Tecnologie e Imprese: PMI indietro nella transizione digitale
Imprese e ICT: la fotografia ISTAT vede le PMI italiane indietro per digitalizzazione, difficoltà per ERP, CRM e AI, bene Cloud e fatturazione elettronica. Le piccole e medie imprese italiane (PMI) sono ancora indietro nell’adozione di tecnologie per la digitalizzazione: lo conferma il rapporto ISTAT “Tecnologie e Imprese“, in base al quale il 60,7% (al di sotto del 57,7% nell’Ue27) adotta 4 attività digitali sulle 12 prese in considerazione nella speciale classifica che misura il Digital Intensity Index. L’analisi mette a nudo le maggiori difficoltà registrate dalle PMI nei confronti delle nuove tecnologie a causa di scarse competenze specialistiche che ne frenano la transizione, mentre evidenzia i dati sopra la media europea per attività consolidate, a dispetto delle minori dimensioni d’azienda. Vediamo di seguito i principali dati e la fotografia scattata dall’ISTAT. Digitalizzazione PMI ferma al livello di base L’indagine ISTAT si basa sul Digital Intensity Index (DII), uno dei sotto-indicatori della transizione digitale delle imprese, basato su 12 parametri che quantificano l’adozione di altrettante tecnologie digitali. L’indice rivela che il 60,7% delle PMI italiane (10-249 addetti) si trova a un livello base di digitalizzazione. Significa che si ferma ad appena 4 delle 12 attività dell’Indice DII, mentre solo il 21,3% raggiunge livelli elevati. Una lacuna che sie stende laddove sono richieste competenze specialistiche, con le maggiori difficoltà concentrate nell’analisi dei dati e nell’utilizzo di gestionali per la pianificazione delle risorse aziendali (ERP) e la gestione delle informazioni sui clienti (CRM). Rapporto Tecnologie e Imprese In base alle evidenze del report, i punti di forza nelle imprese italiane con almeno 10 addetti si confermano la fatturazione elettronica e il Cloud (applicazioni di finanza e contabilità, ERP, CRM, applicazioni di sicurezza e hosting di database). Maggiori difficoltà si registrano in altri ambiti: quasi la metà delle PMI (47,9%) utilizza almeno un software gestionale ma solo il 13,6% condivide i dati con fornitori o clienti. La mancanza di competenze frena anche l’adozione di strumenti basati sull’Intelligenza artificiale: solo il 5% delle imprese con 10 o più dipendenti utilizza tecnologie di AI contro una media europea dell’8%. Fonte: pmi.it
Un terzo delle organizzazioni globali ha subito molteplici violazioni della sicurezza negli ultimi 12 mesi
Il 40% delle risorse non è monitorato e rappresenta la principale minaccia per le organizzazioni a livello globale. Armis annuncia i risultati della sua ricerca Global Attack Surface Management (ASM) che ha analizzato le tendenze e le sfide delle organizzazioni degli ultimi 12 mesi riguardanti le violazioni informatiche. Da una ricerca commissionata a Vanson Bourne è emerso che le organizzazioni di tutto il mondo stanno affrontando un livello di rischio informatico senza precedenti a causa di punti ciechi nel loro ambiente e che i team di sicurezza sono sommersi da una quantità significativa di dati di threat intelligence senza informazioni utili per azioni concrete. Infatti, il 61% delle organizzazioni globali ha confermato di aver subito una violazione almeno una volta negli ultimi 12 mesi, mentre il 31% ha subito più violazioni nello stesso periodo. I quattro Paesi in cui le organizzazioni hanno dichiarato di aver subito più attacchi sono Stati Uniti, Singapore, Australia e Nuova Zelanda. “Armis continua a segnalare l’evoluzione del panorama delle minacce e l’impatto dei cyberattacchi criminali che colpiscono le organizzazioni globali, i governi nazionali, gli enti statali e locali e la società in generale”, ha dichiarato Curtis Simpson, CISO di Armis. “La nostra ricerca ha rilevato che c’è un ampio margine di miglioramento nel modo in cui le organizzazioni globali possono proteggere e gestire l’intera superficie di attacco. Non è una questione di se, ma di quando si verificherà un attacco, soprattutto contro le infrastrutture critiche su cui la società fa così tanto affidamento”. La ricerca Armis Global Attack Surface Management 2023 è stata realizzata con gli insight rilasciati da responsabili della sicurezza informatica e responsabili IT di Stati Uniti, Regno Unito, Germania, Francia, Singapore, Australia e Nuova Zelanda. I risultati mostrano: L’intera superficie di attacco dell’organizzazione non viene monitorata completamente, provocando significative esposizioni e rischi di cybersecurity non visibili. In un giorno lavorativo medio, 55.686 risorse fisiche e virtuali sono collegate alle reti aziendali. Gli intervistati a livello globale hanno condiviso che solo il 60% di questi asset è monitorato, il 40% non è monitorato. I dipendenti utilizzano sempre più spesso le proprie risorse negli ambienti aziendali, con evidenti lacune nell’applicazione delle politiche BYOD (Bring Your Own Device): il 22% degli intervistati riferisce di avere una politica BYOD ufficiale che non viene applicata a tutti i dipendenti, mentre il 23% dichiara di avere linee guida che i dipendenti sono incoraggiati a seguire o ammette di non avere alcuna politica o linea guida sul BYOD. In media, le organizzazioni sono in grado di gestire solo il 60% circa dei propri asset, quando si tratta di conoscere elementi come la loro posizione o il loro stato di assistenza. Le risorse dimenticate, come le stampanti, possono presentare lacune critiche nella sicurezza, soprattutto se non vengono installati gli aggiornamenti di sicurezza o applicate le patch. L’afflusso di dati senza l’automazione e la prioritizzazione delle informazioni sulle minacce ostacola la capacità dei professionisti della sicurezza e IT di rimediare efficacemente alle minacce per proteggere l’organizzazione. Il 29% degli intervistati dichiara che il proprio team di cybersecurity è sommerso dalle informazioni sulle minacce informatiche. Gli intervistati tedeschi (38%) sono i principali a segnalare questa situazione. Poco meno della metà (45%) degli intervistati dichiara di utilizzare 10 o più fonti diverse per raccogliere dati relativi alle informazioni sulle minacce e solo tra il 52% e il 57% dei processi relativi alle informazioni sulle minacce sono in media automatizzati, il che significa che gran parte del lavoro necessario per utilizzare le informazioni è un lavoro manuale. In media, solo il 58% delle informazioni raccolte dalle fonti di threat intelligence è utilizzabile. Solo il 2% delle organizzazioni intervistate dichiara che tutte le informazioni raccolte