Fatturazione elettronica: niente banca dati dell’agenzia delle entrate
Niente banca dati delle fatture dell’Agenzia delle entrate, memorizzati solo i dati fiscali necessari per i controlli automatizzati, no alla fatturazione elettronica per le prestazioni sanitarie. L’Agenzia potrà archiviare le fatture solo su richiesta dei contribuenti che avranno necessità di consultarle. Con un articolato provvedimento, il Garante per la protezione dei dati personali – preso atto delle modifiche apportate all’impianto originario della fatturazione elettronica e delle ulteriori rassicurazioni fornite dall’Agenzia delle entrate – ha individuato i presupposti e le condizioni perché la stessa Agenzia possa avviare dal 1 gennaio 2019 i trattamenti di dati connessi al nuovo obbligo. Nelle settimane scorse era stato costituito un tavolo di lavoro tecnico, con l’Agenzia delle entrate e il Mef, per esaminare congiuntamente le criticità rilevate dal Garante e che ha visto coinvolti anche l’Agid, il Consiglio nazionale dei dottori commercialisti e degli esperti contabili, il Consiglio nazionale dell’ordine dei consulenti del lavoro e l’associazione dei produttori di software gestionale e fiscale (AssoSoftware). La fatturazione elettronica, così come originariamente prefigurata dall’Agenzia, presentava rilevanti criticità in ordine alla compatibilità con la normativa in materia di protezione dei dati personali. L’Agenzia, infatti, oltre a recapitare le fatture ai contribuenti attraverso il sistema di interscambio (SDI), avrebbe anche archiviato integralmente tutti i file delle fatture elettroniche (2,1 miliardi nel 2017) che contengono di per sé informazioni di dettaglio, anche non rilevanti a fini fiscali, sui beni e servizi acquistati, come le abitudini e le tipologie di consumo, legate alla fornitura di servizi energetici, di telecomunicazione o trasporto (es. regolarità nei pagamenti, pedaggi autostradali, biglietti aerei, pernottamenti), o addirittura l’indicazione puntuale delle prestazioni legali (es. numero procedimento penale) o sanitarie (es. percorso diagnostico neuropsichiatrico infantile). Il nuovo sistema di e-fattura prevede invece che l’Agenzia si limiti a memorizzare solo i dati fiscali necessari per i controlli automatizzati (es., incongruenze tra dati dichiarati e quelli a disposizione dell’Agenzia), con l’esclusione della descrizione del bene o servizio oggetto di fattura. Dopo il periodo transitorio indispensabile a modificare il sistema, nuovi servizi di consultazione delle fatture saranno resi disponibili solo su specifica richiesta del contribuente, sulla base di accordi che saranno esaminati dall’Autorità. I soggetti che erogano prestazioni sanitarie non dovranno emettere fattura elettronica. Per quanto riguarda il rischio di usi impropri dei dati, il Garante, con l’istituto dell’avvertimento, ha messo in guardia tutti gli operatori (soggetti Iva e intermediari, anche tecnici) che alcune clausole contrattuali, predisposte dalle società di software, possono violare il Regolamento ed espongono a sanzioni. Ulteriori sforzi sono richiesti all’Agenzia delle entrate per implementare la cifratura dei dati (utile soprattutto in caso di utilizzo della pec), per minimizzare i dati da memorizzare e per conformarsi agli obblighi di trasparenza e correttezza nei confronti degli interessati riguardo ai controlli fiscali effettuati attraverso trattamenti automatizzati o con l’acquisizione delle fatture per le quali il contribuente usufruisce dei servizi di consultazione e conservazione. Tutto ciò in vista di una nuova valutazione d’impatto, prevista dalla normativa sula protezione dei dati, che l’Agenzia dovrà produrre entro il 15 aprile 2019. Fonte: BitMat.it
Boom di malware con l’arrivo delle feste natalizie
Fortinet ha reso noti i risultati del suo ultimo Global Threat Landscape Report, secondo cui i malware sono in aumento e in continua evoluzione, diventando sempre più sofisticate. Crescono le varianti e le famiglie di minacce uniche, mentre le infezioni botnet continuano a colpire le organizzazioni. Di seguito i risultati salienti del report: Lo sviluppo delle minacce continua a essere una priorità per i criminali informatici. I cybercriminali non solo stanno espandendo il proprio arsenale di attacco, ma stanno anche sviluppando nuove strategie per violare le difese. Le varianti di malware unico sono cresciute del 43%, mentre il numero di famiglie di malware è cresciuto di quasi il 32%. Anche il numero di rilevamenti unici giornalieri di malware per impresa è aumentato del 62%. In linea con questi trend, gli exploit unici sono aumentati di circa il 10% e il numero di rilevazioni di exploit per impresa è aumentato del 37%. I criminali informatici continuano a evolvere le minacce creando varianti e famiglie di malware unici, dimostrando l’importanza continua della threat intelligence e degli strumenti di valutazione. I dispositivi mobile rimangono un bersaglio. Oltre un quarto delle organizzazioni ha subito un attacco malware mobile, la maggior parte su sistema operativo Android. Infatti, delle