Il software al centro dell’innovazione per le aziende consumer e retail
Il software sta sconvolgendo e trasformando ogni settore, e l’impatto è particolarmente pronunciato nelle organizzazioni rivolte ai consumatori. Con l’affermarsi del modello direct-to-consumer, i ricavi provengono sempre più spesso dall’online piuttosto che dai canali tradizionali. Poiché le esperienze digitali pesano sul fatturato, le organizzazioni rivolte ai consumatori devono effettuare investimenti digitali efficaci. Le aziende che fanno del software una parte fondamentale della loro organizzazione e sfruttano le tecnologie emergenti, come l’IA (compresa l’IA generativa), la realtà mista e la robotica, possono costruire una solida base per una crescita sostenibile. Molti player del settore retail e consumer hanno già effettuato investimenti decisivi in software e tecnologia. Ad esempio, Starbucks ha sviluppato Deep Brew, uno strumento per sfruttare l’intelligenza artificiale per varie applicazioni. Lego ha collaborato con Epic Games per creare un metaverso in cui i bambini possano connettersi, giocando tra mondo digitale e fisico senza soluzione di continuità. E L’Oréal ha investito in Digital Village, una piattaforma di costruzione di mondi virtuali e un marketplace di NFT, per scommettere sulle opportunità offerte dal metaverso e dal Web3 per la creazione di negozi virtuali. Secondo la ricerca McKinsey, le aziende che investono massicciamente nel software superano i propri peer: i leader digitali hanno creato un maggior valore per i propri azionisti – pari a tre volte i rendimenti degli ultimi cinque anni, rispetto alle aziende leader non digitali. L’analisi, condotta su oltre 120 public company del settore consumer e retail, rivela anche che quelle con un modello operativo tecnologico maturo superano quelle che operano in modo più tradizionale e vantano, in media, un rendimento per gli azionisti 2,2 volte superiore, nonché livelli di customer engagement e brand awareness dal 40 al 45% più elevati. L’avvento dell’IA generativa potrebbe guidare la transizione di aziende tradizionali del settore consumer in entità software. Le organizzazioni dei consumatori e della vendita al dettaglio si basano su molte funzioni in cui si prevede che l’impatto dell’IA generativa si farà sentire maggiormente, tra cui il marketing, le vendite e le customer operation. Si prevede che l’impatto annuale dell’IA generativa sulla produttività del settore sarà compreso tra 400 e 660 miliardi di dollari, tra i più alti di tutti i settori. Sulla base della propria ricerca ed esperienza, McKinsey rivela sei principi fondamentali con cui le organizzazioni del settore consumer e retail possono sfruttare efficacemente la tecnologia e ottenere risultati più simili a quelli delle software companies: Costruire una cultura incentrata sul software (e sul cliente) Promuovere le competenze di product management nel settore consumer – Investire nelle funzioni di product management (PM) è fondamentale. Ma secondo un recente sondaggio, l’80% di oltre 300 product manager del settore consumer ha dichiarato che le funzioni di PM delle proprie organizzazioni erano inferiori o inesistenti. Sono tre le azioni possibili per potenziare le proprie funzioni di PM: Investire in strumenti di IA Sviluppare una cultura basata su test continui per migliorare il prodotto e la customer experience Aggiornare costantemente i PM sui prodotti e approfondire la loro comprensione delle preferenze dei consumatori, in evoluzione costante. Aggiornare l’architettura della piattaforma e della gestione dei dati – L’innovazione tech di nuova generazione richiede una solida architettura tecnologica di base; tuttavia, la maggior parte delle aziende ha problemi con i sistemi obsoleti e di solito più del 20% degli asset tecnologici è da includere nella categoria “debito tecnico”. Inoltre, circa il 60% dei CIO ha visto aumentare i livelli di debito tecnico negli ultimi anni. Fungere da anello di congiunzione tra gli ecosistemi tecnologici e manifatturieri – I consumatori apprezzano l’innovazione che un ecosistema può fornire; sette consumatori su dieci in un sondaggio McKinsey hanno dichiarato di apprezzare le offerte di ecosistemi che semplificano il proprio percorso di acquisto. Sfruttare la creatività nella strategia go-to-market – Molte aziende stanno già adottando misure per trasformare le proprie strategie di go-to-market (GTM), utilizzando la tecnologia per aumentare la funzionalità della propria offerta principale e per favorire un maggiore coinvolgimento dei clienti. Le case di moda e la grande distribuzione, ad esempio stanno espandendo le sfilate e i negozi fisici nel mondo virtuale con esperienze interattive, contenuti gamificati e nuovi modi per generare consapevolezza e monetizzare la merce. Gucci ha lanciato sfilate nel metaverso che rispecchiano quelle fisiche, Gap ha aperto vetrine in-game con repliche digitali della merce e ha lanciato camerini virtuali, mentre Tiffany & Co. ha raccolto 12,5 milioni di dollari attraverso il sellout istantaneo dei suoi drop NFT in concomitanza con i lanci dei nuovi prodotti. Sviluppare un ampio bacino di talenti tech e un modello operativo basato su tecnologia moderna – Secondo la Voice of Consumer Organizations Survey 2022 di McKinsey, i manager delle aziende consumer altamente performanti hanno 1,4 volte più probabilità di dichiarare di disporre di talenti tech in gran parte in-house per le aree di attività critiche. Tuttavia, i livelli di insourcing sono relativamente bassi; l’analisi di McKinsey indica che la quota di talenti IT esternalizzati è del 40-50% nel settore retail e del 50-60% in quello dei beni di consumo confezionati. Le aziende possono ricorrere all’”acquihiring”, ovvero all’acquisizione strategica di aziende native digitali per accedere alle loro offerte tecnologiche e ai loro pool di talenti. Ad esempio, quando L’Oréal ha acquisito ModiFace, un’azienda di VR che costruisce tecnologie per il settore beauty, ha integrato con successo il team nella propria organizzazione core, con un aumento di tre volte del tasso di conversione e di due volte dell’engagement. Un altro approccio è che le aziende creino i propri ecosistemi di talenti o entrino a far parte di quelli esistenti creati da organizzazioni esperte di tecnologia, sfruttando così conoscenze e risorse collettive. Inoltre, le aziende del settore consumer possono distinguersi dalle imprese tech-native puntando sulla riconoscibilità dei propri brand e sulla possibilità per i talenti di vedere l’impatto tangibile delle loro innovazioni sul mercato. Per esempio, Nike si promuove come un’azienda che cerca di assumere “le persone più creative del mondo” che vogliono “rivoluzionare il futuro attraverso l’incontro tra sport e tecnologia”. Fonte: bitmat.it