dalle fonti di threat intelligence sono utilizzabili. Le organizzazioni faticano a gestire efficacemente gli asset fisici e virtuali connessi alla propria rete, e utilizzano troppi strumenti per agire efficacemente sui piani di cybersecurity. Gli intervistati a livello globale hanno indicato che le loro organizzazioni utilizzano 11 strumenti diversi per gestire gli asset connessi alla rete, mentre il 44% ammette di utilizzare ancora fogli di calcolo manuali. I dipendenti sono in grado di aggirare la sicurezza e scaricare applicazioni e software all’interno degli asset senza che i team IT o di sicurezza ne siano a conoscenza. Tre quarti (75%) delle organizzazioni globali riferiscono che ciò avviene almeno qualche volta, mentre un quarto (25%) riferisce che ciò avviene continuamente. Senza un controllo, una gestione e/o visibilità completi su questi asset, le organizzazioni si trovano ad affrontare rischi ancora maggiori. “Purtroppo esiste una correlazione tra l’ampia percentuale di superficie d’attacco non monitorata e l’alto tasso di violazioni registrato nell’ultimo anno”, ha continuato Simpson. “Gli asset non gestiti rappresentano la crescente superficie di attacco, ma i programmi e gli strumenti informatici delle organizzazioni non hanno la visibilità necessaria per comprendere e gestire i principali rischi, esposizioni e minacce informatiche. I criminali informatici stanno sfruttando questi punti ciechi fisici per eseguire i cyberattacchi più impattanti di oggi. È fondamentale che i reparti IT modernizzino il loro approccio consolidando le soluzioni disgiunte e sfruttando le più recenti tecnologie innovative per consentire ai team di disporre di informazioni in tempo reale e automatizzate, oltre che di piani attuabili per contribuire a salvaguardare le risorse critiche dalle minacce informatiche”. “La nostra ricerca ha rilevato che c’è un ampio margine di miglioramento nel modo in cui le organizzazioni globali gestiscono il panorama delle minacce”, ha dichiarato Katie Haslett, Research Consultant di Vanson Bourne. “Gli intervistati per questo rapporto concordano con questa valutazione, condividendo che aumentare proattivamente la visibilità della superficie di attacco e definire ulteriormente le politiche e le procedure che circondano gli asset virtuali e fisici è un’area di crescita per la loro organizzazione”. Fonte: bitmat.it
Educare a una navigazione web sicura: la chiave per una cybersecurity più efficace
I cybercriminali sono sempre più sofisticati nel prendere di mira le persone durante la loro navigazione web. I siti web che sembrano legittimi, ma sono in realtà pericolosi, rappresentano una piattaforma comune per le loro campagne. È facile che le persone abbassino la guardia quando svolgono online attività quotidiane come ricerche, acquisti, pagamenti o social media. Lo confermano i risultati del report State of the Phish 2023 condotto da Proofpoint per analizzare il panorama delle minacce del 2022: Oltre un terzo dei lavoratori ha compiuto almeno un’azione rischiosa, come cliccare su un link dannoso, scaricare malware o esporre i propri dati o credenziali di accesso. Oltre il 60% dei lavoratori non sa che il testo del link di un’e-mail potrebbe non corrispondere al sito web a cui conduce. Questi dati mettono in mostra lacune di conoscenza allarmanti. La nostra ricerca mostra anche che l’84% delle organizzazioni è stato colpito da un attacco di phishing nel 2022 – partiti in gran parte a seguito di clic da parte degli utenti su elementi pericolosi. Le persone sono la prima linea di difesa di un’azienda e trascorrono molto tempo sul web. Ecco alcuni tra i più recenti trend delle minacce nella navigazione su Internet: Chatbot alimentati dalla IA come ChatGPT Phishing Multi-Factor Authentication (MFA) Attacchi Browser-in-the-Browser (BitB) Il fascino e il pericolo delle Chatbot IA Le chatbot basate su intelligenza artificiale sono diventate rapidamente popolari grazie alla loro capacità di fornire assistenza istantanea attraverso interazioni in linguaggio naturale. ChatGPT è la chatbot IA più conosciuta, ma ne esistono altre come Microsoft Bing e Google Bard. Sono spesso accessibili tramite browser, e l’immediatezza con cui si danno e ricevono informazioni apre molti rischi per la sicurezza e la disinformazione. Gli utenti potrebbero digitare informazioni personali nel browser in risposta a una chatbot e, come osservato in passato con le iniezioni bancarie, qualsiasi trasmissione di dati sensibili potrebbe diventare un obiettivo per gli attaccanti. Le chatbot raccolgono i dati per migliorare le loro prestazioni e personalizzare le interazioni e potrebbe anche sollevare problemi di privacy per quanto riguarda le informazioni di identificazione personale (PII). Se i dati non vengono archiviati in modo sicuro o crittografati adeguatamente, potrebbero verificarsi accessi non autorizzati che porterebbero al furto di identità o a violazioni La minaccia del phishing multi-factor authentication (MFA) Poiché l’MFA è diventata una pratica di sicurezza standard, le tecniche di phishing MFA “man-in-the-middle” si sono evolute per rubare i token MFA. In un attacco di questo tipo, la vittima accede a una pagina contraffatta che utilizza un reverse proxy per visualizzare l’interfaccia di login di un servizio legittimo. Il tentativo di accesso sembra procedere normalmente, ma quando l’utente digita il codice MFA e le altre credenziali, il reverse proxy intercetta e ruba il token. A questo punto l’aggressore può aggirare il livello di sicurezza MFA ed entrare nell’account con la possibilità di accedere a dati sensibili, informazioni personali e finanziarie, rubare l’identità o utilizzare l’account per accedere ad altri sistemi e dati privati. Gli attacchi browser-in-the-browser (BitB) Questa forma avanzata di phishing delle credenziali è difficile da individuare. Oltre a creare una pagina di phishing convincente, l’attaccante crea anche una finta finestra pop-up di Single Sign On (SSO), che appare agli quando desiderano accedere a un servizio con le credenziali di siti affidabili come Google, Apple o Twitter. Il falso login SSO viene creato modificando il codice del sito web di phishing per aggiungere un’altra pagina web separata e incorporata in quella malevola. Se l’utente inserisce le proprie credenziali per il sito legittimo, l’aggressore le raccoglie, ottenendo potenziale accesso a un componente chiave dell’identità digitale della vittima. Il comportamento delle persone resta la difesa più efficace I browser web dispongono di funzioni di sicurezza