minacce che le organizzazioni hanno riscontrato da ogni vettore di attacco, il 14% degli alert di malware totali riguardava Android. A titolo di confronto, solo il lo 0,000311% delle minacce è stato indirizzato a Apple iOS. Le minacce mobile sono una minaccia incombente che deve essere affrontata, specialmente con l’avvicinarsi della stagione dello shopping mobile per le festività. Queste minacce possono diventare una porta di accesso per sfruttare le reti aziendali. I criminali sanno che il mobile è un obiettivo accessibile per infiltrarsi in una rete e lo sfruttano di conseguenza. Il cryptojacking è una porta di accesso per altri attacchi. Il cryptojacking continua a prevalere e a crescere nei suoi obiettivi. Il numero di piattaforme interessate dal cryptojacking è aumentato del 38% e il numero di signature uniche è quasi raddoppiato nell’ultimo anno. Queste includono nuove piattaforme sofisticate per i cybercriminali esperti e piattaforme “as-a-service” per criminali inesperti. Anche le botnet IoT sfruttano in modo crescente gli exploit cryptojacking per la loro strategia di attacco. Sebbene sia spesso considerata una minaccia fastidiosa che semplicemente sfrutta cicli inutilizzati della CPU, i responsabili di sicurezza si stanno rendendo conto di come il criptojacking possa diventare una porta di accesso per ulteriori attacchi. Sottovalutare le ripercussioni del cryptojacking pone un’organizzazione a un rischio elevato. La percentuale di traffico di rete malevolo è superiore nei fine settimana o nei giorni festivi. I dati mostrano che il traffico di rete malevolo rappresenta una percentuale più elevata del traffico generale nei fine settimana e nei giorni festivi, quando il traffico aziendale rallenta in modo significativo, poiché molti dipendenti non sono al lavoro in questo periodo. Per molte organizzazioni questo potrebbe essere un momento opportuno per ripulire il malware poiché se il “pagliaio” del traffico si riduce, la possibilità di trovare “aghi” dannosi è molto più elevata. Con i criminali informatici che utilizzano tecniche sempre più automatizzate e sofisticate, qualsiasi possibilità di aumentare la visibilità può rappresentare un vantaggio. Attenzione alle botnet. L’indice delle botnet IoT è aumentato solo del 2%, sebbene il numero di giorni di infezione per impresa sia aumentato del 34% da 7,6 giorni a 10,2 giorni. Ciò potrebbe indicare che le botnet diventano sempre più sofisticate, difficili da rilevare o più difficili da rimuovere. Potrebbe anche denotare l’inadeguatezza delle pratiche di cyber-igiene in generale da parte di alcune organizzazioni. L’importanza di un’igiene di sicurezza coerente rimane vitale per affrontare completamente la portata totale di questi attacchi. A volte le botnet diventano dormienti, per poi riattivarsi una volta riprese le normali attività aziendali, se la causa all’origine o il “paziente zero” non vengono determinati. Il traffico crittografato raggiunge una nuova soglia. Il traffico crittografato ha raggiunto un nuovo picco, rappresentando il 72% di tutto il traffico di rete, rispetto al 55% di appena un anno fa. Se la crittografia può certamente aiutare a proteggere i dati in movimento tra ambienti core, cloud ed endpoint, rappresenta anche una sfida per le soluzioni di sicurezza tradizionali. I limiti critici delle prestazioni di firewall e IPS di alcune soluzioni legacy di sicurezza continuano a limitare la capacità delle organizzazioni di ispezionare i dati crittografati alla velocità di business. Di conseguenza, una percentuale crescente di questo traffico non viene analizzato per attività dannose, rendendolo un meccanismo ideale per i criminali per diffondere malware o esfiltrare dati. L’evoluzione digitale richiede un nuovo approccio alla sicurezza I dati sulle minacce nel report di questo trimestre confermano ancora una volta molte delle previsioni sulle minacce presentate dal team di ricerca globale FortiGuard Labs. Per stare al passo con gli sforzi continui dei criminali informatici, le organizzazioni devono trasformare le proprie strategie di sicurezza come parte dei loro sforzi di digital transformation. I dispositivi di sicurezza di legacy e isolati e una scarsa igiene della sicurezza continuano a rappresentare una formula per aumentare il rischio nel panorama delle minacce odierne, poiché non forniscono visibilità o controllo adeguati. Invece, un security fabric che copre tutto l’ambiente di rete esteso e integrato tra ogni elemento di sicurezza è vitale per affrontare il panorama odierno delle minacce in continua crescita e per proteggere la superficie di attacco in espansione. Questo approccio consente di condividere una threat intelligence utilizzabile in modo rapido e scalabile, riduce le finestre di rilevamento necessarie e fornisce una risoluzione automatizzata necessaria per gli exploit multi-vettore di oggi. “Le minacce informatiche crescono rapidamente e ogni organizzazione ne avverte l’impatto, con rilevazioni quotidiane ed exploit in aumento. Prima, il ransomware era all’ordine del giorno, ora notiamo il proliferare di malware mobile e attacchi rivolti a supply chain business-critical. Man mano che i nostri cyber-avversari continuano a incorporare nuove minacce e a sfruttare tecniche sempre più automatizzate in termini di velocità e scalabilità per le loro attività dannose, segmentazione e integrazione diventano elementi critici di sicurezza strategica per gli ambienti IT e OT odierni” ha dichiarato Phil Quade,
