMS con comunicazioni ingannevoli, che generalmente simulano come mittente noti Istituti bancari e che contengono link verso risorse malevole. Telegram è invece l’ecosistema predominante utilizzato dalle attività di cybercrime: sui suoi canali sono venduti e divulgati dati personali e aziendali rubati ed è utilizzato anche per la rivendicazione di attacchi informatici e di compromissione. Sono diminuite, invece, le campagne malware condotte attraverso account PEC compromessi. Malware: la top ten dei più diffusi in Italia Complessivamente sono state identificate 54 famiglie di malware, tra cui il più diffuso in Italia nel 2023 è stato AgentTesla, seguito da Formbook e Ursnif. Nella top ten compare anche SpyNote, spyware che colpisce i dispositivi Android. I principali temi sfruttati per veicolare i malware? Dai pagamenti al banking, dall’Agenzia delle Entrate ai preventivi. Il formato di file usato con maggiore frequenza per le campagne malware, invece, è quello compresso e in particolare i file .ZIP. Fonte: pmi.it
I trend del 2024 per l’e-commerce
Dopo il periodo di vendite delle Festività, ora le aziende sono orientate ai prossimi obiettivi di crescita in vista del 2024. Le nuove strategie volte a fidelizzare la clientela ed espandere il raggio d’azione del digital commerce si accompagnano a una predisposizione accurata dei canali online, per poter rispondere adeguatamente ai cambiamenti del futuro. Per essere pronti a cogliere tutte le opportunità del Digital Commerce, Calicantus, realtà veneta capofila in Italia nella gestione delle vendite online, offre una panoramica sui maggiori trend italiani e internazionali. Tra le richieste più evidenti da parte dei consumatori, ordini e spedizioni veloci e convenienti sono al primo posto: la consegna in 24h diventata cruciale per mantenere un alto vantaggio competitivo. Tale incarico richiede una pianificazione precisa e un coordinamento continuo delle spedizioni, con corrieri specializzati. Essere presenti all’interno di Marketplace, con schede prodotti ricche di immagini e dettagli, permette di sfruttare in modo efficiente il potenziale di mercati online come Amazon ed eBay, che hanno saldamente stabilito la loro supremazia nel settore dell’e-commerce anche per il 2024. Investire nella presenza sui social media Nei prossimi mesi ci si aspetta un significativo aumento del Social Commerce, con nuove opportunità per coinvolgere e incrementare la base clienti. Per massimizzare i vantaggi, si consiglia di investire in una presenza solida sui social media e adottare una strategia di contenuti con vetrine di prodotti, video accattivanti e collaborazioni con i creator. In questo contesto, è cruciale l’interazione attiva con il pubblico e la pronta risposta a commenti e messaggi. L’Intelligenza Artificiale e l’apprendimento automatico stanno trasformando radicalmente l’e-commerce, nella previsione di una forte espansione per il 2024. Gli algoritmi di apprendimento automatico elaborano grandi quantità di dati, consentendo esperienze d’acquisto su misura per i clienti, basate su sistemi di suggerimento di prodotti pertinenti, assistenza clienti con chatbot fondate sull’AI e campagne di marketing per favorire connessioni profonde e stimoli alle vendite. Il sistema di Gestione degli Ordini Quando l’e-commerce ha volumi di vendita importanti, diventa fondamentale implementare un Sistema di Gestione degli Ordini (OMS), in grado di orchestrare tutte le fasi secondo una customer experience eccellente, dall’invio dell’ordine fino alla ricezione del pacco. L’evasione degli ordini è un processo complesso che coinvolge diversi reparti all’interno e all’esterno di un’organizzazione, come vendite, amministrazione, magazzino, spedizioni e servizio clienti. Il potenziale della Realtà Aumentata (AR) per trasformare il settore dell’e-commerce è immenso. I consumatori potranno visualizzare in anteprima i prodotti nel loro ambiente prima di effettuare un acquisto, riducendo così al minimo le incertezze e aumentando la soddisfazione generale. Nel 2024, le aziende che incorporeranno l’AR nelle loro strategie di e-commerce otterranno un vantaggio competitivo significativo, offrendo agli acquirenti un’esperienza di acquisto coinvolgente, interattiva e accattivante. Per sfruttare la potenza di questa nuova tecnologia, si consiglia di integrare le funzionalità AR nelle pagine dei prodotti o nelle applicazioni mobile. Mediante l’intelligenza artificiale generativa, la funzionalità legata alle Ricerche Vocali sarà decisamente potenziata per rendere la Customer Experience più coinvolgente, con