che segnalano possibilità non sicure, ma non impediscono di compiere un’azione pericolosa. Spetta a ciascuno fermarsi, pensare e agire o reagire. Ecco perché la formazione alla sicurezza gioca una parte essenziale per aiutare gli utenti a capire come riconoscere le minacce e applicare le loro conoscenze alle situazioni del mondo reale. È fondamentale prestare attenzione ai dettagli di un sito e prendere in considerazione elementi e comportamenti relativi alla sua sicurezza, come ad esempio: Pop-up che sembrano messaggi del browser e che chiedono di installare o aggiornare un software. Download gratuiti come film, musica o video che nascondono software dannoso. Offerte gratuite che richiedono informazioni personali in cambio di un omaggio. La presenza di marchi noti che creano un falso senso di sicurezza. Anche se il nome è riconoscibile, le immagini sembrano legittime? Il nome del dominio principale del sito è corretto (ad esempio “microsoft.com”), ma il resto dell’URL presenta parole o ortografia insolite. URL che appaiono nei risultati di ricerca ma non sono link legittimi. URL abbreviati da servizi come Bitly e TinyURL che possono mascherare la vera identità di un link. Messaggi di avviso del browser che indicano che un sito non è sicuro o non può essere autenticato. Funzionalità del browser sospette con certificato di sicurezza mancante. Un sito che chiede di inserire informazioni sensibili o finanziarie. Fonte: bitmat.it
Modernizzare le applicazioni per raggiungere il successo
In questo articolo scopriamo cosa significa modernizzare le applicazioni, le organizzazioni evolvono di continuo per rimanere competitive e rispondere alle esigenze dei clienti. Con i sistemi legacy che non sono più in grado di soddisfare i requisiti delle nuove applicazioni, le aziende sono chiamate a modernizzarle per ottenere maggiore velocità, flessibilità e scalabilità. Ma cosa significa nella realtà modernizzare le applicazioni? Quali i vantaggi, le sfide e i passi da compiere per passare dai sistemi legacy al cloud? Che cos’è la modernizzazione delle applicazioni? La modernizzazione delle applicazioni avviene quando un’organizzazione migra sistemi e infrastrutture legacy verso una piattaforma di nuova generazione, ottimizzata per migliorare flessibilità, scalabilità e sicurezza e ridurre i costi operativi. In questo caso, la migrazione si riferisce da SQL a database NoSQL, da data center on-premise al cloud e da procedure di delivery del software standard a pratiche più recenti come CI/CD. Perché modernizzare le applicazioni legacy? Proprio come ogni apparato, anche i sistemi legacy si degradano nel tempo e affinché mantengano prestazioni ottimali, è indispensabile impegnarsi in un continuo refactoring del software, introducendo occasionalmente nuove tecnologie per soddisfare le esigenze in evoluzione imposte al sistema. Ad esempio, tutte le applicazioni nascono come sistemi a sé, anche se nel tempo cambiano necessità del sistema, dimensioni del team di ingegneri e numero di utenti. Questo richiede la migrazione da un’architettura monolitica a una basata su micro-servizi, in cui gli ingegneri abbiano a disposizione singoli servizi di piccole dimensioni, in modo che l’azienda possa scalare per accogliere altri utenti. La modernizzazione comporta anche la gestione del debito tecnologico, che si verifica quando si accumulano sistemi legacy privilegiando la velocità di sviluppo del software rispetto alla qualità. Sebbene un debito tecnologico sia inevitabile, si traduce in applicazioni molto più lente e in aumento dei costi operativi nel tempo. Benefici della modernizzazione delle applicazioni Nonostante la modernizzazione possa richiedere tempo, pianificazione e investimenti economici, si tratta di un passaggio fondamentale per migliorare applicazioni e sistemi che le circondano e permette di: Accelerare la fornitura di nuove funzionalità: la modernizzazione facilita la rapida implementazione di nuove funzionalità, consentendo a un’azienda di rispondere prontamente alle richieste di mercato e restare competitiva. Abilitare una perfetta integrazione con i servizi di terze parti: sfruttando le API web, la modernizzazione consente ai sistemi di condividere e consumare senza sforzo le risorse con servizi di terze parti, favorendo la collaborazione e ampliando le capacità delle applicazioni. Migliorare la scalabilità per soddisfare la crescente base di utenti: la modernizzazione richiede una riconsiderazione dei requisiti della piattaforma, garantendone la scalabilità per supportare un numero crescente di utenti, aprire la strada alla crescita futura e rispondere all’evoluzione delle esigenze aziendali. Aumentare la produttività del team: lavorare con sistemi legacy rappresenta sempre una sfida per gli sviluppatori. Con l’adozione di migliori strumenti e tecniche, sarà più facile da superare, portando a flussi di lavoro più fluidi e una maggiore efficienza nelle attività di sviluppo e manutenzione. Sfide della modernizzazione delle applicazioni Sebbene la modernizzazione offra molti vantaggi, il processo comporta anche delle sfide, le due più importanti sono rappresentate da costi e complessità: Costi Il costo di migrazione di un sistema può essere enorme e potrebbe comportare anche l’assunzione di specialisti per il supporto tecnico. Se si sta pianificando un rehosting o un replatforming, è opportuno prestare particolare attenzione alla scelta della piattaforma di cloud computing più adatta, perché scelte affrettate possono aumentare i costi dell’infrastruttura in modo significativo. Per quanto riguarda le assunzioni, è bene sottolineare che un’azienda potrebbe dover creare nuovi team dedicati proprio alla modernizzazione, con l’introduzione di figure specializzate, aumentando il costo totale del processo. Complessità La complessità è dovuta a molti fattori e comporta la valutazione delle applicazioni legacy e delle dipendenze esistenti, che può rivelarsi impegnativa. Il processo richiede anche che il team determini gli obiettivi di modernizzazione, che si tratti di potenziare le funzionalità, migliorare le prestazioni o ridurre i costi nel lungo periodo. Inoltre, comporta spesso decisioni complesse relative all’approccio di migrazione al cloud da adottare, poiché alcuni richiedono livelli di coinvolgimento più elevati e garantire compatibilità e conformità alle best practice di sicurezza aggiunge un ulteriore livello di complessità. Migrazione al cloud Lo spostamento delle applicazioni nel cloud è una parte importante dell’ottimizzazione dell’infrastruttura. Poiché i