Computer Security Day: gli esperti fanno il punto sulla cybersecurity
Il Computer Security Day, evento non ufficiale volto a sensibilizzare l’opinione pubblica sui rischi che i cyberattacchi possono causare ai computer e ai dispositivi di cittadini, aziende e istituzioni, Si è svolto lo scorso 30 novembre. Da quando è stato celebrato per la prima volta nel 1988, su iniziativa della Association for Computing Machinery (ACM), un considerevole numero di innovazioni tecnologiche ha rivoluzionato il modo in cui le aziende fanno affari e interagiscono sia con le altre imprese che con i loro clienti. Con i suoi 28 anni di esperienza, anche Panda Security ha assistito e partecipato a queste svolte, dalla nascita del World Wide Web e la divulgazione della posta elettronica, al boom dell’Internet of Things fino agli ultimi sviluppi dell’Intelligenza Artificiale. Tuttavia, parallelamente a questi sviluppi tecnologici, sono emerse anche nuove minacce che hanno messo a rischio molte aziende, indipendentemente dalle loro dimensioni o dal settore di appartenenza. È proprio per questo motivo che Panda Security ritiene fondamentale che le aziende possano beneficiare di consulenze e best practice fornite dai principali esperti di sicurezza informatica. In quest’ottica, è stato redatto eBook: “2018 in Cybersecurity”, che raccoglie le testimonianze di 11 specialisti del settore. Cosa ne pensano gli esperti? Le principali sfide della cybersecurity che hanno lasciato il segno quest’annoIl 2018 è stato caratterizzato da numerose sfide che hanno messo alla prova la cybersecurity di numerose aziende; questo è stato infatti il principale tema affrontato dagli esperti intervistati. A causa degli effetti prodotti sul modo in cui le aziende proteggono i dati dei clienti e degli utenti, uno degli episodi più importanti dell’anno è stato l’attuazione definitiva del GDPR. Per questo motivo, nell’eBook sono presenti le raccomandazioni degli esperti su come migliorare la protezione dei dati. Tuttavia, gli esperti sottolineano che l’investimento di un’azienda nella sicurezza deve essere strategico e non solo per conformità al GDPR. Nell’eBook, “The Experts Talk”, si possono trovare diversi consigli su come rendere la cybersecurity un elemento fondamentale di un’azienda. Il ruolo svolto dalle istituzioni pubbliche in materia di cybersecurityPanda Security attribuisce un ruolo importante alle istituzioni pubbliche che operano nell’ambito della cybersecurity. Nell’eBook sono riportate analisi di diverse istituzioni internazionali, tra cui il Centro Criptológico Nacional spagnolo (CCN-CERT – Centro Nazionale di Crittologia) e il Lawrence Berkeley National Laboratory. Gli esperti della sfera pubblica sottolineano quanto un’adeguata collaborazione tra pubblico e privato sia fondamentale e che la cybersecurity rappresenti una priorità della sicurezza nazionale per gli Stati, dato che può influenzare le loro infrastrutture critiche, i servizi e le loro operazioni. I più formidabili cyberattacchiGli esperti del settore privato sottolineano che i cyberattacchi siano sempre più redditizi per i criminali informatici. Per chiarire questo punto, hanno fornito una panoramica relativa ai più noti attacchi ransomware ribadendo come stia diventando sempre più semplice noleggiare bot malevoli. Oltre a questi, esistono attacchi meno noti, ma non per questo meno complessi o efficienti, come il cryptojacking. Gli esperti di Panda Security spiegano nel dettaglio come funzionano e, soprattutto, cosa si può fare per combatterli. Gli strumenti per prevenire i cyberattacchi Infine, il punto su cui tutti gli esperti concordano è quanto sia importante la prevenzione quando si tratta di sicurezza informatica. Le aziende devono sempre avere a disposizione una soluzione avanzata di cybersecurity. Ma è anche importante considerare che la prevenzione rappresenta il 90% della lotta contro il cybercrime, mentre la reazione solo il 10%. In “The Experts Talk”, i leader del settore approfondiscono diversi processi essenziali, che ogni azienda deve portare a termine per anticipare i cybercriminali: simulazioni di phishing per i dipendenti, programmi Bug Bounty e pen-test sono solo alcuni dei metodi raccomandati. Fonte: BitMat.it
PMI e sicurezza: i dipendenti non riconoscono i comportamenti a rischio
