Fiducia: quali conseguenze sul mondo della cybersecurity
A cura di Matthieu Bonenfant – CMO Stormshield La questione della fiducia è oggi al centro di numerosi dibattiti nel settore della sicurezza informatica e assume una dimensione strategica, poiché foriera di costanti questioni irrisolte anche lato tensioni geopolitiche, fortemente percettibili nel 2018, che hanno avuto numerose ripercussioni nel cyberspazio. In aggiunta ai sospetti riguardo la presenza degli Stati dietro ai maggiori cyberattacchi e l’apertura di scuole di cyberspionaggio in alcuni Paesi, il 2018 è stato caratterizzato dall’annuncio di un embargo contro certi fornitori, sospettati di attività di spionaggio, nonché dalla presenza di backdoor nelle tecnologie straniere. Una delle aziende a farne le spese è stata Huawei. In un contesto simile, diventa facile immaginare che possano sorgere dubbi legati all’affidabilità e all’integrità dei software, soprattutto in termini di soluzioni di sicurezza. Queste ultime sono, infatti, particolarmente sensibili a causa della loro funzione di “guardiano del tempio”: mantenere il controllo sui sistemi di protezione significa avere accesso diretto a risorse protette. Per questo, la scelta del giusto partner nell’ambito della cybersecurity è cruciale per imprese e istituzioni. Diverse le posizioni prese dagli Stati in merito alle spinose vicende delle backdoor e dell’indebolimento dei meccanismi di cifratura. La Russia ha già introdotto una legge che obbliga i produttori a fornire alle autorità i mezzi per accedere alle comunicazioni cifrate. Gli Stati membri dell’alleanza “Five Eyes” desiderano imporre l’introduzione di punti deboli nelle applicazioni. L’obiettivo principale e ufficiale è quello di poter decifrare eventuali scambi di informazioni legati ad attività terroristiche, condividendo in seguito le informazioni ottenute con i servizi segreti. Fermo restando che la lotta contro il terrorismo sia un obiettivo prioritario, c’è da chiedersi quanto sia appropriato implementare backdoor, che diventerebbero uno strumento indiretto di accesso a informazioni sensibili di aziende o privati, rendendo così qualsiasi scenario plausibile: spionaggio da parte degli Stati, accesso a segreti industriali, violazione delle libertà individuali, etc. Tutti elementi non direttamente legati alla guerra contro il terrorismo, ma che potrebbero danneggiare il patrimonio di informazioni di aziende e istituzioni come dei singoli. L’uso di queste backdoor non è condiviso all’unanimità. L’Europa si oppone al loro utilizzo e raccomanda una cifratura punto-punto nelle comunicazioni, al fine di garantire la totale sicurezza. Già nel 2017, il Vicepresidente della Commissione Europea sosteneva questa posizione, sottolineando la minaccia indotta dall’apertura di porte, sfruttabili anche a fini criminali. In effetti, l’indebolimento di un sistema di protezione o di cifratura potrebbe essere scoperto e in seguito utilizzato da malintenzionati, offrendo loro una via concreta per perpetrare attacchi. Questa constatazione mostra ancora una volta che il concetto di fiducia digitale va ben oltre considerazioni puramente tecnologiche e funzionali, ma assume anche una dimensione geopolitica. Comprendere l’origine delle tecnologie digitali e, in particolare, di quelle che manipolano o proteggono i dati sensibili, costituisce un pilastro della fiducia digitale. Prima ancora di affidare le chiavi di sicurezza dei loro sistemi a un qualsiasi fornitore, le aziende dovrebbero integrare questo concetto nella loro strategia. In tal senso, è necessario un lavoro di sensibilizzazione continua in seno alle organizzazioni private e pubbliche. Peraltro, i produttori europei di soluzioni di sicurezza