requisiti di ogni organizzazione sono diversi, è essenziale lavorare con il proprio team per decidere una strategia di migrazione e avere chiari obiettivi di modernizzazione. Gli strumenti di containerizzazione consentono agli sviluppatori di impacchettare codice e dipendenze di un’applicazione e di distribuirli su qualsiasi infrastruttura. Rappresentano una valida alternativa alle macchine virtuali (VM), che in generale richiedono più tempo per essere configurate e gestite. Il passaggio dalle soluzioni SQL tradizionali alle moderne piattaforme NoSQL potrebbe essere ideale per ottenere maggiore scalabilità, modellazione flessibile dei dati e capacità di gestire in modo efficiente grandi volumi di dati non strutturati o semi-strutturati. L’innovazione è fondamentale per le organizzazioni per restare competitive e attraverso processi innovativi possono sfruttare le nuove tecnologie per aumentare la produttività, migliorare la velocità, ridurre i costi operativi e migliorare la scalabilità. Sebbene la modernizzazione delle applicazioni legacy possa essere costosa e richieda un’attenta pianificazione e coordinamento, potrebbe portare grandi benefici all’azienda e ai clienti in futuro, permettendo di avere sempre un approccio all’avanguardia. Fonte: bitmat.it
Gli italiani sono i terzuItimi al mondo nella conoscenza della cybersecurity
Lo studio dimostra che, a livello internazionale, la consapevolezza sui temi della privacy online e della cybersecurity sta calando Gli italiani sono terzultimi al mondo in quanto a conoscenza della cybersecurity e privacy su internet (il punteggio complessivo è 57/100), secondo la nuova ricerca dell’azienda di cybersecurity NordVPN. A quanto pare, il “nostro” tallone d’Achille riguarderebbe lo spoofing degli indirizzi URL, o più in generale, le tecniche usate dagli hacker per far sembrare un indirizzo internet sicuro anche quando non lo è, considerando che abbiamo ottenuto il voto più basso a livello mondiale proprio su questo tema. Non ci farebbe poi male un bel ripassino sulla privacy e la sicurezza dei dispositivi connessi alla rete. L’annuale National Privacy Test (NPT) è un sondaggio su scala globale che ha l’obiettivo di valutare la conoscenza delle persone in tema di cybersecurity e privacy online, al fine di formare il grande pubblico sui rischi legati alle minacce online e sull’importanza della sicurezza delle informazioni nell’era digitale. Quest’anno, lo studio ha raccolto 26.174 risposte da 175 Paesi. “Il National Privacy Test ha l’obiettivo di creare una comunità formata da persone consapevoli sul tema della privacy. Persone che si impegnano attivamente per proteggere i propri dati. Questa iniziativa è in linea con la nostra visione, volta alla costruzione di un ambiente digitale più resiliente per le generazioni attuali e quelle future,” ha dichiarato Marijus Briedis, CTO di NordVPN. Ecco i Paesi che sono finiti sul podio, formando la top 3 per quanto riguarda la conoscenza su privacy e cybersecurity: Polonia e Singapore (64/100). Germania e Stati Uniti (63/100). Regno Unito, Austria e Portogallo (62/100). Nonostante alcuni Paesi abbiano fatto registrare punteggi più che sufficienti, a livello globale i risultati mostrano che la consapevolezza in tema di privacy online e cybersecurity sta calando di anno in anno. “Vista la crescente complessità delle minacce online, non ci sorprende vedere che la privacy online e la cybersecurity a livello globale sia in declino. Il paradosso è che più aumentano le soluzioni di sicurezza, peggiori diventano i risultati di anno in anno. Aumentare la consapevolezza sui rischi potenziali e formare gli utenti, condividendo le best practice di settore, dovrebbe essere la nostra priorità,” ha continuato Marijus Briedis, chief technology officer (CTO) di NordVPN. Gli italiani creano password solide ma si meritano la bocciatura sugli strumenti per la protezione della privacy digitale La ricerca mostra che gli italiani sono bravi a creare password solide (97%) e a far fronte a offerte sospette da parte di servizi di streaming (92%). Conoscono bene anche i rischi che si corrono salvando i dati relativi alle carte di credito sul proprio browser, o quelli che derivano dall’utilizzo di password simili su diversi account (85%). A fronte di questi risultati positivi, solo il 3% degli italiani ha una buona conoscenza degli strumenti online che proteggono la privacy digitale e solo 1 su 10 sa quali dati vengono raccolti dagli ISP, i fornitori di connettività internet, all’interno dei metadati. Sembra che l’episodio “Joan è terribile” della serie Black Mirror di Netflix non abbia ottenuto l’effetto sperato – solo un quarto degli italiani sa quanto sia importante leggere i termini di servizio delle app e dei servizi online. Fra i residenti nel nostro Paese, solo l’1% può essere definito Cyber Wanderer (letteralmente un “Cyber Vagabondo” che non sa praticamente nulla sulla privacy e la cybersecurity), mentre il 9% ha raggiunto un punteggio compreso fra 75 e 100 punti, soglia identificata col termine Cyber Star, ovvero le persone con un’ottima conoscenza della materia. Come sono cambiati i risultati degli italiani dal 2021? Rispetto al 2021, più partecipanti dall’Italia hanno mostrato di sapere cosa fare in caso di attacco phishing. Se nel 2021, il 49% aveva detto di sapere come si identifica un sito di phishing, quest’anno siamo arrivati al 58%. Purtroppo, come in molte altre zone del mondo, meno italiani sanno che Facebook ha le capacità di raccogliere dati sulle persone non iscritte alla piattaforma (era il 60% nel 2021 rispetto al 48% del 2023). Alla domanda “cosa faresti se dovessi ricevere una notifica che ti avverte che un dispositivo sconosciuto ha provato ad accedere alla tua email”, gli italiani hanno dato risposte migliori rispetto alla maggior parte degli intervistati di altri Paesi. I francesi se la cavano male in tema di privacy, mentre i tedeschi sono al secondo posto Passando ad altri Paesi europei, la Francia ha ottenuto il terzo peggior risultato per quanto riguarda la consapevolezza in tema di privacy e uno dei voti peggiori sulla vita digitale quotidiana. Il punteggio totale nell’NPT dei nostri vicini transalpini è di 59/100, quindi superiore solo di 2 punti rispetto all’Italia. I tedeschi si sono piazzati secondi in classifica generale, insieme agli Stati Uniti. Vale la pena notare che i tedeschi mostrano un’alta consapevolezza su vari problemi per la privacy digitale, posizionandosi al secondo posto su questo tema, a fianco della Finlandia. Tornando all’Europa meridionale, gli