Secondo i risultati di una recente indagine di BSA | The Software Alliance, le competenze e le abitudini in tema di sicurezza informatica dei dipendenti delle PMI italiane rilevano una situazione preoccupante. I dipendenti delle PMI nostrane, infatti, non riconoscono i comportamenti che possono comportare dei rischi per la sicurezza informatica e non comprendono le proprie responsabilità. I dipendenti non sanno, infatti, riconoscere i rischi quotidiani legati alle tecnologie utilizzate per lavoro. Ad esempio, la maggior parte (70%) non pensa che utilizzare un dispositivo non autorizzato (come una USB) possa rappresentare una minaccia, mentre il 60% non crede che installare un’applicazione senza i diritti di amministratore costituisca un rischio. Infine, un preoccupante 64% non ritiene che scaricare musica o film illegalmente possa mettere in pericolo l’azienda. La scarsa attenzione alla sicurezza informatica e ai comportamenti pericolosi online costituisce un rischio ancora maggiore nel periodo che precede le feste, quando i dipendenti sono maggiormente portati a utilizzare i device aziendali per ragioni personali, come l’acquisto dei regali: il 29% degli intervistati ha infatti ammesso di utilizzare i dispositivi business per scopi personali. La comodità batte l’accountability Gli intervistati hanno dichiarato che le principali ragioni per aver condotto attività non sicure sono il risparmio di tempo (33%) e la comodità (32%). È inoltre emerso che solo il 44% si sentirebbe responsabile di una violazione di sicurezza causata dal proprio comportamento. Secondo i risultati dell’indagine, i dipendenti sembrano esporsi deliberatamente alle cyber minacce. Infatti, solo il 32% installa solamente applicazioni in linea con la policy di sicurezza e meno della metà aggiorna i software sui propri dispositivi aziendali (42%). Inoltre, il 57% dei dipendenti cercherebbe di ottenere i tool (app, dati o accessi) di cui ha bisogno per essere più produttivo senza il permesso dell’IT, dato che evidenzia la necessità di maggiore formazione e governance per assicurarsi che le misure di resilienza siano efficaci nelle organizzazioni. Una falsa sensazione di sicurezza I risultati dell’indagine suggeriscono che i dipendenti sottovalutino l’entità delle minacce per la propria azienda. La maggior parte degli intervistati crede, generalmente, che le misure di cyber resilienza applicate dalla propria organizzazione siano efficaci (85%) e che l’azienda si sia adattata abbastanza velocemente per affrontare le minacce informatiche in costante evoluzione (78%). Tuttavia, le risposte alla domanda sulle specifiche misure implementate dalla propria organizzazione per affrontare le cyber minacce sono meno notevoli: Solo il 19% ha ricevuto training di sicurezza informatica dedicati Solo il 25% ha notato policy più severe di sicurezza o utilizzo (relativamente all’accesso ai servizi) Solo il 18% dei dipendenti ha ricevuto linee guida sulle best practice Ciò comporta un’ulteriore carenza di consapevolezza nelle PMI italiane: meno della metà dei dipendenti (43%) sa se la propria organizzazione sia stata vittima di un attacco informatico o abbia subito una violazione o un furto di dati. È necessario passare all’azione “I risultati dell’indagine hanno rivelato l’importanza per le PMI di dedicare maggiore impegno alla formazione dei propri dipendenti in merito alla sicurezza informatica”, ha commentato Paolo Valcher, Chairman di BSA Italia. “Assistiamo a una vera ribellione alla cyber resilienza, con un numero allarmante di dipendenti che non sa riconoscere le attività ad alto rischio, non si sente responsabile delle proprie azioni e non si fa scrupoli a bypassare i responsabili IT.” “Le organizzazioni devono prendere in mano la situazione: più formazione e maggiore consapevolezza. Anche insegnamenti basilari come l’utilizzo adeguato delle password e una buona gestione dei software possono rivelarsi fondamentali. La maggior parte delle violazioni di sicurezza è dovuta all’errore umano ma i dipendenti delle PMI non hanno ancora compreso che ciascuno è responsabile della protezione dell’azienda per cui lavora”. Fonte: BitMat.it
E-fattura, sì al registro digitale per le deleghe agli intermediari
Flessibilità per gli intermediari sulle modalità di tenuta del registro delle deleghe. Si possono registrare con data 5 novembre (data di approvazione dei nuovi modelli) i moduli acquisiti in precedenza e non ancora presentati, con un’annotazione specifica a riguardo. Gli operatori Iva dovranno considerare il condominio alla stregua di un soggetto privato e, quindi, dal 2019 emettere fattura elettronica attraverso il Sistema di interscambio (Sdi). In pratica, bisognerà riportare il codice fiscale del condominio nel campo del cessionario/committente, indicare il codice convenzionale con sette «zero» nel campo codice destinatario e consegnare una copia della fattura trasmessa – in formato analogico o digitale – al condominio, indicando che si tratta di una copia e che il documento fiscalmente valido sarà esclusivamente quello disponibile nell’area riservata del sito dell’Agenzia. Più in generale, poi, l’obbligo di consegnare ai consumatori finali la copia della fattura elettronica emessa dovrà sempre avvenire, salvo che il cliente non rinunci ad averla. Rinuncia che «potrà più facilmente avvenire se l’operatore Iva ricorderà al cliente» che l’e-fattura potrà essere consultata in un’area riservata del