Le università statali italiane non bloccano in modo proattivo le email fraudolente
Proofpoint ha pubblicato oggi una nuova ricerca secondo la quale il 97% delle università statali italiane è in ritardo sulle misure di cybersecurity di base, sottoponendo studenti, personale e partner a un rischio maggiore di frodi basate su email contraffatte. Questi risultati si basano su un’analisi dell’adozione del protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) […] Proofpoint ha pubblicato oggi una nuova ricerca secondo la quale il 97% delle università statali italiane è in ritardo sulle misure di cybersecurity di base, sottoponendo studenti, personale e partner a un rischio maggiore di frodi basate su email contraffatte. Questi risultati si basano su un’analisi dell’adozione del protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) da parte delle università statali italiane. DMARC è un protocollo di convalida delle email progettato per proteggere i nomi di dominio dall’abuso da parte dei criminali informatici, autenticando l’identità del mittente e prevede tre livelli di protezione: monitoraggio, quarantena e reject (rifiuto); quest’ultimo è il più sicuro per evitare che le email sospette raggiungano la casella di posta. L’analisi di Proofpoint ha rilevato che solo il 3% delle università statali italiane ha implementato il livello di protezione più rigoroso e raccomandato (reject) e il 52% non dispone di alcuna protezione DMARC, ed è quindi a rischio di attività truffaldine da parte di criminali informatici, che potrebbero impersonare i loro domini per colpire gli utenti con frodi via email. Quasi la metà (48%) ha adottato invece misure di protezione iniziali, pubblicando un record DMARC di base. Si tratta di dati che mostrano come numerose università italiane siano in ritardo rispetto anche a quelle europee, in cui il livello di protezione DMARC più rigoroso è stato implementato dal 10% degli istituti, mentre quelli che hanno adottato le misure iniziali per proteggere studenti e personale dalle frodi via email con un record DMARC di base sono il 69%, con il 31% quindi che non dispone di alcuna protezione DMARC. “La nostra ricerca ha dimostrato che la grandissima parte delle università statali italiane continua a esporre le persone a rischi provenienti da criminali informatici a caccia di dati personali e finanziari, non implementando semplici ma efficaci best practice per l’autenticazione delle email”, afferma Luca Maiocchi, country manager di Proofpoint Italia. “L’email continua a essere il vettore preferito dagli attaccanti e il settore dell’istruzione rimane un obiettivo chiave. Scuole e università custodiscono dati preziosi di migliaia di studenti, ricercatori e personale e sono per questo un obiettivo ambito da parte dei cybercriminali: se non sfruttano le tecnologie a loro disposizione resteranno anche un obiettivo vulnerabili agli attacchi.” Anche gli attacchi BEC (Business email compromise) dovrebbero essere all’attenzione delle aziende quando si parla di sicurezza delle email. Consistono nell’assumere l’identità di contatti di business per inviare email fraudolente che sembrano essere legittime e provenienti da organizzazioni affidabili al fine di ingannare gli utenti Secondo il report State of the Phish 2023 di Proofpoint, nel corso dello scorso anno, il 51% delle organizzazioni italiane ha segnalato un tentativo di attacco BEC. “I criminali informatici utilizzano regolarmente il metodo del domain spoofing per spacciarsi per organizzazioni e aziende note, inviando un’email da un indirizzo apparentemente legittimo. Questi messaggi sono pensati per indurre le persone a cliccare su un link o condividere dettagli personali che possono poi essere utilizzati per rubare denaro o identità,”, continua Luca Maiocchi. “Per un normale utente di Internet può essere quasi impossibile identificare un mittente fittizio. Implementando il livello più rigoroso di DMARC, le università possono bloccare attivamente email fraudolente, e criminali informatici che cercano di impersonare il loro istituto”. Proofpoint raccomanda agli studenti e al personale delle università, ma anche a tutti gli utenti, di seguire questi semplici consigli per rimanere al sicuro online: Usare password forti: Non riutilizzare due volte la stessa password. Prendere in considerazione l’utilizzo di un gestore di password per rendere la propria esperienza online semplice e al tempo stesso sicura. Usare l’autenticazione a più fattori per un ulteriore livello di sicurezza. Fare attenzione ai siti “sosia”: Gli aggressori creano questi siti per imitare marchi e istituzioni familiari, con l’obiettivo di fingersi un’azienda credibile, distribuire malware o rubare denaro o credenziali. Abituarsi a individuare i potenziali attacchi di phishing e smishing: Le email di phishing portano a siti web non sicuri che raccolgono dati personali, come le credenziali e i dati della carta di credito. Fare attenzione anche al phishing via SMS – il cosiddetto “smishing” – o ai messaggi inviati attraverso i social media. Non cliccare sui link: Nel caso si ricevano email da un’università, Proofpoint consiglia agli studenti di andare direttamente al sito web dell’istituto, digitando l’indirizzo nel proprio browser. Fonte: bitmat.it