dovrebbero essere più trasparenti in merito alla loro posizione e adottare una linea comune. Apprezzabile in questo senso il lavoro svolto in favore della fiducia digitale su scala europea da differenti agenzie governative, come ad esempio l’ANSSI. La qualificazione dei prodotti di sicurezza dell’agenzia nazionale per la sicurezza informatica francese impone, infatti, un esame dei codici sorgente volto ad assicurare il livello di robustezza delle funzioni di protezione e l’assenza di backdoor. L’ENISA – Agenzia Europea per la sicurezza delle reti e delle informazioni – ha ricevuto recentemente il mandato di diffondere questa iniziativa in maniera più ampia nel quadro di certificazione europea. Non resta che augurarsi che ciò avvenga quanto prima. Fonte: BitMat.it
Ricatti sessuali via email in aumento: ecco come proteggersi
Nel mirino scuole e università con oltre la metà degli attacchi. Seguono i dipendenti della PA e le aziende di servizi. I tentativi di Sextortion, o ricatti sessuali via email, che consiste nel minacciare di rendere pubbliche le informazioni private di una vittima a meno che questa non paghi dei soldi all’estorsore, sono sempre più frequenti e sofisticati, tanto da riuscire ad aggirare i gateway di posta. I ricercatori di Barracuda hanno scoperto alcune allarmanti novità su questo fenomeno. In passato, i ricatti sessuali via email erano lanciati sotto forma di imponenti campagne spam, mentre ora, da quando lo scorso autunno Barracuda ha per la prima volta lanciato l’allarme su questo tipo di attacchi, le cose sono cambiate. Una recente analisi degli attacchi di spear phishing lanciati ai clienti Barracuda ha evidenziato che, in un caso su dieci, si trattava di ricatti o sextortion. Significa che i dipendenti hanno il doppio delle probabilità di essere presi di mira da una truffa di sextortion rispetto a un attacco BEC (Business Email Compromise), uno dei tipi di cyberfrode più diffusi. Di seguito, qualche dettaglio della ricerca e delle sextortion e i consigli degli esperti di Barracuda per proteggere l’azienda da queste minacce. La minaccia dei ricatti sessuali via email Sextortion: il criminale usa il nome utente e la password sottratta durante una precedente violazione per contattare la vittima e convincerla a versare somme in denaro. Il criminale afferma quindi di essere in possesso di un video compromettente, registrato sul computer della vittima e minaccia, in caso di mancato pagamento, di diffonderlo ai suoi contatti. I dettagli Nella maggior parte dei ricatti sessuali via email, i criminali usano email e password già in loro possesso per sfruttare la naturale preoccupazione della vittima di fronte a una minaccia. Spesso, per rendere il tentativo più convincente, i criminali imitano l’indirizzo email della vittima fingendo di avervi accesso. Il pagamento in genere viene richiesto in Bitcoin da versare su un wallet i cui dettagli sono inclusi nel messaggio. Le email di sextortion sono generalmente inviate a migliaia di persone per volta, all’interno di una più ampia campagna spam, per cui molte vengono fermate dai filtri antispam. Ma le email evolvono continuamente, usando, ad esempio, tattiche di social engineering per aggirare i gateway per la sicurezza della posta. Le mail di sextortion che raggiungono la casella della posta in ingresso sono quelle che vengono originate da mittenti o indirizzi IP con buona reputazione. Gli hacker usano account Gmail o Office 365 già compromessi. I ricatti sessuali via email non contengono quei link o allegati pericolosi che vengono bloccati dai sistemi di sicurezza. I criminali hanno anzi iniziato a variare e personalizzare il contenuto delle mail, rendendone ancora più difficile l’intercettazione da