sito delle Entrate all’interno di una sezione specifica «accanto a quella della precompilata». E, comunque, consumatori finali persone fisiche, operatori nel regime dei minimi o forfettario, condomini ed enti non commerciali potranno «sempre decidere di ricevere le fatture elettroniche emesse dai loro fornitori comunicando a questi ultimi, ad esempio, un indirizzo Pec». Sono alcuni dei chiarimenti – oltre a quelli indicati nelle pagine successive su cui spicca la necessità di “aspettare” la fattura elettronica per procedere alla detrazione Iva sugli acquisti – forniti dall’agenzia delle Entrate nel corso del videoforum online sull’e-fattura organizzato dal Sole 24 Ore. Tornando, però, alle risposte delle Entrate, soprattutto alla luce del via libera della scorsa settimana sull’invio massivo, la sottolineatura che il registro delle deleghe ricevute dai clienti «può essere tenuto con qualsiasi modalità, anche in formato elettronico (in forma tabellare o foglio elettronico), e richiede la compilazione dei campi previsti nel provvedimento». Sempre sulla gestione “massiva” per i clienti, Agenzia e Sogei sono al lavoro per consentire entro fine anno agli intermediari l’upload «cumulativo» degli indirizzi telematici dei clienti da cui sono stati delegati e il download (in questo caso sono interessati anche gli operatori Iva) massivo delle e-fatture. Infine, le Entrate hanno chiarito che «per le fatture ricevute da un soggetto passivo Iva che rientra nel regime forfettario o di vantaggio a partire dal 1° gennaio 2019 non sussisterà più l’obbligo di comunicazione “spesometro”»: l’adempimento sarà, infatti, abrogato dal prossimo anno. PER SAPERNE DI PIU’/ TUTTE LE DOMANDE E RISPOSTE SULLA FATTURA ELETTRONICA Fonte: IlSole24ore.it
Il responsabile dei dati? Meglio un esterno
L’approvazione da parte dell’Unione europea della nuova Normativa sulla Privacy 2016/679, più comunemente definita GDPR, ha generato non poca confusione. Questo perché il nuovo testo non sostituisce completamente il vecchio codice sulla privacy, ma piuttosto introduce numerose modifiche e nuove regole per le organizzazioni che detengono e trattano dati di persone fisiche residenti nei Paesi dell’Unione. Motivo per cui da maggio 2018 le caselle di posta elettronica dei cittadini comunitari sono state invase da messaggi informativi sull’aggiornamento della normativa. La confusione che si è creata ha riguardato soprattutto la figura del Responsabile della protezione dei dati, ovvero il DPO (Data protection officer). Il DPO è una figura prevista dall’art. 37 del Regolamento (UE) 2016/679. Si tratta del soggetto designato dal titolare o dal responsabile del trattamento dati che ha il compito di assolvere a funzioni di supporto e controllo, consultive, formative e informative relativamente all’applicazione del Regolamento stesso. Il DPO coopera con l’Autorità e per questo il suo nominativo va comunicato al Garante e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali (artt. 38 e 39 del Regolamento). Il DPO deve poter offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, coadiuvando il Titolare nell’adozione di un complesso di misure (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare. Deve agire in piena indipendenza e autonomia e riferire direttamente ai vertici. Alla designazione del DPO sono tenuti il Titolare e il Responsabile del trattamento nei casi che rientrano nella previsione di cui all’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679: si tratta di soggetti le cui principali attività consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e a reati. A titolo esemplificativo e non esaustivo sono state individuate la categorie di soggetti certamente tenuti alla nomina del DPO: istituti di credito, società finanziarie, di informazione creditizia e commerciale, società di recupero crediti, partiti politici, sindacati, società del campo delle utilities (distribuzione energia elettrica, gas, telecomunicazioni), della somministrazione del lavoro e della ricerca del personale, società che forniscono servizi informatici, che operano nel settore della cura della salute, etc. Per alcune categorie la designazione di un DPO non è obbligatoria: sono esclusi a titolo esemplificativo i liberi professionisti operanti in forma individuale, le imprese individuali o familiari, e le piccole e medie imprese con riferimento ai trattamenti dei dati di fornitori e dipendenti. Nonostante questo, è comunque utile procedere alla designazione su base volontaria, come precisato anche dal Garante. Il DPO dovrà operare in base a un contratto di servizi e tendenzialmente si tratta di una figura professionale esterna alla struttura del Titolare, tuttavia il ruolo può essere ricoperto anche da un dipendente del titolare o del responsabile (non in conflitto di interessi), mediante specifico atto di designazione, anche se quest’ultima pare essere soluzione incapace di soddisfare completamente i criteri di autonomia ed indipendenza. (*responsabile “privacy” studio Martinez&Novebaci) Fonte: ilSole24Ore
GDPR in italia: opportunità o obbligo?