Phishing in aumento: + 40%
Gli attacchi phishing continuano a crescere in Italia: ma come si riconoscono e quali sono gli strumenti per difendersi? Sono 2.489 gli attacchi informatici gravi registrati a livello mondiale nel 2022 (+21% rispetto al 2021), con una media di 207 attacchi mensili. In Italia, sono 188 gli attacchi andati a segno, con un +169% rispetto all’anno precedente. L’83% di questi hanno portato a conseguenze di gravità elevata o critica – questo è quanto emerge dal Rapporto Clusit 2023. Tra le tecniche di attacco utilizzate maggiormente dai cybercriminali, troviamo: Malware (in Italia rappresenta il 53% degli attacchi, mentre nel resto del mondo la percentuale è molto più bassa), Phishing, Sfruttamento delle vulnerabilità, DDos e Furto d’identità/credenziali. In particolare, gli attacchi di phishing sono in costante aumento e il tema predominante sono le criptovalute: secondo l’analisi di Kaspersky, a livello mondiale nell’ultimo anno le truffe online a tema criptovalute sono state 5 milioni, con un aumento di oltre il 40% rispetto allo stesso periodo del 2021. Questi dati sono validati anche dall’ultimo report sul phishing redatto da Zscaler ThreatLabz che rivela che questi attacchi sono in costante crescita a causa dell’utilizzo di tecniche sempre più sofisticate da parte dei criminali informatici, che consentono di lanciare attacchi su larga scala. Nel mondo, l’istruzione è stato il settore più colpito nel 2022, con un incremento degli attacchi del 576%, mentre quello della vendita al dettaglio e all’ingrosso ha registrato una diminuzione del 67% rispetto al 2021. In Italia, il nuovo report State of the Phish di Proofpoint, rivela che tra le aziende italiane che hanno subito tentativi di attacchi phishing via email lo scorso anno, il 79% ne ha registrato almeno uno di successo, con il 7% che ha riportato perdite finanziarie dirette come risultato. Ma come si riconosce un attacco phishing e quali sono gli strumenti per difendersi? L’obiettivo degli attacchi di phishing è quello di ottenere informazioni sensibili in modo accidentale, mediante l’accesso a una rete. Inizialmente, gli attacchi di phishing erano piuttosto semplici e utilizzavano un’email con un link incorporato su cui l’individuo ignaro avrebbe cliccato. Gli attacchi di phishing di oggi, invece, possono essere molto più sofisticati e potrebbero persino includere siti web HTTPS. Ad esempio, HTTPS può prevenire il furto di dati e gli attacchi man-in-the-middle, ma può anche consentire al traffico dannoso di nascondersi dietro alla crittografia. Tuttavia, il gateway sicuro non può ispezionare i dati crittografati e potrebbe lasciar passare tutto, inclusi codici dannosi. Un altro esempio di un attacco di phishing sofisticato dei giorni nostri è l’uso di nomi di dominio con errori di battitura. Anche se suona molto tecnico, in realtà è piuttosto semplice: i criminali creano un sito web che finge di essere Adobe, ma il loro indirizzo web utilizza il carattere latino “ḅ” invece del normale “b”, quindi avrai “adoḅe.com” – nota il punto sotto la b. Da lì, l’hacker può rendere “adoḅe.com” un sito HTTPS e creare numerosi altri sottositi. Un sito come “get.adoḅe.com” potrebbe essere creato ed inviato via email agli account target come collegamento. E, naturalmente, gli hyperlink hanno una sottolineatura che maschera il carattere falso, rendendo il collegamento apparentemente legittimo al 100%. Questi sono solo esempi ed esistono infiniti modi mediante i quali possono avvenire gli attacchi di phishing. Tuttavia, ci sono passi pratici che le aziende dovrebbero compiere per combattere tali truffe informatiche e mitigare il rischio: 1. Addestrare i dipendenti su come identificare le email malevole e su cosa fare con esse. Eseguire campagne di phishing simulate e test anti-phishing. 2. Assicurarsi che i dipendenti utilizzino password sicure e uniche per i loro account di lavoro e comunicare loro le password per gli account aziendali, che devono essere diverse dalle password dei loro account di posta elettronica personali. 3. Utilizzare l’autenticazione a due fattori (MFA) per ridurre il rischio di takeover non autorizzati degli account. 4. Educare il personale sui rischi dell’ingegneria sociale, invitandoli a non pubblicare informazioni legate al lavoro su piattaforme di social media pubbliche che potrebbero essere utilizzate per identificare il datore di lavoro, il loro ruolo e le loro responsabilità, e quindi essere utilizzate per un attacco di phishing mirato. 5. Installare un gateway di posta elettronica sicuro con anti-spam, anti-malware e filtri basati su regole. Questo potrebbe includere anche SPF (Sender Policy Framework), DMARC (Domain-Based Message Authentication, Reporting & Conformance) e DKIM (Domain Keys Identified Mail), oltre a una rilevazione delle anomalie per le email in entrata ed in uscita. 6. Se si hanno dubbi su una email o sospetti di collegamenti web, bisogna segnalarlo immediatamente al proprio team di sicurezza, che può verificare l’email e aprire eventuali collegamenti o siti sospetti in un ambiente sandbox, scoprendo quindi se l’email è autentica. 7. Rivedere le misure di mitigazione e assicurarsi che gli aggiornamenti di sistema avvengano periodicamente. Proprio in questi giorni, in Italia, una recente segnalazione da parte dell’Agenzia delle Entrate assume un grande rilievo poiché ha ad oggetto i rimborsi fiscali, utilizzati dai truffatori per tentare di ingannare i cittadini che ne hanno diritto: si tratta di un esempio di smishing, ovvero il phishing attraverso l’uso di SMS. Gli attacchi di phishing possono infatti avvenire tramite messaggi, email, social media o telefonate. Con gli attacchi di phishing che diventano sempre più frequenti, sofisticati e difficili da rilevare, è quindi fondamentale rimanere vigili e informati per prevenirli, adottando le migliori pratiche per proteggere le proprie informazioni sensibili. Fonte: bitmat.it
Cyber sicurezza: quanto ne sanno i professionisti?