spagnoli non se la sono cavata benissimo, ottenendo risultati fra i più bassi del mondo in varie categorie. I nostri “vicini” iberici sembrano avere problemi simili a quelli degli italiani, e dovrebbero informarsi di più sui rischi per la privacy e la sicurezza dei dispositivi connessi alla rete internet. La consapevolezza sulla privacy digitale è in calo a livello mondiale Quest’anno, il punteggio dell’NPT a livello globale è pari al 61%, dato che mostra un calo di consapevolezza sui temi della privacy online e della cybersecurity, rispetto al 2022 (64%) e 2021 (66%). Fra i punti principali a livello globale, possiamo elencare: Le persone di età compresa fra 30 e 54 anni hanno mostrato le conoscenze migliori sulla cybersecurity. La maggior parte delle Cyber Stars appartiene proprio a questa fascia. Oltre al settore IT, gli intervistati che lavorano nel settore finanziario o governativo hanno ottenuto risultati leggermente superiori a quelli attivi in altri ambiti. Le persone continuano a sottovalutare quanto sia importante leggere i termini di servizio. Si tratta comunque di un ambito in cui i dati mostrano un rialzo. “Penso che siano vari i motivi per cui la conoscenza sulla cybersecurity sia in
Truffe online sotto l’albero
Black Friday, Cyber Monday e la stagione dello shopping natalizio condividono un denominatore comune: l’intensa attività di compravendita online. Purtroppo, durante questi periodi, si intensifica anche le truffe online, pronti a compiere qualsiasi azione per rubare dati e perpetrare truffe. Ecco esempi di tentativi di truffe – Inondare le caselle di posta elettronica dei consumatori con e-mail di phishing, inviare messaggi ai dispositivi mobili contenenti link dannosi camuffati con i nomi di rivenditori, società di e-commerce o produttori; – Presentare offerte incredibili attraverso annunci falsi, facilmente accessibili con un semplice clic su un link, richiedendo il numero della carta di credito; – Chiedere le credenziali su siti web che sembrano legittimi, spesso indicati come sicuri dal lucchetto nell’URL, creando l’illusione di essere crittografati e protetti; – Simulare l’invio di e-mail o messaggi da parte dei servizi di consegna, fornendo link che sembrano autentici e seguono il tracciamento dell’ordine. In alternativa, potrebbero affermare che gli ordini non possono essere consegnati senza il nome utente, la password o altre informazioni personali; – Pubblicizzare prodotti “imperdibili” esauriti ovunque, ma straordinariamente disponibili su un unico sito web e per un periodo limitato, a un prezzo incredibilmente vantaggioso. Aziende a rischio…e non solo i consumatori Ora, se lavorate nel settore SecOps, IT o occupate altri ruoli con responsabilità nella sicurezza aziendale e organizzativa, probabilmente leggendo queste righe penserete: “Questo sembra più un problema per il consumatore. Non dovrebbe coinvolgere me o la mia azienda!”. Ma state attenti a non sottovalutarlo. Basta che un dipendente o un utente apra un’e-mail o un messaggio di phishing apparentemente autentico e faccia clic su un link, convinto di accedere a un sito web legittimo, e il rischio di essere colpiti da truffe ransomware, malware e altre gravi minacce che mettono in pericolo la vostra organizzazione, la rete, le applicazioni e i dati diventa tangibile. Suggerimenti per educare dipendenti e utenti Ecco alcuni suggerimenti pratici per educare e proteggere dipendenti, utenti e l’intera organizzazione da attacchi che potrebbero sfruttare l’effervescenza delle giornate di shopping intensivo, promosse senza sosta: – Ricordate ai dipendenti e agli utenti che i loro dispositivi di lavoro non devono essere utilizzati per attività personali, soprattutto per gli acquisti online. – Organizzate corsi di aggiornamento sul phishing in concomitanza con l’imminente shopping natalizio. Ricordate a dipendenti e utenti di non accedere a e-mail o messaggi personali sui dispositivi aziendali, e soprattutto di non aprire quelli inaspettati. Né di fare clic sui link contenuti in qualsiasi e-mail o testo: l’accesso diretto all’URL e al sito web aziendale è sempre più sicuro. – Sottolineate che, anche se un sito web, un messaggio o un annuncio sembrano autentici e crittografati – indicati dal piccolo lucchetto nell’URL – potrebbero comunque condurre a un sito di phishing. Gli utenti non dovrebbero mai fornire credenziali, inclusi dati di accesso o informazioni personali e finanziarie attraverso tali siti. Anche in questo caso, si dovrebbe accedere direttamente all’URL e al sito web dell’azienda di origine. – Fate attenzione che un’e-mail, un messaggio o un annuncio che promuove un’offerta che sembra troppo bella per essere vera è probabilmente una trappola. Non cliccate sul link fornito. Indirizzatevi sempre direttamente al sito web del rivenditore, dell’azienda di e-commerce o del produttore per verificare l’offerta. Lo stesso vale per gli articoli “esauriti” su qualsiasi sito web ma disponibili – e solo per un periodo limitato – da un’unica fonte. Non cliccate su quel link! – Se i dipendenti e gli utenti ricevono un’e-mail o un messaggio su una consegna imminente che include un link per il tracciamento dell’ordine, o che segnala smarrimenti o fornisce altri link, è importante non cliccare sul link ma andare direttamente alla pagina web del fornitore e rintracciare l’ordine da lì. – Diffidate dei messaggi di posta elettronica o di testo provenienti da un servizio di consegna che richiede informazioni sulla carta di credito o altre informazioni personali o finanziarie. Anche in questo caso, è bene collegarsi direttamente alla pagina web del fornitore per rintracciare l’ordine. Purtroppo, questi promemoria e avvertimenti potrebbero non essere sufficienti. È sufficiente che un dipendente o un utente sbagli a cliccare su un link e la vostra azienda può subire conseguenze negative. Ecco perché vale sempre la pena predisporre ulteriori livelli di sicurezza, soprattutto per difendere ciò che conta di più: le vostre applicazioni, le API e l’infrastruttura sottostante. Le organizzazioni dovrebbero anche prendere in considerazione misure di difesa contro i bot, in grado di proteggere le applicazioni web e mobili e le API da attacchi automatizzati, che possono rapidamente evolversi fino a emulare in modo avanzato il comportamento umano. È importante prestare sempre la massima attenzione, sia che si tratti dello shopping online in vista del Natale, del Black Friday, del Cyber Monday… o di qualsiasi altro giorno dell’anno. Fonte: bitmat.it
Outlook: quali sono i pericoli per gli utenti?