un approccio conversazionale. Le previsioni di Global Market Insights indicano vendite globali oltre i 30 miliardi di dollari entro il 2024, con il 55% degli immobili ad uso abitativo attrezzati di altoparlanti intelligenti. L’ottimizzazione per la ricerca vocale consente quindi di raggiungere un mercato in crescita e aumentare il traffico organico all’e-commerce. I servizi in abbonamento Non da meno i servizi in abbonamento, tendenza destinata a proseguire anche nel 2024.Per un lancio di successo, è cruciale implementare un sistema di gestione abbonamenti user-friendly per migliorare l’esperienza complessiva del cliente, fornendo convenienza attraverso vantaggi esclusivi come sconti, accesso anticipato a nuovi prodotti e consigli personalizzati. Adottando i servizi in abbonamento, si aprono opportunità per coltivare relazioni durature con i clienti e generare entrate ricorrenti. Le transazioni B2B Le transizioni si sposteranno sempre più online, rendendo necessario un cambiamento nel modo in cui le aziende interagiscono con i Buyer. Cataloghi digitali, sistemi di ordinazione semplificati e prezzi personalizzati stanno diventando la norma nello spazio dell’e-commerce B2B. Secondo Wunderman Thompson, il 90% degli utenti si aspetta una esperienza d’acquisto simile al B2C anche nell’ambito B2B, mentre Forrester prevede che le vendite online B2B supereranno i 2,3 trilioni di dollari nel 2024 e potrebbero oltrepassare i3 trilioni di dollari entro il 2027.La generazione Z e i Millennial, che stanno assumendo ruoli di responsabilità decisionali per gli acquisti B2B, preferiscono ricercare e comprare prodotti online, spesso eludendo le tradizionali interazioni di vendita. Le architetture e-commerce headless Le architetture e-commerce sono sempre più popolari per aziende in cerca di soluzioni flessibili, permettendo aggiornamenti backend senza interruzioni e personalizzazione in tempo reale su diversi canali front-end. Secondo IDC, molte piattaforme di e-commerce (specialmente nel B2B) faticano a soddisfare gli standard moderni di customer experience, spingendo l’adozione del modello headless. Le principali priorità evidenziate da IDC nelle piattaforme di commercio digitale includono l’operatività su scala globale (30%), il superamento delle aspettative dei clienti (23%) e la creazione di offerte combinate con vari fornitori e collaboratori (22%). Nella configurazione headless, il front-end e il back-end operano indipendentemente, offrendo maggiore personalizzazione e libertà di progettazione. Infine un plus va dato all’Advertising che resta un’attività fondamentale per la promozione dell’e-commerce, ma che vede alcuni sostanziali cambiamenti: PPC Automation: per avere delle automazioni ottimizzate sono necessari i dati, pertanto i tracciamenti diventano fondamentali. First Party Data: Nel 2024, gli esperti di marketing digitale si troveranno ad affrontare una nuova realtà con normative sulla privacy più severe e il rifiuto dei cookie di terze parti. Di conseguenza, il settore si sta spostando verso la priorità data ai dati proprietari come nuovo standard. I dati proprietari, raccolti direttamente dai clienti, offrono maggiore precisione, affidabilità e conformità e consentono agli esperti di marketing di creare iniziative di marketing altamente personalizzate ed efficaci. Conversioni avanzate: Con Google Analytics 4 abbiamo assistito ad una serie di miglioramenti alla misurazione di Google Ads. L’utilizzo delle conversioni avanzate è un modo per migliorare la precisione dei dati di conversione combinando i dati dell’analisi del sito web aziendale con i dati pubblicitari degli Account Google a cui si ha avuto accesso. L’utilizzo di questa funzione può migliorare notevolmente la capacità di Google
Tecnologie e Imprese: PMI indietro nella transizione digitale
Imprese e ICT: la fotografia ISTAT vede le PMI italiane indietro per digitalizzazione, difficoltà per ERP, CRM e AI, bene Cloud e fatturazione elettronica. Le piccole e medie imprese italiane (PMI) sono ancora indietro nell’adozione di tecnologie per la digitalizzazione: lo conferma il rapporto ISTAT “Tecnologie e Imprese“, in base al quale il 60,7% (al di sotto del 57,7% nell’Ue27) adotta 4 attività digitali sulle 12 prese in considerazione nella speciale classifica che misura il Digital Intensity Index. L’analisi mette a nudo le maggiori difficoltà registrate dalle PMI nei confronti delle nuove tecnologie a causa di scarse competenze specialistiche che ne frenano la transizione, mentre evidenzia i dati sopra la media europea per attività consolidate, a