GDPR in italia: opportunità o obbligo? Sei mesi fa entrava in vigore il Regolamento Generale sulla Protezione dei Dati, ampiamente considerato come il più grande cambiamento nel panorama della protezione dei dati avvenuto in Europa da oltre 20 anni, e che si inserisce in uno scenario odierno di profonda trasformazione, che vede l’economia delle applicazioni in piena espansione. Tra dubbi e perplessità legate alla complessità della disciplina e all’adeguamento nazionale, giunto a compimento dopo il lungo iter legislativo del decreto di armonizzazione il 19 settembre scorso, le aziende italiane pubbliche e private si sono mosse rapidamente per soddisfarne i requisiti e non rischiare di incorrere in sanzioni. Perché Il GDPR è un processo continuo Per le imprese e i professionisti che sono chiamati ad applicare in tutte le fasi del trattamento dei dati il principio della accountability (responsabilizzazione), adeguarsi al GDPR significa ottemperare a numerosi obblighi attraverso l’attuazione di precise attività. La difficoltà maggiore, infatti, è che non basta “mettere una crocetta” sul GDPR, l’adeguamento è un percorso complesso, che ha avuto un avvio e ora procede con rapidità ma senza mai terminare del tutto. Molti pensavano che la designazione del responsabile esterno fosse di per sé sufficiente, che quindi bastasse designare tutte le società che trattavano i dati mandando loro le lettere di incarico per essere conformi. Decisamente non è così, perché garantire la compliance al GDPR implica attivare verifiche continue e promuovere audit costanti. GDPR onere o opportunità La scelta migliore per le organizzazioni è adottare un approccio basato sul rischio e implementare fin da subito solidi controlli per proteggere le informazioni personali e sensibili ed evitare pesanti sanzioni pecuniarie. Se in una prima fase le aziende hanno percepito gli oneri legati all’adeguamento alla normativa e i rischi dovuti alla non ottemperanza, il tempo aumenterà la loro consapevolezza di come questo regolamento rappresenti una leva positiva, perché servirà a tutti per comprendere l’importanza di prestare maggiore attenzione al bene più importante delle aziende: i dati. Il GDPR è un impegno consistente per le aziende, perché devono continuare a essere conformi a una legislazione che verrà progressivamente complicata dalla crescente influenza delle tecnologie, come il cloud computing o l’Internet of Things, ma riuscire a differenziarsi grazie a best practice migliori e all’offerta di servizi percepiti come sicuri e affidabili dai consumatori rappresenterà sempre più un’opportunità di crescita concreta. I consumatori attenti alla tecnologia vorranno essere associati solo ai gestori di dati più affidabili, daranno fiducia e intraprenderanno relazioni più solide con i clienti e apriranno la strada all’introduzione di nuovi servizi innovativi. Ma il GDPR non sarà sufficiente Il GDPR è un regolamento fondamentale per garantire un terreno di gioco comune a livello globale, al centro del quale oggi troviamo la gestione dei dati. Anche se abbiamo a che fare con la normativa più completa e vasta mai pensata fino ad oggi, in uno studio recentemente realizzato da F5 Network (The Future of Multi-Cloud) emerge chiaramente come nel lungo termine questa regolamentazione si rivelerà insufficiente e come, entro cinque anni, sarà necessario adottare uno standard globale per la protezione dei dati. La complessità legislativa in un mondo digitale senza confini rappresenta, infatti, una delle maggiori sfide che i governi di tutto il mondo si trovano ad affrontare e richiederà una forte e rapida azione collaborativa tra aziende e governi. Anche dal punto dell’evoluzione dell’attuale GDPR dovremo aspettarci cambiamenti, perché, se è vero che da una parte le tecnologie del futuro, come l’Intelligenza Artificiale o il Machine Learning, dovranno evolversi in uno scenario di tutela dei diritti dei dati dei cittadini che non ha precedenti, è anche vero che il GDPR, per definizione, dovrà continuare a introdurre regole di gioco “tecnologicamente neutrali” e indipendenti da come l’ambiente digitale potrà svilupparsi in futuro. Fonte: CMIMagazine.it
GDPR: quale impatto sul business del Big Data?
Applicato a partire dal 25 maggio 2018, il GDPR (General Data Protection Regulation) ha introdotto regole molto severe riguardanti le modalità di acquisizione e trattamento dei dati personali. Una normativa di questo tenore non può non aver influenzato il business che ruota intorno alla gestione del Big Data, ma quale è stato il suo reale impatto? PoliMi ha provato a rispondere a questa domanda tramite i dati raccolti dall’Osservatorio Big Data Analytics & Business Intelligence, scoprendo che il GDPR avrebbe avuto un ruolo importante sia nel modificare le procedure per la conservazione delle informazioni (nel 62% dei casi) che nell’introduzione di nuove modalità per l’accesso ad esse (55%). Appena il 24% delle aziende intervistate avrebbe investito in nuove tecnologie per la conformità al GDPR, mentre il 43% avrebbe deciso di inserire nella propria informativa sulla privacy riferimenti precisi agli strumenti utilizzati per l’analisi dei dati. Nel 22% dei casi le imprese avrebbero comunque dichiarato che l’entrata in vigore della normativa ha avuto effetti positivi per il proprio business. Non tutte le risposte sarebbero state però entusiastiche, perché se è vero che soltanto l’1% delle aziende ha dovuto bloccare la propria attività per questioni inerenti il raggiungimento della conformità, sembrerebbe che ben il 30% di esse abbia dovuto rallentare i progetti che in qualche modo coinvolgevano la gestione del Big Data. Il 38% del campione avrebbe invece accolto il GDPR in modo assolutamente indolore, si tratterebbe quindi delle attività che hanno saputo adeguarsi in anticipo ai dettami della normativa. Una parte ristretta delle aziende, il 5% sul totale, avrebbe poi ammesso che il GDPR è finalmente riuscito a fornire un quadro di riferimento chiaro sul trattamento dei dati. Fonte: Mrwebmaster.it