In occasione del rientro a lavoro dopo le vacanze estive Cyber Guru ha voluto indagare il livello di preparazione di alcuni professionisti sulla cyber sicurezza Cyber Guru, piattaforma di Security Awareness Training, ha di recente testato alcuni professionisti sulla loro preparazione sulla cyber sicurezza. I dati emersi riportano una fotografia in cui più della metà dei lavoratori intervistati si dichiara consapevole dei rischi: il 65% oggi sa che gli attacchi sono più frequenti e che bisogna prestare attenzione. Eppure, resta importante la percentuale di professionisti che sottovalutano la minaccia (35%, più di 1 utente su 3), e sono ancora molto diffusi gli errori a sfavore della cyber sicurezza dettati dalla fretta e dall’esigenza di essere sempre iperconnessi e attivi nel mondo digitale. Con 5 miliardi di utenti sul web (la popolazione mondiale è poco meno di 8 miliardi) e tre milioni di mail inviate ogni secondo, la rete è un Far West in cui occorre muoversi sempre più in maniera cauta, cedendo il passo alla riflessione e al caro vecchio buon senso piuttosto che all’immediatezza. Secondo il Data Breach Investigations Report, l’elemento umano è responsabile del 74% delle violazioni informatiche. In pratica, 3 incidenti su 4 sono causati dall’intervento umano che in quasi la totalità delle occasioni (95%) comporta perdite economiche. Sebbene il 75% dei lavoratori separi lo smartphone aziendale da quello personale ed il 58% abbia un PC in ufficio e uno a casa, una suddivisione che in via teorica è ottimale per evitare rischi di ‘contaminazione’ tra i due mondi, nella pratica spesso e volentieri le persone usano i device aziendali e privati in maniera fluida, esponendo quindi entrambi i device a un doppio rischio in materia di cyber sicurezza. L’utilizzo promiscuo dei device personali e aziendali, infatti, fa decadere l’utilità di averli separati, tuttavia questo non sembra preoccupare il campione: il 60% utilizza i device aziendali anche per scopi personali, al 33% è accaduto di accedere ai propri canali social da device aziendali senza ritenerlo particolarmente pericoloso, e dal device personale si leggono le mail del lavoro (29%). Il rischio di questa commistione tra sfera privata e lavorativa su device aziendali e personali è soprattutto quello di facilitare il social engineering, cioè l’attività con cui un malintenzionato spinge le persone a fornire dati sensibili, con il concreto rischio di danneggiare l’azienda per cui si lavora o informazioni personali come password o dati bancari. Vi è comunque un controbilancio positivo, le persone sono sempre più consapevoli dell’importanza di un utilizzo privato dei loro device, sia aziendale (83%) che personale (60%), non permettendone l’utilizzo da altre persone. Insieme alla disinvoltura digitale, a mettere a rischio la cyber sicurezza è anche la necessità di agire sempre in fretta, insieme al FOMO (Fear Of Missing Out), che incentivano la miopia degli utenti davanti a situazioni rischiose. Connessioni apparentemente innocue come Wifi pubblici, QR code, e colonnine di ricarica non sono in genere percepite come pericolose, ma possono in realtà dare un facile accesso ai malintenzionati. Il 69% del campione, se avesse bisogno con urgenza di connettersi, lo farebbe anche ad una rete Wi-Fi non protetta da password, il 63% ammette di cliccare su link promozionali senza particolari verifiche se l’offerta è allettante, il 62% sarebbe disposto a inquadrare con lo smartphone personale un QRCode affisso sulla porta della palestra sotto l’ufficio per avere uno sconto sull’abbonamento, il 52% ha approfittato o approfitterebbe delle colonnine di ricarica pubblica pur di non rischiare di rimanere senza batteria, ed il 46% del campione scaricherebbe un file arrivato via mail senza farsi troppi scrupoli se gli è necessario e il mittente gli è ‘sembrato’ sicuro. Tutti comportamenti avventati che possono permettere l’accesso al nostro network lavorativo o aprire la porta del nostro conto in banca a dei potenziali cyber criminali. I risultati di questo sondaggio in materia di cyber sicurezza dimostrano quanto siano i comportamenti umani, prima ancora che le tecnologie, a rappresentare il vero anello debole della catena difensiva. “L’eccessiva disinvoltura digitale, la necessità di agire immediatamente, l’essere multitasking su più fronti contemporaneamente, ci inducono a non prestare la giusta attenzione a ciò che stiamo facendo mentre siamo online.” Spiega Vittorio Bitteleri, Country Manager Italia di Cyber Guru, che prosegue “Non è sensato, ad esempio, separare i device lavorativi e personali se poi si usa lo smartphone aziendale per andare sul proprio profilo Instagram; è essenziale essere cauti e fermarsi a riflettere prima di agire, ricordando sempre che tutti possiamo essere vittime di un cyber attacco.” Fonte: bitmat.it
DMA: stretta UE su 22 piattaforme dei colossi Web