dispetto delle minori dimensioni d’azienda. Vediamo di seguito i principali dati e la fotografia scattata dall’ISTAT. Digitalizzazione PMI ferma al livello di base L’indagine ISTAT si basa sul Digital Intensity Index (DII), uno dei sotto-indicatori della transizione digitale delle imprese, basato su 12 parametri che quantificano l’adozione di altrettante tecnologie digitali. L’indice rivela che il 60,7% delle PMI italiane (10-249 addetti) si trova a un livello base di digitalizzazione. Significa che si ferma ad appena 4 delle 12 attività dell’Indice DII, mentre solo il 21,3% raggiunge livelli elevati. Una lacuna che sie stende laddove sono richieste competenze specialistiche, con le maggiori difficoltà concentrate nell’analisi dei dati e nell’utilizzo di gestionali per la pianificazione delle risorse aziendali (ERP) e la gestione delle informazioni sui clienti (CRM). Rapporto Tecnologie e Imprese In base alle evidenze del report, i punti di forza nelle imprese italiane con almeno 10 addetti si confermano la fatturazione elettronica e il Cloud (applicazioni di finanza e contabilità, ERP, CRM, applicazioni di sicurezza e hosting di database). Maggiori difficoltà si registrano in altri ambiti: quasi la metà delle PMI (47,9%) utilizza almeno un software gestionale ma solo il 13,6% condivide i dati con fornitori o clienti. La mancanza di competenze frena anche l’adozione di strumenti basati sull’Intelligenza artificiale: solo il 5% delle imprese con 10 o più dipendenti utilizza tecnologie di AI contro una media europea dell’8%. Fonte: pmi.it
Un terzo delle organizzazioni globali ha subito molteplici violazioni della sicurezza negli ultimi 12 mesi
Il 40% delle risorse non è monitorato e rappresenta la principale minaccia per le organizzazioni a livello globale. Armis annuncia i risultati della sua ricerca Global Attack Surface Management (ASM) che ha analizzato le tendenze e le sfide delle organizzazioni degli ultimi 12 mesi riguardanti le violazioni informatiche. Da una ricerca commissionata a Vanson Bourne è emerso che le organizzazioni di tutto il mondo stanno affrontando un livello di rischio informatico senza precedenti a causa di punti ciechi nel loro ambiente e che i team di sicurezza sono sommersi da una quantità significativa di dati di threat intelligence senza informazioni utili per azioni concrete. Infatti, il 61% delle organizzazioni globali ha confermato di aver subito una violazione almeno una volta negli ultimi 12 mesi, mentre il 31% ha subito più violazioni nello stesso periodo. I quattro Paesi in cui le organizzazioni hanno dichiarato di aver subito più attacchi sono Stati Uniti, Singapore, Australia e Nuova Zelanda. “Armis continua a segnalare l’evoluzione del panorama delle minacce e l’impatto dei cyberattacchi criminali che colpiscono le organizzazioni globali, i governi nazionali, gli enti statali e locali e la società in generale”, ha dichiarato Curtis Simpson, CISO di Armis. “La nostra ricerca ha rilevato che c’è un ampio margine di miglioramento nel modo in cui le organizzazioni globali possono proteggere e gestire l’intera superficie di attacco. Non è una questione di se, ma di quando si verificherà un attacco, soprattutto contro le infrastrutture critiche su cui la società fa così tanto affidamento”. La ricerca Armis Global Attack Surface Management 2023 è stata realizzata con gli insight rilasciati da responsabili della sicurezza informatica e responsabili IT di Stati Uniti, Regno Unito, Germania, Francia, Singapore, Australia e Nuova Zelanda. I risultati mostrano: L’intera superficie di attacco dell’organizzazione non viene monitorata completamente, provocando significative esposizioni e rischi di cybersecurity non visibili. In un giorno lavorativo medio, 55.686 risorse fisiche e virtuali sono collegate alle reti aziendali. Gli intervistati a livello globale hanno condiviso che solo il 60% di questi asset è monitorato, il 40% non è monitorato. I dipendenti utilizzano sempre più spesso le proprie risorse negli ambienti aziendali, con evidenti lacune nell’applicazione delle politiche BYOD (Bring Your Own Device): il 22% degli intervistati riferisce di avere una politica BYOD ufficiale che non viene applicata a tutti i dipendenti, mentre il 23% dichiara di avere linee guida che i dipendenti sono incoraggiati a seguire o ammette di non avere alcuna politica o linea guida sul BYOD. In media, le organizzazioni sono in grado di gestire solo il 60% circa dei propri asset, quando si tratta di conoscere elementi come la loro posizione o il loro stato di assistenza. Le risorse dimenticate, come