parte dei filtri antispam. Delle sextortion si tende a non parlare proprio a causa della natura sensibile e imbarazzante della minaccia. I team IT sono spesso inconsapevoli di questi attacchi perché gli utenti non riferiscono di avere ricevuto la mail, indipendentemente dal fatto che paghino o meno la somma richiesta. Come riconoscere le sextortion La ricerca di Barracuda rivela che, nella maggior parte dei casi, l’oggetto della mail contiene qualche forma di avviso legato alla sicurezza: più di un terzo, ad esempio, invita a cambiare la password. Spesso nell’oggetto appare l’email o la password del destinatario, per convincerlo ad aprire e leggere la mail. Ecco alcuni esempi legati alla sicurezza: name@emailaddress.com è sotto attacco, cambia la password; Il tuo account è stato violato, devi sbloccarlo; Il tuo account viene usato da un’altra persona. Di seguito, alcuni esempi con l’invito a cambiare password: Devi cambiare immediatamente la password (password), il tuo account è stato violato; Gli hacker conoscono la tua password (password), devi cambiarla immediatamente. In altri casi, nell’oggetto si fa riferimento a una richiesta di assistenza. Occasionalmente sono più diretti e usano frasi minacciose: Sei una vittima Faresti meglio a darmi retta Non ti è rimasto molto tempo Hai la possibilità di evitare problemi Questo è il mio ultimo avviso name@mailaddress.com I settori più presi di mira Secondo la ricerca di Barracuda, scuole e università sono i settori più presi di mira dai ricatti sessuali via email (più della metà degli attacchi). Seguono i dipendenti della pubblica amministrazione e, al terzo posto, le aziende di servizi. La predilezione per il mondo della scuola non è casuale. Scuole e università in genere hanno molti utenti, spesso giovani e poco informati sulle problematiche della sicurezza, che non sanno a chi rivolgersi per ricevere assistenza. Data l’assenza di formazione e di esperienza con questo tipo di minacce, gli studenti sono le vittime ideali di questi attacchi. 4 modi per proteggersi dalle sextortion Intelligenza artificiale: i criminali adottano le sextortion per aggirare gli email gateway e i filtri antispam, pertanto una buona soluzione contro lo spear phishing capace di proteggere dalle mail ricattatorie e dalle sextortion è d’obbligo. Protezione dal furto di account: molte sextortion nascono da account compromessi. Bisogna fare attenzione che gli scammer non stiano usando la vostra azienda come piattaforma per il lancio di questi attacchi. La soluzione è l’adozione di una tecnologia che usi l’intelligenza artificiale per capire quando un account è stato compromesso. Investigazioni proattive: data la natura del fenomeno, i dipendenti potrebbero non essere disposti a riferire questi attacchi. Meglio condurre regolarmente ricerche sulle mail consegnate per individuare quelle contenenti inviti a cambiare password, avvisi di sicurezza e contenuti simili. Molte di queste mail hanno origine al di fuori del Nord America e dell’Europa. Cercate di capire dove hanno origine le mail che entrano nel vostro sistema di posta, esaminate quelle sospette e agite di conseguenza. Formazione: formate gli utenti, soprattutto se avete una base di utenti ampia e diversificata, come avviene nelle scuole e nelle università. Tale formazione deve essere parte dei programmi di awareness sulla sicurezza. Insegnate allo staff come riconoscere gli attacchi, comprenderne la natura fraudolenta e a non avere paura a riferirli. Usate la simulazione, ad esempio con Barracuda PhishLine, per misurare l’efficacia della formazione e valutare gli utenti più vulnerabili ai tentativi di estorsione. Fonte: BitMat.it
GDPR: come ha cambiato il settore dell’advertising digitale?