La UE ha designato sei gatekeeper (Google, Amazon, Apple, Tiktok, Facebook e Microsoft) ai sensi del Digital Markets Act: ecco cosa cambia. In attuazione del Digital Markets Act (DMA) a tutela della libera concorrenza sul Web nella UE, la Commissione Europea ha annunciato la lista delle piattaforme chiamate ad applicare le nuove e più stringenti regole previste dal DMA per garantire libero accesso al mercato. Sono sei le società designate come “gatekeeper” digitali in base alle soglie previste dal DMA e, come tali, chiamate a rispettare i vincoli che ne conseguono: Alphabet (Google), Amazon, Apple, ByteDance (Tiktok), Meta (Facebook) e Microsoft. I sei colossi del Web operano in otto diversi settori, controllando ben 22 piattaforme: Tiktok, Facebook, Instagram e Linkedin (social media); Google Maps, Google Play, Google Shopping, Amazon Marketplace, App Store e Meta Marketplace (servizi web); Youtube (video); WhatsApp e Messenger (messaggistica istantanea); Google, Amazon e Meta (comunicazioni pubblicitarie); Google Android, iOS e Windows PC OS (sistemi operativi); Google Search (motori di ricerca); Chrome e Safari (browser di navigazione). I gatekeeper sono infatti le grandi piattaforme digitali (gateway) che forniscono “servizi di base” come motori di ricerca online, app store e messaggistica. Tali soggetti dovranno ora rispettare obblighi e divieti elencati nella DMA, come ad esempio quello di privilegiare i propri servizi ai danni di quelli offerti dalla concorrenza. Le sei big tech chiamate in causa avranno sei mesi per adeguarsi alle nuove norme e, nel caso in cui non le rispetteranno, saranno soggette a sanzioni pecuniarie fino al 10% del loro turnover annuo (disponibili online le FAQ complete della Commissione UE). Come ha commentato il commissario al mercato interno, Thierry Breton: Il nuovo quadro regolamentare aprirà le porte di Internet. Con la designazione di oggi stiamo finalmente rimettendo in discussione il potere economico delle più grandi aziende del settore, offrendo più scelta ai consumatori e creando nuove opportunità per le piccole società innovative (…) Era ora che l’Europa stabilisse in anticipo le regole del gioco, per garantire che i mercati digitali siano equi e aperti. Fonte: pmi.it
Proteggere la mail da cyberattacchi e minacce informatiche
Educare i dipendenti in materia di attacchi informatici e bloccare preventivamente le mail da fonti sospette: ecco alcune strategie utili alle aziende per prevenire i cyberdanni La mail aziendale è ancora il canale di accesso principale per i software dannosi: lo afferma Retarus che ha analizzato i problemi più comuni in materia di sicurezza informatica e individuato alcune misure per le aziende che desiderano mantenere la continuità di business anche in presenza di crimini informatici. Proteggere la mail è infatti ormai fondamentale. La sicurezza è una delle principali priorità di qualsiasi impresa: proteggere i sistemi, le informazioni riservate e la sicurezza dei lavoratori è un requisito indispensabile per guidare la crescita. Purtroppo, dall’altro lato, gli attacchi informatici stanno diventando sempre più comuni a causa del rapido sviluppo di software dannosi e della mancanza di competenze interne per gestire queste situazioni. Le imprese ne sono ben consapevoli: secondo uno studio di Accenture, nel 2021, il 15% della spesa aziendale totale è stato destinato alla protezione del sistema di rete dell’azienda. In questo scenario, Retarus ha individuato cinque fattori chiave su cui le imprese che valutano soluzioni cloud-based per proteggere la mail dovrebbero focalizzarsi: 1. Attenzione agli attacchi di Social Engineering Tra le cause più comuni dei cyberattacchi, troviamo i cosiddetti “Social Engineering”, metodi fraudolenti messi in atto dagli hacker che hanno come scopo quello di ottenere informazioni personali o riservate. Nelle cosiddette “Truffe del CEO”, in particolare, i criminali informatici impersonificano il CEO di una azienda, inviando e-mail false a vittime selezionate all’interno dell’organizzazione e chiedendo loro di trasferire grandi somme di denaro. Per proteggersi da questa eventualità, le aziende possono utilizzare strumenti specializzati per la scansione delle e-mail, che vadano a identificare gli indirizzi falsificati del mittente utilizzati per tali attacchi e consentano di mettere in guardia tempestivamente i dipendenti sulle e-mail di tentata frode prima che vengano effettuate transazioni finanziarie. 2. Difesa contro malware finora sconosciuti Quando compaiono per la prima volta minacce sconosciute, come i ransomware, spesso non vengono immediatamente filtrate e possono diffondersi silenziosamente nella rete aziendale. Più tempo passa prima che vengano rilevate, maggiore è il loro impatto sul business. Come contrastarle? Attraverso il metodo del sandboxing, basato su IA, che prevede test informatici eseguiti sugli allegati mail in un ambiente virtuale, nel quale vengono controllati eventuali comportamenti insoliti prima della consegna al destinatario. Inoltre, i provider di sicurezza e-mail ben attrezzati forniscono anche funzionalità come Deferred Delivery Scan: in caso di una nuova ondata di attacchi di malware, le firme per i motori di virus scanning non ancora presenti durante l’analisi iniziale, potrebbero essere disponibili quando viene eseguita la nuova analisi. 3. Contrasto ai criminali informatici già penetrati nell’infrastruttura aziendale Nonostante le soluzioni di sicurezza informatica rilevino in modo affidabile la maggior parte dei malware prima ancora che entrino nella rete, non esiste una protezione completa contro gli attacchi. Le tecnologie post-delivery, come quella brevettata da Retarus “Patient Zero Detection”, non solo identificano i collegamenti malware e phishing nelle e-mail già consegnate, ma spostano o eliminano automaticamente i messaggi interessati. Allo stesso tempo, l’amministratore responsabile, ed eventualmente anche il destinatario, vengono immediatamente avvisati di non aprire il file. In questo modo, il contenimento dei potenziali danni viene drasticamente semplificato: un enorme valore aggiunto non solo per la sicurezza della posta elettronica, ma anche per la sicurezza IT nel suo complesso. Inoltre, un’efficace strategia per proteggere la mail dovrebbe includere anche una soluzione per la continuità della posta elettronica in caso di incidenti di sicurezza, problemi del server o interruzioni del cloud: le soluzioni failover sono costantemente attive in background, intervengono immediatamente se l’infrastruttura di posta elettronica non è effettivamente disponibile, e garantiscono che la comunicazione via e-mail aziendale continui senza interruzioni. 