Check Point Research ha condotto un’analisi completa su Outlook, l’applicazione di Microsoft, fornendo approfondimenti sui vettori di attacco, aiutando a comprendere e mitigare i potenziali rischi La sicurezza delle piattaforme e-mail è più che mai di fondamentale importanza in un’era in cui la comunicazione è in gran parte facilitata dalla posta elettronica. Check Point Research ha recentemente condotto un’analisi completa su Outlook, il client di posta elettronica ampiamente utilizzato in Microsoft Office, facendo luce su tre principali vettori di attacco: l’ovvio, il normale e l’avanzato, facendo riferimento ad ambienti aziendali tipici. La ricerca in questione è stata eseguita sull’ultima versione di Outlook 2021 (versione desktop su Windows), con gli ultimi aggiornamenti di sicurezza installati a partire da novembre 2023. L’ovvio: vettore di attacco Hyperlink Con questo vettore di attacco, gli aggressori inviano e-mail contenenti link malevoli. Un semplice clic su questi collegamenti ipertestuali può condurre gli utenti a siti di phishing, avviare exploit del browser o persino attivare exploit zero-day altamente tecnici. Nonostante l’apparente semplicità, i rischi per la sicurezza risiedono più nei browser che in Outlook stesso. Outlook dà priorità all’usabilità, riconoscendo che confermare ogni clic su un collegamento ipertestuale sarebbe poco pratico. Si consiglia agli utenti di affidarsi a browser robusti e di fare attenzione agli attacchi di phishing. Il normale: vettore di attacco degli allegati I cyber criminali sfruttano il normale comportamento degli utenti che aprono gli allegati di posta elettronica. Quando un utente fa doppio clic su un allegato, Outlook tenta di richiamare l’applicazione predefinita per quel tipo di file in Windows. Il rischio di sicurezza dipende dalla robustezza dell’applicazione registrata per il tipo di file allegato. Se il tipo di file è contrassegnato come “non sicuro”, Outlook lo blocca. Nel caso in cui i file non siano classificati, agli utenti viene richiesto di eseguire due clic per la conferma. È fondamentale in questo caso che si presti molta attenzione e si eviti di cliccare automaticamente sul pulsante “Apri” per gli allegati provenienti da fonti non attendibili. L’avanzato: vettori di attacco alla lettura delle e-mail e agli oggetti speciali Vettore di attacco per la lettura delle e-mail Conosciuto anche come attacco al “Riquadro di anteprima”, questo vettore rappresenta una minaccia quando gli utenti leggono le e-mail in Outlook. Le vulnerabilità possono sorgere durante l’elaborazione di diversi formati di e-mail, come HTML e TNEF. Per una maggiore sicurezza, si consiglia di configurare Outlook in modo che legga solo i messaggi di posta elettronica in testo normale, anche se ciò potrebbe avere un impatto sull’usabilità, in quanto i collegamenti e le immagini potrebbero non essere visibili in tali messaggi di testo normale. Vettore di attacco degli oggetti speciali di Outlook Questo vettore di attacco avanzato prevede lo sfruttamento di vulnerabilità zero-day, come nel caso di CVE-2023-23397. I criminali informatici possono compromettere Outlook inviando un oggetto “promemoria” malevolo, innescando la vulnerabilità quando l’utente apre Outlook e si connette al server di posta elettronica. In particolare, potrebbe non essere necessario che la vittima legga l’e-mail perché l’attacco venga attivato. Questo sottolinea l’importanza di aggiornamenti di sicurezza tempestivi e di pratiche di utilizzo prudenti. Misure di protezione In conclusione, la protezione degli utenti di Outlook richiede un approccio su più fronti. Gli utenti dovrebbero evitare di fare clic su link sconosciuti, prestare attenzione all’apertura di allegati provenienti da fonti non attendibili e mantenere sempre aggiornata la suite di Microsoft alle versioni e agli aggiornamenti più recenti. L’analisi completa di Check Point Research fornisce approfondimenti su questi vettori di attacco, aiutando sia gli utenti che il settore della sicurezza a comprendere e mitigare i rischi potenziali. Fonte: bitmat.it
Spedizioni natalizie: consegna rapida, caratteristica più importante
Mentre il 71% degli italiani ritiene la consegna rapida l’aspetto più importante, il 63% degli acquirenti sarebbe addirittura disposto a pagare di più per avere il pacco consegnato il giorno stesso Se c’è un periodo dell’anno in cui le priorità degli acquirenti sono più elevate del normale, questo è il tempo delle feste natalizie. Gli acquirenti richiedono spedizioni rapide e puntuali con aggiornamenti regolari, consegna nel luogo prescelto e resi facili e garantiti. Questo comporta notevoli sfide e complessità operative nel periodo di maggiore affluenza dell’anno. A questo proposito, l’ultimo studio di Packlink “Report sull’alta stagione 2023” evidenzia che al momento di acquistare un prodotto online durante le festività natalizie, il 71% degli italiani ritiene la consegna rapida (ad esempio lo stesso giorno/il giorno successivo) una delle caratteristiche più importanti, seguito dal costo della stessa (55,9%) e dalla tracciabilità della spedizione (46%). Le aspettative natalizie di consegna In questo periodo i consumatori prestano particolare attenzione ai tempi di consegna dei regali. Il 37% degli italiani si aspetta che i propri ordini online arrivino in meno di due giorni durante le festività, mentre il 28,5% si aspetta che arrivino entro quattro giorni ed il 19,8% il giorno dopo. Solo il 4,4% si aspetta di riceverli lo stesso giorno dell’ordine. Anche le principali frustrazioni riguardano i tempi di consegna inaccurati (35,4%), tempi di consegna lunghi (33,8%), consegna in ritardo o quando non c’è nessuno per poter ritirare il pacco (33,1%). Disposti a pagare di più? I mezzi di consegna premium sono spesso più appropriati, a seconda della finalità dell’acquirente e del tipo di prodotto e sicuramente le festività natalizie sono un’occasione in cui gli acquirenti sono disposti a pagare una