e-Fattura, Antonello Soro (Garante Privacy): ‘Risolvere criticità entro dicembre altrimenti scattano le sanzioni’
Il Garante per la protezione dei dati personali, Antonello Soro, ha spiegato, nel corso dell’intervista a Radio Radicale, i rilievi adottati dall’Autorità sulla fatturazione elettronica: “Rimuovere criticità entro dicembre altrimenti scattano sanzioni per l’Agenzia delle Entrate’. Il Garante per la protezione dei dati personali, Antonello Soro, ha spiegato i rilievi adottati dall’Autorità sulla fatturazione elettronica. “Prima di avviare l’esperienza della fattura elettronica, confidiamo vengano rimosse le criticità che noi abbiamo evidenziato e che avremmo fatto anche se ce lo avessero chiesto prima. In ogni caso noi abbiamo fatto queste osservazioni, il titolare del trattamento è l’Agenzia delle Entrate e col nuovo quadro giuridico il titolare del trattamento è responsabile di tutto quello che accade all’interno della sua responsabilità e quindi è un problema loro. Non intendiamo minimamente rallentare o mettere un freno all’avvio dal primo gennaio. Tuttavia facciamo notare che come il titolare del trattamento è responsabile noi abbiamo la responsabilità anche a posteriori di verificare il rispetto della legge e di trarne le conseguenze”, ha detto Soro ai microfoni di Radio Radicale. “Il provvedimento che noi abbiamo adottato è di tipo abbastanza nuovo” – ha spiegato Soro – “quello dell’avvertimento, che discende dal nuovo quadro giuridico europeo e che consente al destinatario dell’avvertimento, in questo caso l’Agenzia delle Entrate, e di prendere nota delle nostre considerazioni per adeguare alla norma i propri provvedimenti, riservandosi naturalmente un giudizio a posteriori sul trattamento, una volta che fosse avviato, ma dando al titolare del trattamento di questi dati, l’Agenzia delle entrate, la possibilità di non incorrere in una violazione delle leggi e quindi delle conseguenti sanzioni”. Soro: ‘Il nostro un intervento molto collaborativo’ “Il nostro è stato un intervento molto collaborativo” – ha aggiunto il Garante Privacy – “ma anche molto puntuale nel segnalare non già l’utilità o meno della fattura elettronica, perché non compete a noi, ma abbiamo competenza sul trattamento dei dati personali che in questo caso è davvero molto rilevante, così come concepito dalla Agenzia delle entrate in attuazione della legge di bilancio del dicembre scorso. Si introducono meccanismi di raccolta delle informazioni personali massive, nel senso che si configura l’attribuzione all’Agenzia delle entrate di un carico gigantesco di informazioni eccedenti rispetto allo specifico utile per motivi fiscali. Si tratta di tutte le informazioni relative alla vita privata dei cittadini che hanno acquistato un bene o un servizio ma che non hanno ragione di conservare, informazioni sulle opinioni, sulle sensibilità, sulla salute, sugli orientamenti, così come si può desumere se insieme al dato fiscale vengono accompagnati altri dati. Una eccedenza di informazioni, e poi abbiamo fatto dei rilievi sul ruolo non ben definito degli intermediari che intervengono fra la società che emette la fattura e l’Agenzia delle entrate”. “Questi intermediari”, ha concluso Antonello Soro, “andrebbero identificati in modo più puntuale e non affidata ad un contratto di natura privatistica, come se questo non riguardasse il sistema, cioè il rigore con cui l’intermediario tratta i dati personali, perché l’agenzia delle entrate nel momento in cui adotta un provvedimento di questo genere non solo deve garantire il proprio ruolo, le tutele messe in essere dall’Agenzia stessa, ma deve garantire che nel procedimento tutti quelli che intervengono devono osservare una serie di tutele”. Fonte: Key4Biz.it
Cloud, IoT e social. Perché il 2019 sarà l’anno nero della cybersecurity
Come sarà il nuovo anno per la cybersecurity? Nero. La conferma arriva dal nuovo report di McAfee Labs sulle minacce informatiche del 2019. Ecco perché. Mai come oggi, il tema della sicurezza informatica ha conquistato l’attenzione crescente di imprese, Governi e utenti finali di apparecchi e servizi di rete. Nel corso di quest’anno ci sono stati eventi particolarmente rilevanti a livello mondiale, tra cui il diffondersi di malware sempre più pericolosi, furti di dati e attacchi informatici tali da coinvolgere direttamente singoli utenti e grandi organizzazioni. Adesso, che il 2018 sta giungendo al termine, viene da chiedersi come sarà il nuovo anno per la cybersecurity. Ma la fotografia scattata da McAfee, nel nuovo report ‘McAfee Labs 2019 Threats Predictions Report‘ non evidenzia nulla di buono, anzi. Gli esperti si aspettano un rafforzamento delle famiglie di malware-as-a-service, stimolando il mercato dell’outsourcing degli attacchi e l’evoluzione di metodi di attacco sempre più innovativi e astuti. Di conseguenza, i dati aziendali, i dispositivi