le stampanti, possono presentare lacune critiche nella sicurezza, soprattutto se non vengono installati gli aggiornamenti di sicurezza o applicate le patch. L’afflusso di dati senza l’automazione e la prioritizzazione delle informazioni sulle minacce ostacola la capacità dei professionisti della sicurezza e IT di rimediare efficacemente alle minacce per proteggere l’organizzazione. Il 29% degli intervistati dichiara che il proprio team di cybersecurity è sommerso dalle informazioni sulle minacce informatiche. Gli intervistati tedeschi (38%) sono i principali a segnalare questa situazione. Poco meno della metà (45%) degli intervistati dichiara di utilizzare 10 o più fonti diverse per raccogliere dati relativi alle informazioni sulle minacce e solo tra il 52% e il 57% dei processi relativi alle informazioni sulle minacce sono in media automatizzati, il che significa che gran parte del lavoro necessario per utilizzare le informazioni è un lavoro manuale. In media, solo il 58% delle informazioni raccolte dalle fonti di threat intelligence è utilizzabile. Solo il 2% delle organizzazioni intervistate dichiara che tutte le informazioni raccolte dalle fonti di threat intelligence sono utilizzabili. Le organizzazioni faticano a gestire efficacemente gli asset fisici e virtuali connessi alla propria rete, e utilizzano troppi strumenti per agire efficacemente sui piani di cybersecurity. Gli intervistati a livello globale hanno indicato che le loro organizzazioni utilizzano 11 strumenti diversi per gestire gli asset connessi alla rete, mentre il 44% ammette di utilizzare ancora fogli di calcolo manuali. I dipendenti sono in grado di aggirare la sicurezza e scaricare applicazioni e software all’interno degli asset senza che i team IT o di sicurezza ne siano a conoscenza. Tre quarti (75%) delle organizzazioni globali riferiscono che ciò avviene almeno qualche volta, mentre un quarto (25%) riferisce che ciò avviene continuamente. Senza un controllo, una gestione e/o visibilità completi su questi asset, le organizzazioni si trovano ad affrontare rischi ancora maggiori. “Purtroppo esiste una correlazione tra l’ampia percentuale di superficie d’attacco non monitorata e l’alto tasso di violazioni registrato nell’ultimo anno”, ha continuato Simpson. “Gli asset non gestiti rappresentano la crescente superficie di attacco, ma i programmi e gli strumenti informatici delle organizzazioni non hanno la visibilità necessaria per comprendere e gestire i principali rischi, esposizioni e minacce informatiche. I criminali informatici stanno sfruttando questi punti ciechi fisici per eseguire i cyberattacchi più impattanti di oggi. È fondamentale che i reparti IT modernizzino il loro approccio consolidando le soluzioni disgiunte e sfruttando le più recenti tecnologie innovative per consentire ai team di disporre di informazioni in tempo reale e automatizzate, oltre che di piani attuabili per contribuire a salvaguardare le risorse critiche dalle minacce informatiche”. “La nostra ricerca ha rilevato che c’è un ampio margine di miglioramento nel modo in cui le organizzazioni globali gestiscono il panorama delle minacce”, ha dichiarato Katie Haslett, Research Consultant di Vanson Bourne. “Gli intervistati per questo rapporto concordano con questa valutazione, condividendo che aumentare proattivamente la visibilità della superficie di attacco e definire ulteriormente le politiche e le procedure che circondano gli asset virtuali e fisici è un’area di crescita per la loro organizzazione”. Fonte: bitmat.it
Educare a una navigazione web sicura: la chiave per una cybersecurity più efficace
I cybercriminali sono sempre più sofisticati nel prendere di mira le persone durante la loro navigazione web. I siti web che sembrano legittimi, ma sono in realtà pericolosi, rappresentano una piattaforma comune per le loro campagne. È facile che le persone abbassino la guardia quando svolgono online attività quotidiane come ricerche, acquisti, pagamenti o social media. Lo confermano i risultati del report State of the Phish 2023 condotto da Proofpoint per analizzare il panorama delle minacce del 2022: Oltre un terzo dei lavoratori ha compiuto almeno un’azione rischiosa, come cliccare su un link dannoso, scaricare malware o esporre i propri dati o credenziali di accesso. Oltre il 60% dei lavoratori non sa che il testo del link di un’e-mail potrebbe non corrispondere al sito web a cui conduce. Questi dati mettono in mostra lacune di conoscenza allarmanti. La nostra ricerca mostra anche che l’84% delle organizzazioni è stato colpito da un attacco di phishing nel 