4. Blocco precauzionale delle mail da Paesi potenzialmente pericolosi Nell’attuale situazione politica, alcune aziende sentono la necessità di isolare in via precauzionale tutti i messaggi provenienti da determinate regioni o Paesi, sia per motivi puramente di sicurezza che a causa dei requisiti interni di conformità. I servizi di infrastruttura speciali per la posta elettronica aziendale consentono ai responsabili IT di analizzare e, se necessario, bloccare tutto il traffico e-mail sulla base di set di regole predefinite, prima ancora che raggiungano l’infrastruttura aziendale. In particolare, è possibile elaborare e-mail specificamente in base al paese di origine (GeoIP). A seconda della configurazione, si può richiedere, ad esempio, l’isolamento del messaggio nella quarantena dell’utente. Oltre all’origine geografica, è anche possibile riconoscere la lingua nel corpo e-mail e utilizzarla per le regole automatiche. 5. Educazione dell’utente per sconfiggere “il fattore umano dell’insicurezza” Come per tutti gli schemi di frode, il “fattore umano di insicurezza” rimane una condizione essenziale per qualsiasi attacco informatico: le aziende dovrebbero quindi educare regolarmente il proprio personale per proteggere la mail. Ad esempio, i dipendenti dovrebbero sapere che bisogna evitare di cliccare su link contenuti nelle e-mail sospette (inclusi i collegamenti di annullamento dell’iscrizione), inserire password o dati personali su siti Web collegati o scaricare allegati (malware). Le e-mail sospette non dovrebbero generalmente ricevere risposta o essere inoltrate. Il modo migliore per educare il proprio personale è fornire esempi concreti e incrementare i controlli. Le aziende possono proteggersi dalle frodi, ad esempio, imponendo limiti di base ai trasferimenti e processi di controllo e approvazione chiaramente definiti. Fonte: bitamat.it
Poli di innovazione digitale per PMI: 42 milioni PNRR dal MIMIT
In arrivo nuovi servizi per le PMI: firmato il decreto per la selezione di 6 nuovi poli di innovazione per favorire la transizione digitale delle imprese. Il Ministero delle Imprese e del Made in Italy ha annunciato la firma di un nuovo decreto direttoriale per la transizione digitale delle imprese: in particolare, il provvedimento stanzia 42 milioni di euro per la selezione di 6 nuovi Poli di innovazione. L’obiettivo è costituire hub digitali per l’erogazione di servizi di first assessment digitale e orientamento. I destinatari dei servizi erogati dai Poli saranno dunque le imprese, in particolare le PMI (nei limiti delle disposizioni di legge sugli aiuti di stato). I nuovi hub fungeranno da punti unici di accesso al sistema di trasferimento tecnologico composto dai Competence Center e dagli European Digital Innovation Hub. A tale scopo, il decreto MIMIT prevede la selezione di enti pubblici e privati che svolgono attività di rappresentanza, supporto e promozione delle imprese a livello nazionale. L’avviso rientra nell’ambito dell’Investimento 2.3 “Potenziamento ed estensione tematica e territoriale dei centri di trasferimento tecnologico per segmenti di industria”, della Missione 4 “Istruzione e ricerca” – Componente 2 “Dalla ricerca all’impresa”del PNRR. Fonte: pmi.it
Piccoli e-shop vs colossi e-commerce
Quasi 7 consumatori su 10 sono disposti ad acquistare da un piccolo e-shop se assicura un risparmio Il 68% degli utenti online sarebbe interessato ad acquistare presso un negozio online meno noto se ciò assicurasse un risparmio. È quanto emerge dalla nuova ricerca di idealo che ha indagato su come spesso i piccoli e-shop offrano ai consumatori offerte più vantaggiose in termini economici rispetto ai grandi colossi dell’e-commerce. A dare una chance ai piccoli e-commerce locali è soprattutto il pubblico maschile (il 71%, rispetto al 65% delle donne) e le fasce più giovani: circa il 74% dai 16 ai 34 anni, che scende al 64% tra i 35 e i 54 anni e a meno del 62% tra gli over 55. Inoltre, la percentuale sale fino all’80% tra coloro che utilizzano regolarmente la comparazione prezzi. Un’ottima occasione, dato che al pari dei grandi marketplace, i piccoli e medi shop italiani sono spesso molto competitivi in termini di prezzi bassi, soprattutto in determinati settori. Secondo idealo, nel 59% dei casi le migliori offerte nel settore “sport & outdoor” arrivano dai piccoli e-shop. Seguono “prodotti per animali” (56%), “salute, bellezza & drogheria” (54%) ed “auto e moto” (50%). I settori in cui, invece, le migliori offerte arrivano dai cosiddetti big player sono “giocattoli & gaming”, “elettronica” ed “arredamento & giardino”. Guardando ai prodotti più desiderati nel 2022, i piccoli e-shop sono riusciti a proporre prezzi molto più competitivi in ambito pneumatici (il 73% delle migliori offerte), giacche da esterno (64%), televisori (59%), caschi da moto e scarpe (57%), profumi (56%), frigoriferi (55%) e zaini (52%). Al contrario, console di gioco, notebook e cuffie continuano mediamente