Dalle prime voci al cambiamento di paradigma, l’accettazione della nuova normativa è passata attraverso 5 fasi. Molti, nell’ambiente dell’advertising digitale, consideravano il GDPR come una vera e propria rivoluzione normativa. A quasi nove mesi dall’introduzione di un regolamento che ha certamente cambiato il modo in cui i brand accedono, gestiscono e conservano i dati dei loro consumatori, Ari Levenfeld, Chief Privacy Officer di Sizmek, fa il punto della situazione. Mentre le aziende si sono affrettate a diventare compliant al GDPR, resta da valutare la vera portata del regolamento. Le autorità di controllo hanno infatti appena iniziato a sanzionare in maniera rilevante nell’era post-GDPR. Per questo motivo, così come tutti noi aspettiamo con il fiato sospeso per una maggiore applicazione della normativa, i marchi e gli inserzionisti continuano ad affrontare le sfide che si presentano con la complessità che il GDPR ha aggiunto a un panorama mediatico già difficile. GDPR: un cambio di modello per l’adv digitale L’essenza della pubblicità sta nel creare un collegamento con il pubblico, con i potenziali clienti. Con l’esplosione dei media online e delle piattaforme digitali, i marketer si sono trovati di fronte ad un numero infinito di modalità percorribili per raggiungere i clienti, utilizzando principalmente un piano strategico di programmatic advertising. La programmazione è guidata dall’accesso aperto e senza restrizioni ai dati degli utenti, ma con il suo arrivo il GDPR ha imposto regole che hanno interrotto questo flusso costante di dati per i marketer non solo in Europa, ma in tutto il mondo. Tuttavia, mentre da un lato molti si sono lamentati subito delle nuove restrizioni sui dati, dall’altro la normativa ha portato con sé grandi cambiamenti nell’approccio dei brand rispetto ai processi di elaborazione dei dati e un livello di trasparenza completamente nuovo, cosa che può essere considerata solo in maniera positiva per quanto riguarda il settore. Le cinque fasi delle preoccupazioni legate al GDPR È interessante notare come le preoccupazioni legate al GDPR si siano susseguite in cinque fasi e siano una rappresentazione appropriata di come il settore abbia reagito a questa nuova regolamentazione. In una prima fase, c’erano molte voci sulla reale necessità di introduzione del regolamento e un’idea diffusa che non avrebbe provocato disagi. In realtà, una ricerca di IBM dello scorso maggio aveva rilevato che solo il 36% delle imprese avrebbe rispettato la scadenza, un chiaro segnale che le imprese avevano scelto di ignorarne l’esistenza fino all’ultimo minuto. Le persone hanno così messo in discussione il suo impatto e si è arrivati molto rapidamente alle fasi due e tre: rabbia e contrattazione. La rabbia ha generalmente avuto vita breve, ma la contrattazione è stata una fase più intensa: molti brand hanno discusso esattamente ciò che il regolamento avrebbe significato per loro. Ad esempio, cosa significa “consenso” e dove risiede la responsabilità per i dati dei consumatori nella supply chain dei media. Fortunatamente, non sono stati rilevati particolari segnali di crisi all’interno del settore, ma nelle ultime due fasi si è passati attraverso un’accettazione della situazione e un cambiamento di prospettiva. Molti hanno rapidamente riconosciuto gli aspetti positivi che il GDPR avrebbe portato, dal rafforzamento delle relazioni con i clienti esistenti alla possibilità di mettere in primo piano contenuti creativi di alta qualità nelle campagne pubblicitarie. GDPR significa annunci più intelligenti e mirati Mentre ci avviciniamo all’anniversario del primo anno dall’introduzione del GDPR, si può certamente notare l’impatto che ha avuto sul panorama della pubblicità digitale: ha cambiato il modo in cui gli inserzionisti interagiscono con il pubblico e ha dato ai brand la possibilità di difendere e promuovere un processo di elaborazione dei dati molto più affidabile, sicuro e trasparente. I brand che hanno messo a disposizione le risorse e gli sforzi per stabilire una base giuridica per