2022 – partiti in gran parte a seguito di clic da parte degli utenti su elementi pericolosi. Le persone sono la prima linea di difesa di un’azienda e trascorrono molto tempo sul web. Ecco alcuni tra i più recenti trend delle minacce nella navigazione su Internet: Chatbot alimentati dalla IA come ChatGPT Phishing Multi-Factor Authentication (MFA) Attacchi Browser-in-the-Browser (BitB) Il fascino e il pericolo delle Chatbot IA Le chatbot basate su intelligenza artificiale sono diventate rapidamente popolari grazie alla loro capacità di fornire assistenza istantanea attraverso interazioni in linguaggio naturale. ChatGPT è la chatbot IA più conosciuta, ma ne esistono altre come Microsoft Bing e Google Bard. Sono spesso accessibili tramite browser, e l’immediatezza con cui si danno e ricevono informazioni apre molti rischi per la sicurezza e la disinformazione. Gli utenti potrebbero digitare informazioni personali nel browser in risposta a una chatbot e, come osservato in passato con le iniezioni bancarie, qualsiasi trasmissione di dati sensibili potrebbe diventare un obiettivo per gli attaccanti. Le chatbot raccolgono i dati per migliorare le loro prestazioni e personalizzare le interazioni e potrebbe anche sollevare problemi di privacy per quanto riguarda le informazioni di identificazione personale (PII). Se i dati non vengono archiviati in modo sicuro o crittografati adeguatamente, potrebbero verificarsi accessi non autorizzati che porterebbero al furto di identità o a violazioni La minaccia del phishing multi-factor authentication (MFA) Poiché l’MFA è diventata una pratica di sicurezza standard, le tecniche di phishing MFA “man-in-the-middle” si sono evolute per rubare i token MFA. In un attacco di questo tipo, la vittima accede a una pagina contraffatta che utilizza un reverse proxy per visualizzare l’interfaccia di login di un servizio legittimo. Il tentativo di accesso sembra procedere normalmente, ma quando l’utente digita il codice MFA e le altre credenziali, il reverse proxy intercetta e ruba il token. A questo punto l’aggressore può aggirare il livello di sicurezza MFA ed entrare nell’account con la possibilità di accedere a dati sensibili, informazioni personali e finanziarie, rubare l’identità o utilizzare l’account per accedere ad altri sistemi e dati privati. Gli attacchi browser-in-the-browser (BitB) Questa forma avanzata di phishing delle credenziali è difficile da individuare. Oltre a creare una pagina di phishing convincente, l’attaccante crea anche una finta finestra pop-up di Single Sign On (SSO), che appare agli quando desiderano accedere a un servizio con le credenziali di siti affidabili come Google, Apple o Twitter. Il falso login SSO viene creato modificando il codice del sito web di phishing per aggiungere un’altra pagina web separata e incorporata in quella malevola. Se l’utente inserisce le proprie credenziali per il sito legittimo, l’aggressore le raccoglie, ottenendo potenziale accesso a un componente chiave dell’identità digitale della vittima. Il comportamento delle persone resta la difesa più efficace I browser web dispongono di funzioni di sicurezza che segnalano possibilità non sicure, ma non impediscono di compiere un’azione pericolosa. Spetta a ciascuno fermarsi, pensare e agire o reagire. Ecco perché la formazione alla sicurezza gioca una parte essenziale per aiutare gli utenti a capire come riconoscere le minacce e applicare le loro conoscenze alle situazioni del mondo reale. È fondamentale prestare attenzione ai dettagli di un sito e prendere in considerazione elementi e comportamenti relativi alla sua sicurezza, come ad esempio: Pop-up che sembrano messaggi del browser e che chiedono di installare o aggiornare un software. Download gratuiti come film, musica o video che nascondono software dannoso. Offerte gratuite che richiedono informazioni personali in cambio di un omaggio. La presenza di marchi noti che creano un falso senso di sicurezza. Anche se il nome è riconoscibile, le immagini sembrano legittime? Il nome del dominio principale del sito è corretto (ad esempio “microsoft.com”), ma il resto dell’URL presenta parole o ortografia insolite. URL che appaiono nei risultati di ricerca ma non sono link legittimi. URL abbreviati da servizi come Bitly e TinyURL che possono mascherare la vera identità di un link. Messaggi di avviso del browser che indicano che un sito non è sicuro o non può essere autenticato. Funzionalità del browser sospette con certificato di sicurezza mancante. Un sito che chiede di inserire informazioni sensibili o finanziarie. Fonte: bitmat.it