ad avere prezzi più convenienti sui grandi marketplace. Alcune curiosità: nel settore arredamento, le lampade di design hanno in media prezzi inferiori sui piccoli e-shop quasi 6 volte su 10, mentre nel settore “bambini & neonati”, camicie, vestitini, pantaloni, maglie e maglioni baby costano meno tra i piccoli rivenditori almeno 7 volte su 10. Ancora, guardando all’elettronica, fotocamere digitali mirrorless e reflex sono più convenienti oltre 6 volte su 10 nei piccoli e-commerce, così come i televisori, mentre – esaminando il settore food & beverage – se si vuole acquistare del vino, nel 59% dei casi conviene farlo attraverso un piccolo e-shop. Infine, guardando al settore pet, il cibo per cani e per gatti è più conveniente se acquistato in uno shop meno noto 7 volte su 10 rispetto ad un grande e-commerce, mentre – in ambito salute – gli antidolorifici, gli antiallergici e i prodotti da banco per tosse, raffreddore e influenza sono più convenienti se acquistati da piccoli rivenditori ben 9 volte su 10. “Dati come questi dimostrano come i portali di comparazione prezzi possano rivelarsi davvero utili per intercettare le tante offerte dei piccoli e medi e-shop. – ha commentato Dumitru Baltatescu, Country Manager di idealo in Italia – Il commercio digitale è di fondamentale importanza per l’economia del nostro Paese ed i suoi benefici ricadono sia sugli utenti – che possono acquistare articoli a prezzi inferiori – sia sui negozi stessi che, aprendosi all’online, possono aumentare il proprio bacino di utenza e rendersi visibili ad un pubblico altrimenti difficilmente raggiungibile.” Fonte: bitmat.it
Protezione dei dati: l’importanza di considerare il fattore umano nella sicurezza informatica
La sicurezza informatica e la protezione dei dati richiedono un approccio olistico che tenga conto sia degli aspetti tecnologici che umani e riguarda tutta la struttura aziendale. Nel contesto della sicurezza informatica e della protezione dei dati, spesso si commette l’errore di concentrarsi esclusivamente sugli aspetti tecnologici, trascurando il fattore umano. Tuttavia, garantire un adeguato livello di sicurezza richiede non solo tecnologie all’avanguardia, ma anche una gestione senza intoppi e utenti consapevoli. Infatti, i cyber criminali spesso utilizzano l’ingegneria sociale e sfruttano l’ingenuità delle persone per compromettere la sicurezza delle informazioni. Utilizzando tattiche come e-mail di phishing con link fraudolenti o richieste di accesso a portali contraffatti allo scopo di rubare password e altre credenziali, i criminali riescono a ingannare gli utenti, acquisire accesso informazioni riservate, per richiederne poi un riscatto. Oltre che dalle minacce cyber, la protezione dei dati può essere compromessa anche dagli errori causati dalla fretta o dall’inesperienza degli amministratori che possono portare alla perdita o alla cancellazione accidentale dei dati. Pertanto, per garantire una sicurezza efficace, è necessario sia adottare una gestione adeguata, sia educare gli utenti a riconoscere queste minacce e adottare comportamenti sicuri. Per proteggere i dati importanti e garantirne l’integrità nel lungo periodo, è possibile affidarsi ai servizi specializzati per l’archiviazione e conservazione in cloud, soprattutto quando questi dati compongono documenti informatici, cioè sono rappresentazione di atti, fatti o dati giuridicamente rilevanti. Questi servizi consentono di conservare documenti informatici, preservandone il loro valore legale, amministrativo o di controllo in modo sicuro e di garantire un accesso continuo 24 ore su 24. Rispetto alle forme tradizionali di archiviazione, non soggette ad alcuna legge o regolamento tecnico, la conservazione, anche quando operata in cloud, offre maggiore flessibilità e facilità di accesso. Inoltre, consente di centralizzare tutti gli archivi digitali rilevanti per l’azienda, facendo confluire anche i documenti cartacei, attraverso l’impiego dei servizi di digitalizzazione e processi di digitalizzazione certificati secondo le disposizioni dettate da AgID attraverso le Linee guida sulla formazione, gestione e conservazione dei documenti informatici. Tuttavia, per garantire una conservazione efficace a lungo termine e di protezione dei dati, è necessario prestare attenzione a diversi fattori. Ad esempio, i documenti acquisiti devono essere resi immutabili, il che può richiedere l’eliminazione di automatismi, ovvero di script inseriti nei documenti stessi, e la ricodifica in formati adatti alla conservazione. Inoltre, è essenziale prevenire l’obsolescenza dei formati digitali utilizzati per la conservazione dei documenti. L’uso di formati standard ben documentati e riconosciuti consente di garantire la leggibilità dei documenti anche in futuro, quando i software potrebbero essere diversi da quelli attuali. La protezione dei documenti archiviati non riguarda solo gli aspetti digitali, ma anche la sicurezza fisica. I provider di servizi di conservazione in cloud devono gestire l’obsolescenza dei supporti di archiviazione fisici e trasferire i dati su nuove infrastrutture al fine di garantirne l’integrità e la disponibilità continua. In alcuni casi, come per la conservazione degli atti notarili, gli originali non possono, per legge, essere sostituiti dalla loro copia digitalizzata, non possono essere distrutti e digitalizzati, ma devono essere conservati anche in modo tradizionale. Per quanto riguarda la sicurezza informatica, l’accesso protetto ai documenti conservati, o