elaborare i dati dei loro clienti sono quelli che ne stanno raccogliendo i benefici. Una strategia di programmatic advertising efficace dipende dai dati, tuttavia, con un maggiore controllo e responsabilità su tutta la linea forniti dal GDPR, i brand stanno attingendo ai dati che contano. Questo significa che possono dipingere un quadro più accurato dei loro clienti e creare messaggi di marketing efficaci e coinvolgenti. Il futuro porterà solo più regolamenti, è necessario prepararsi ora Poiché il 2019 promette di portare solo una maggiore complessità sotto forma di regolamenti imminenti (ad esempio il Regolamento ePrivacy), e mentre tutti sono in attesa dell’esito delle azioni di applicazione della legge da parte delle autorità di regolamentazione, è fondamentale che i brand continuino a concentrarsi sul corretto approccio GDPR. Se il 2018 è stato l’anno della trasparenza, possiamo certamente aspettarci che questa attenzione nel 2019 si intensificherà ancora di più. Fonte: BitMat.it
+38% di attacchi informatici nel 2018, in crescita costante dal 2011
Il settore più colpito è la sanità, con un aumento del 99% degli attacchi rispetto al 2017. Gli esperti di Clusit hanno rilevato che, dal 2011 ad oggi, gli attacchi con impatto significativo a livello globale compongono una curva di crescita che non vede flessioni, con un picco del +38% nel 2018, anno in cui si sono registrati 1.552 attacchi gravi, con una media di 129 al mese. I dati sono contenuti nella quattordicesima edizione del Rapporto Clusit sulla sicurezza ICT[1]: l’anteprima, presentata oggi a Milano, evidenzia anche che è sempre il Cybercrime la principale causa di attacchi gravi: il 79% di questi è stato infatti compiuto allo scopo di estorcere denaro alle vittime, o di sottrarre informazioni per ricavarne denaro (+44% rispetto ai dodici mesi precedenti). Nel 2018 è stata inoltre registrata la crescita del 57% dei crimini volti ad attività di spionaggio cyber, lo spionaggio con finalità geopolitiche o di tipo industriale, a cui va anche ricondotto il furto di proprietà intellettuale. Le attività di Hacktivism e di Cyber warfare (la guerra delle informazioni) risultano invece in calo nel 2018, rispettivamente del 23% e del 10%, se paragonate all’anno precedente. Va sottolineato che, rispetto al passato, oggi risulta più difficile distinguere nettamente tra “Cyber Espionage” e “Information Warfare”: sommando gli attacchi di entrambe le categorie, nel 2018 si assiste ad un aumento del 35,6% rispetto all’anno precedente. Particolarmente significativa l’analisi dei “livelli di impatto” per ogni singolo attacco, in termini geopolitici, sociali, economici, di immagine e di costo: si osserva in generale un deciso aumento della gravità media degli attacchi rispetto al 2017. In particolare, l’80% di quelli realizzati con finalità di Espionage e oltre il 70% di quelli imputabili all’Information Warfare sono stati classificati nel 2018 di livello “critico”; le attività riconducibili al cybercrime sono state invece caratterizzate prevalentemente da un impatto di tipo “medio”. Ciò è dovuto, secondo gli esperti Clusit, alla necessità degli attaccanti di mantenere un profilo relativamente basso, per poter continuare ad agire senza attirare troppa attenzione. Cyber attacchi nel 2018: chi viene colpito e perché Negli ultimi dodici mesi la sanità ha subito l’incremento maggiore degli attacchi, pari al 99% rispetto al 2017. Nel 96% dei casi gli attacchi a questo settore hanno avuto finalità cybercriminali e di furto di dati personali. Segue il settore pubblico, con il 41% degli attacchi in più rispetto ai dodici mesi precedenti e i cosiddetti “multiple targets” – i bersagli multipli – che nel 2018 risultano anche i maggiormente colpiti, con un quinto degli attacchi globali a loro danno, dato in crescita del 37% rispetto al 2017. Queste cifre confermano che – come già constatato negli ultimi anni – non solo ormai tutti sono diventati bersagli, ma anche che gli attaccanti sono diventati sempre più aggressivi e sono in grado di condurre operazioni