domestici dell’Internet of Things e la reputazione del marchio saranno sotto assedio, con i criminali informatici che utilizzeranno in gran parte i social media, il cloud e i telefoni cellulari come vettori di attacco sempre più importanti. Nasceranno alleanze di cybercriminali I criminali informatici stanno rapidamente rafforzando il mercato del malware-as-a-service alleandosi per vendere component d’attacco modulari. Questi one-stop-shop rendono più facile per i criminali, qualunque sia il loro livello di esperienza e abilità, l’esecuzione di attacchi di successo. Questo consolidamento del mercato proseguirà nel 2019 e le organizzazioni che operano crimini informatici fioriranno come partner di consolidate bande informatiche che si occupano di attività illecite come il riciclaggio di denaro, le tecniche di evasione e gli exploit di vulnerabilità. Come dimostrato dalle conversazioni all’interno della comunità clandestina, si prevede un aumento di malware mobile, botnet, frodi bancarie, ransomware e dei tentativi di aggirare l’autenticazione a due fattori. Con il rafforzamento della misure di sicurezza, i criminali devono necessariamente migliorare la loro inventiva. La disponibilità di componenti utilizzabili per attacchi modulari nel mercato illegale consentirà a chi vuole realizzare attacchi informatici di combinare e rivisitare le tattiche e le tecnologie impiegate abitualmente per raggiungere nuovi obiettivi. Intelligenza Artificiale per eludere i controlli L’accessibilità a tecnologie quali l’intelligenza artificiale in modalità as-a-service consentirà ai criminali informatici di sviluppare attacchi con tecnologie sempre più sofisticate in grado di eludere i meccanismi di sorveglianza. Con l’intelligenza artificiale, i criminali informatici avranno la capacità di automatizzare la selezione dei target, di analizzare le vulnerabilità della rete e di valutare lo stato della sicurezza e la reattività degli ambienti infettati per evitare di essere scoperti prima di avanzare con le fasi successive degli attacchi. Strategie Stato-nazione riproposte per estorsioni ai danni delle aziende I software bot utilizzati per amplificare la messaggistica ingannevole sono già stati creati e sono disponibili per essere venduti illegalmente. Seguendo le orme delle note e recenti campagne nazionali per influenzare l’opinione pubblica, i criminali informatici ripropongono i bot e sfruttano i social media per estersioni ai danni delle aziende minacciando i loro marchi. Minacce sinergiche sempre più forti per il successo degli attacchi I criminali informatici evolveranno la loro strategia abituale incentrata sull’impiego di una singola minaccia, a favore della combinazione di diversi tipi di attacco per bypassare le difese. Ad esempio, combinando phishing, stegware e malware fileless possono mettere in atto un attacco con obiettivi multipli. Queste super minacce sinergiche lavoreranno insieme, mettendo in difficioltà il tradizionale panorama di difesa e complicando il processo di identificazione e contenimento dell’attacco. Cloud, Home IoT e Social Media sotto attacco Con l’accesso a tattiche e strategie sempre più efficaci, i criminali informatici avranno la capacità di concentrare i loro attacchi su obiettivi più ampi e complessi. Nel 2019 infatti, prenderanno di mira proprietà intellettuale, dispositivi IOT nelle abitazioni e informazioni personali, rispettivamente attraverso cloud, telefono cellulare e social media. Attacchi per il trasferimento di dati non autorizzato tramite il Cloud Si prevede un significativo aumento degli attacchi mirati ad impossessarsi della grande quantiità di dati aziendali che si trovano nel cloud. Ben il 21% dei contenuti ora gestiti nel cloud contiene informazioni sensibili, come la proprietà intellettuale, i dati personali e quelli dei clienti. Gli scenari possibili includono attacchi nativi del cloud che mirano a WPI deboli o endpoint API non governati, ricognizione ed estrazione illegale dei dati nei database in cloud, e lo sfruttamento del cloud come trampolino di lancio di attacchi man-in-the-middle nativi nel cloud per lanciare attacchi di criptojacking o ransomware. Attacchi all’IoT domestico tramite smartphone, tablet e router Nuovi malware mobile cercheranno di attaccare smartphone, tablet e router per ottenere l’accesso agli assistenti digitali e ai dispositivi IoT domestici che controllano. Una volta infettati, questi dispositivi possono fungere da grimaldello per invadere l’abitazione del consumatore e possono fornire botnet, in grado di lanciare attacchi DDoS o concedere ai criminali informatici l’accesso ai dati personali e l’opportunità per perpetrare altre attività dannose come l’apertura di porte e la connessione ai server di controllo. Attacchi all’identità personale tramite social media Nel 2019, i social media implementeranno misure aggiuntive per proteggere le informazioni relative ai loro iscritti, ma con l’aumento del numero di piattaforme, i criminali informatici saranno ulteriormente indotti a concentrare le loro risorse per attaccare ambienti ricchi di dati. Gli attacchi ad alto impatto, come quelli mirati ai sistemi di controllo industriale (ICS), hanno avuto successo in parte grazie all’uso di password statiche in tutti gli ambienti. Il successo di violazioni di social media e di altre varie piattaforme di identità e dispositivi edge fornirà agli avversari la chiave per lanciare attacchi simili in futuro. Fonte: Key4Biz.it