archiviati, è fondamentale. Le tecnologie come le reti private virtuali (VPN) e Citrix VDI vengono utilizzate per garantire canali di connessione sicuri e controllare gli accessi e i dispositivi utilizzati per accedere alle infrastrutture informatiche. L’autorizzazione degli utenti viene gestita tramite strumenti di gestione delle identità aziendali, evitando così l’accesso non autorizzato di ex dipendenti o persone che hanno cambiato incarico. Tuttavia, è importante tenere presente che le protezioni basate su SSL e TLS possono presentare limitazioni nei sistemi meno aggiornati, che utilizzano browser obsoleti e non supportano le versioni di protocollo più recenti. Per garantire la sicurezza dei propri sistemi, gli operatori della conservazione possono implementare servizi di un Security Operation Center (SOC) gestito da società specializzate, che monitorano e rilevano tempestivamente comportamenti anomali dei server e gestiscono le prestazioni e le protezioni contro gli attacchi informatici, come, ad esempio, gli attacchi DDoS. Inoltre, situazioni come l’invio di documenti contenenti virus, malware o altro codice malevolo, da parte dei clienti vengono rilevate e notificate al cliente, senza però compromettere la conservazione dei file. In conclusione, la sicurezza informatica e la protezione dei dati richiedono un approccio olistico che tenga conto sia degli aspetti tecnologici che umani e riguarda tutta la struttura aziendale. L’educazione degli utenti, la gestione adeguata degli amministratori, l’utilizzo di servizi di conservazione in cloud sicuri e la presenza di misure di sicurezza efficaci sono tutte componenti cruciali per garantire la sicurezza delle informazioni e proteggere i documenti a lungo termine. A cura di Luciano Quartarone, CISO & Data Protection Officer di Archiva Fonte: bitmat.it
Quanto ci vuole ad hackerare una password?
Purtroppo la password di otto caratteri non è più sicura come un tempo. Quasi tutti sono connessi online in qualche modo e, sebbene Internet sia un’opportunità meravigliosa, ricca di possibilità e offerte per tutti a qualunque livello, è più importante che mai essere #CyberFit e intelligenti nella protezione informatica. Esserlo richiede vigilanza, conoscenze aggiornate sulle pratiche di sicurezza informatica e un software di protezione integrato, come Acronis Cyber Protect Home Office. Può sembrare scoraggiante e opprimente dover prestare sempre attenzione alla sicurezza dei propri dati su ogni dispositivo ma con i giusti strumenti e un minimo di accortezza è più semplice di quanto sembri. Come creare password sicure Molte cose dipendono dalle password, quindi per prima cosa è tenerle al sicuro e crearne di sufficientemente complesse, anche per siti che non sembrano così importanti. Alcuni ancora usano 123456, altri qwerty1, password molto semplice da decifrare da chi ha intenti criminali. Anche il nome del proprio animale domestico, o un soprannome, con l’aggiunta del punto esclamativo o la lettera maiuscola obbligatori sono ormai piuttosto facili da intercettare dai cybercriminali che utilizzano programmi in grado di decifrare le password in pochi minuti o addirittura in pochi secondi. Quanto tempo ci vuole per craccare una password? Secondo Security.org, una password standard di otto caratteri può essere decifrata quasi istantaneamente. Volete aggiungere 22 minuti al tempo di cracking? Inserite una lettera maiuscola. Volete una protezione maggiore? L’aggiunta di un carattere speciale combinato con una lettera maiuscola richiede un’ora scarsa. Preoccupante, vero? Purtroppo la password di otto caratteri non è più sicura come un tempo. Ecco perché diventa così importante proteggere le proprie password, rendendo al contempo più difficile per i malintenzionati indovinarle o decifrarle. Quindi, quanto dovrebbe essere lunga una password? La risposta si rivela difficile, poiché gli esperti del settore hanno opinioni diverse sulla lunghezza e la complessità delle password. Gli esperti tendono a concordare sul fatto che otto caratteri sono il minimo e che dovrebbero essere alfanumerici. Una ricerca di Security.org evidenzia che il 45% delle persone intervistate utilizza password di otto caratteri o meno, ma raccomanda password più lunghe per una maggiore sicurezza. Gli esperti di Statista hanno preparato un grafico che mostra il tempo necessario per decifrare password di diverse dimensioni, lunghezze e complessità. Spoiler: lunghezza e complessità sono le regole chiave. Cosa fare per creare password sicure? Ecco i consigli di Acronis, leader nella cyberprotection Passate a password più lunghe con almeno un numero, un simbolo e una lettera maiuscola. Evitate frasi comuni, nomi di animali domestici, nomi di coniugi, nomi di figli, modelli di auto, ecc. Non condividete le vostre password con altri. Evitate di riutilizzare le stesse password su più siti. Se una viene violata, vengono violate tutte. Non utilizzate numeri o lettere sequenziali (abc, 123, ecc.). Non memorizzare l’elenco delle password in chiaro sul computer. Non utilizzate mai la vostra password di posta elettronica per altri siti. Non aggiungete l’anno corrente alla vostra password attuale. Create password uniche senza usare nomi comuni Non utilizzate parole del dizionario, perché è quello che usano gli strumenti di cracking. I criminali informatici e i loro strumenti sono più sofisticati di quanto si pensi; quindi, adottare qualche misura in più adesso può fare risparmiare tempo, denaro e preoccupazioni in seguito. Fonte: bitmat.it