piccola commissione per un’esperienza di consegna affidabile e di alta qualità. In Italia il 63% degli acquirenti, infatti, sarebbe disposto a pagare 6-7 euro in più su un ordine di 35-60 euro per avere il pacco consegnato il giorno stesso. Il 42,3% per averlo il giorno dopo, mentre il 33,5% invece non pagherebbe mai per avere una consegna premium. Il periodo natalizio, concentrando un elevato volume di ordini online, quando gli acquirenti scelgono un negozio piuttosto che un altro, guardano al prezzo, ma anche alla comodità della consegna o alla politica di reso. È quindi importante che i rivenditori prestino attenzione a quali sono le priorità dei consumatori per poter offrire loro un servizio migliore. Dare agli acquirenti la possibilità di scegliere tra comode opzioni di consegna è la strada per avere successo durante le festività natalizie. “La fidelizzazione dei clienti sta diventando sempre più fragile e le aspettative degli acquirenti aumentano durante il periodo natalizio. In questo contesto, la necessità di una consegna rapida, flessibile e affidabile dei pacchi non è mai stata così importante. Non si tratta soltanto di offrire la spedizione gratuita, ma anche di garantire un servizio di qualità, completo e affidabile.” conclude Noelia Làzaro, Direttrice Marketing di Packlink. Fonte: bitmat.it
Come la forza lavoro può incrementare i rischi di minacce interne
CyberArk, analizza 5 trend legati al comportamento della forza lavoro che potrebbe mettere a rischio le aziende Le minacce interne non sono semplici da rilevare. Possono celarsi dietro colleghi che lavorano in ufficio, si collegano alla rete aziendale da un bar o forniscono servizi critici a terzi, ma rappresentano un problema rilevante sempre più esteso e costoso da affrontare. Secondo una ricerca del Ponemon Institute del 2022 gli episodi di insider threat sono aumentati del 44% dal 2020, con le aziende colpite che hanno speso in media 15,38 milioni di dollari all’anno per far fronte alle conseguenze. Sebbene non siano ancora disponibili numeri concreti per il 2023, i rischi globali e la pressione economica stanno alimentando cinque grandi sfide per la forza lavoro che intensificano ulteriormente le minacce insider. Riduzioni della forza lavoro. Ogni licenziamento o dimissione di un dipendente comporta la possibilità che questi porti con sé qualcosa che non dovrebbe prelevare. Secondo il report CyberArk Identity Security Threat Landscape 2023, il 58% dei professionisti della sicurezza riferisce di utenti che hanno lasciato l’azienda salvando documenti sensibili o riservati senza rispettare le policy. In un momento di turbolenze organizzative, quando le preoccupazioni per i licenziamenti potrebbero aumentare, questi rischi di minacce potrebbero peggiorare. Analizziamo questo incidente di alto profilo avvenuto in un’importante azienda produttrice di bevande: dopo aver saputo del suo imminente licenziamento, un ingegnere ha esfiltrato documenti contenenti segreti commerciali per un valore di quasi 120 milioni di dollari nei suoi ultimi giorni di lavoro. Secondo quanto riportato, era una delle due persone che avevano accesso ai dettagli di una formula chimica top secret – l’archetipo dell’utente privilegiato. L’ingegnere è stato poi condannato per il suo crimine, tuttavia il caso evidenzia le sfide che molte aziende devono affrontare per proteggere proprietà intellettuale e altre risorse critiche, soprattutto quando cambia la forza lavoro. Il 68% dei decision maker di sicurezza prevede che licenziamenti e turnover della forza lavoro creeranno nuovi problemi di sicurezza nei prossimi 12 mesi. Riduzione dell’ecosistema di terze parti. I rischi per la sicurezza informatica dovuti ai tagli si estendono anche ai fornitori terzi, come gli appaltatori che hanno accesso a informazioni sensibili. Se una relazione con uno di questi partner terminasse e le autorizzazioni non venissero prontamente rimosse, il fornitore potrebbe continuare ad accedere alle risorse aziendali o un attore esterno potrebbe rilevare questi account orfani e utilizzarli per scopi pericolosi. La gestione degli accessi di terzi è una sfida complessa, e per i professionisti della sicurezza intervistati partner, consulenti e fornitori di servizi rappresentano le identità umane più rischiose. Aumento del “risentimento”. Come ha dichiarato un titolo del New York Times del luglio 2023, “Il periodo delle great resignation è finito”. In un momento economico instabile, un maggior numero di dipendenti conserva il proprio posto, con una parola d’ordine che sta prendendo piede per descrivere i lavoratori che non ne sono entusiasti: “risentimento”. Indipendentemente dalle loro lamentele – dalla mancanza di soddisfazione al sentirsi sottovalutati o esauriti – questi utenti tendono a esternarla apertamente. Il risentimento non solo può influire negativamente sulla cultura e la produttività dell’ambiente di lavoro, ma può anche aumentare gli episodi di minacce interne. Pensiamo a un dipendente che ha subìto ripetuti rifiuti di promozione, si sente quindi sottovalutato e il suo risentimento nei confronti del datore di lavoro è in crescita. Per “vendicarsi” potrebbe rubare o divulgare dati sensibili, o addirittura pubblicizzare la propria capacità di minare la sicurezza aziendale. In un momento in cui il 63% delle organizzazioni non ha protetto adeguatamente l’accesso più sensibile dei propri dipendenti, c’è la possibilità che il “risentito” riesca a farla franca. Difficoltà finanziarie personali. Il Data Breach Investigation Report 2023 di Verizon suggerisce che inflazione e impennata del costo della vita potrebbero alimentare un maggior numero di minacce interne spinto da motivazioni finanziarie. Secondo il rapporto, l’abuso di privilegi – definito come “dipendenti che approfittano in modo eccessivo dell’accesso concesso per svolgere il proprio lavoro” e causa principale di violazioni interne non accidentali – è più spesso associato a transazioni fraudolente rispetto agli anni scorsi. Potrebbe essere il caso di un controller finanziario – un’identità privilegiata con accesso a sistemi in cui sono archiviati conti bancari e informazioni di routing – che effettua un trasferimento non autorizzato sul proprio conto personale. Errori dovuti allo stress. Le riduzioni e il turnover di personale hanno un impatto profondo sui dipendenti rimasti. A molti viene richiesto di svolgere attività supplementari, con un impatto negativo sui livelli di stress. E lo stress va di pari passo con i rischi di errore. La suscettibilità al phishing e ad altri attacchi di social engineering è già molto elevata. Recenti valutazioni dell’agenzia statunitense per la cybersecurity e la sicurezza delle infrastrutture (CISA) hanno rilevato che entro i primi 10 minuti dalla ricezione di un’email pericolosa, l’84% dei dipendenti ha abboccato all’esca rispondendo con informazioni sensibili o aprendo un link o un allegato compromesso. Dipendenti sovraccarichi di lavoro e stressati potrebbero rendere ancora più facile ottenere credenziali negli attacchi di phishing. Poiché il 50% delle identità dei lavoratori ha accesso a dati aziendali sensibili, le probabilità di colpire qualcuno sono buone. Con tutti questi rischi, di chi ci si può fidare? È una domanda trabocchetto. L’84% delle organizzazioni ha subìto una violazione legata all’identità nell’ultimo anno: si tratta di un’ulteriore testimonianza che non c’è spazio per la fiducia nella cybersecurity. Eliminando la fiducia, l’origine di qualsiasi minaccia – interna, esterna, ovunque – diventa meno rilevante e senza etichette negative, categorie di minacce complicate o protezioni frammentarie, la sicurezza diventa molto più semplice. Questa è la promessa della sicurezza delle identità: una protezione potente e continua di ogni identità, basata su Zero Trust e privilegio minimo. Grazie alla piena visibilità e controllo, le aziende possono individuare rapidamente l’utilizzo improprio o l’abuso di accessi e altre attività ad alto rischio. Potendo contare su una maggiore autonomia, possono bloccare e impedire che le minacce raggiungano le risorse critiche, salvaguardando infrastruttura, dispositivi e persone, ovunque si trovino. Fonte: bitmat.it
Fattura elettronica obbligatoria per i forfettari dal 1° gennaio 2024
Mancano ormai pochi giorni all’adozione della fatturazione elettronica per tutti i contribuenti in regime forfettario Dal prossimo 1° gennaio 2024 scatta l’obbligo di fatturazione elettronica anche per chi ha ricavi annui al di sotto dei 25.000 euro (fascia che fino ad oggi risultava ancora esonerata dalla normativa). A partire da questa data, dunque, i contribuenti forfettari, quelli in regime di vantaggio e le ASD dovranno dotarsi del sistema di fatturazione elettronica, senza alcun vincolo legato al volume d’affari. Secondo i risultati di un sondaggio svolto nell’anno corrente, il 40% degli intervistati si diceva molto o abbastanza favorevole all’introduzione dell’obbligatorietà della fatturazione elettronica: principalmente per l’ottimizzazione della gestione delle fatture (43%) e, a seguire, per il contrasto all’evasione fiscale (40,8%). Tra gli ulteriori benefici evidenziati, l’obiettivo della dematerializzazione dei documenti (32,7%), la riduzione dei tempi (24%), una maggiore sicurezza (22%) e la diminuzione degli errori (21,6%). Al di là dell’obbligatorietà del procedimento di fatturazione elettronica, infatti, tale modalità di emissione del documento fiscale porta a dei vantaggi notevoli, tra cui: Modalità di gestione intuitiva – Molti clienti e fornitori sono più propensi alla ricezione delle fatture elettroniche per evitare l’indaginosa trasmissione del documento nel “vecchio” formato (fattura/parcella con applicazione del bollo e invio via e-mail o consegna in formato cartaceo); ciò semplifica notevolmente la modalità di gestione. Semplicità dell’emissione – Attraverso l’uso di un gestionale è possibile accedere a tutti i dati dei clienti già salvati (dati intestazione, codice fiscale e partita IVA, PEC o SdI), potendo, quindi, emettere il documento fiscale con maggiore immediatezza. Inoltre, i vari sistemi permettono una catalogazione delle fatture emesse e ricevute, in modo che ciascun commercialista possa accedere e avere a disposizione tutti i documenti necessari. Con il sistema precedente, il soggetto passivo era tenuto a consegnare, o in copia cartacea o trasmettendole via e-mail, tutte le fatture emesse e ricevute. Riduzione dei costi – Un aspetto di non poco conto è quello inerente all’eliminazione di numerosi costi fissi, quali l’uso della carta e gli annessi costi della stampa, nonché quelli di spedizione e conservazione dei documenti. Diminuzione degli errori – Acquisendo la fattura sotto forma di file XML, è possibile rendere più rapido il processo di contabilizzazione dei dati contenuti nelle fatture stesse, riducendo sia i costi di gestione, che gli errori che si possono generare dall’acquisizione manuale dei dati. Maggiore efficienza – Essendo certa la data di emissione e consegna della fattura (poiché trasmessa e consegnata solo tramite SdI), si incrementa l’efficienza nei rapporti commerciali tra clienti e fornitori. Secondo il direttore Marketing Gabriele Sposato: “La fatturazione elettronica rappresenta ormai un elemento chiave nel processo di digitalizzazione del nostro Paese, capace di ridurre i costi aziendali e consentire un risparmio di tempo, spazio e sicurezza nella gestione degli archivi. Da gennaio questi benefici si estenderanno anche a tutti i professionisti in regime forfettario che potranno non solo analizzare il proprio fatturato, ma anche monitorare i pagamenti, avendo al tempo stesso la possibilità di un’anagrafica semplificata dei clienti e una gestione documentale puntuale e ordinata. Strumenti essenziali per poter sfruttare appieno le opportunità fiscali e normative che il regime forfettario mette a disposizione di centinaia di migliaia di partite IVA.” Fonte: bitmat.it