su scala sempre maggiore, con una logica “industriale”, che prescinde sia da vincoli territoriali che dalla tipologia delle vittime. Nel 2018 sono stati presi di mira anche i settori della ricerca e formazione, che vede un incremento del 55% degli attacchi rispetto al 2017, dei servizi online e cloud e delle banche, con l’aumento degli attacchi rispettivamente in crescita del 36% e del 33%, sempre rispetto all’anno precedente. Considerando la gravità dei singoli attacchi nei settori di riferimento, gli esperti Clusit evidenziano che la sanità e le infrastrutture critiche risultano essere i settori per i quali i rischi cyber sono cresciuti maggiormente nel 2018; pur avendo subito in assoluto un numero di attacchi maggiore, il settore pubblico e i “multiple targets” non mostrano invece peggioramenti significativi in termini di gravità. Le tecniche d’attacco È stato ancora il malware “semplice”, prodotto industrialmente e a costi sempre decrescenti il principale vettore di attacco nel 2018, in crescita del 31% rispetto al 2017; All’interno di questa categoria, i Cryptominers – pressoché inesistenti in passato – nel corso del 2018 sono arrivati a rappresentare il 14% del totale (erano il 7% nel 2017); l’utilizzo del malware per le piattaforme mobile negli ultimi dodici mesi ha rappresentato quasi il 12% del totale. Da segnalare la crescita del 57% rispetto all’anno precedente degli attacchi sferrati con tecniche di Phishing e Social Engineering su larga scala, ancora a testimonianza della logica sempre più “industriale” degli attaccanti. L’elevato incremento negli ultimi dodici mesi dell’utilizzo di tecniche sconosciute (+47%) dimostra tuttavia che i cybercriminali sono piuttosto attivi anche nella ricerca di nuove modalità di attacco. I DDoS rimangono sostanzialmente invariati rispetto al 2017, lo sfruttamento di vulnerabilità note invece è ancora in crescita (+39,4%), così come l’utilizzo di vulnerabilità “0-day”, (+66,7%), per quanto questo dato sia ricavato da un numero di incidenti noti limitato e risulti probabilmente sottostimato. Ritornano a crescere gli attacchi basati su tecniche di “Account Cracking” (+7,7%). Unico dato in calo, le SQL injection, che segnano -85,7% rispetto al 2017. Rapporto Clusit 2019: alcune considerazioni di tipo qualitativo I dati che emergono dall’anteprima del Rapporto Clusit 2019 vanno letti alla luce del “cambiamento di fase nei livelli globali di insicurezza cyber, causata dall’evoluzione rapidissima degli attori, delle modalità e delle finalità degli attacchi”, come afferma Andrea Zapparoli Manzoni, membro del Comitato Direttivo Clusit, tra gli autori del Rapporto Clusit. Ovvero, è apparso evidente nel corso degli ultimi dodici mesi il graduale trasferimento dei conflitti sul fronte “cyber” da parte dei singoli Stati, con un innalzamento continuo del livello di scontro in una superficie di attacco di fatto illimitata: secondo gli esperti Clusit la nostra società è entrata in una fase di cyber guerriglia permanente, che rischia di minacciare la nostra stessa società digitale. La rapida evoluzione delle minacce di cyber spionaggio e sabotaggio aggravano lo scenario: la cosiddetta “guerra della percezione”, che si basa sulla creazione di fake news e sulla loro amplificazione attraverso i social media, insieme alle infiltrazioni in infrastrutture critiche e ai furti di informazione per finalità geo-politiche, amplificano infatti notevolmente i livelli di rischio, consentendo ai cybercriminali di finanziarsi per poter compiere poi crimini più importanti. Ad accrescere le preoccupazioni, il paradigma dell’Intelligenza Artificiale:
Perché la fatturazione elettronica può dare impulso all’invoice trading
Un profondo cambiamento nella cultura aziendale delle PMI e la riduzione del rischio complessivo portato da un sistema più trasparente possono ampliare lo spettro dei possibili clienti La fatturazione elettronica? Potrebbe essere un boost per lo sviluppo dei marketplace dell’invoice trading. Le ragioni sono essenzialmente due. La prima e più importante è una rivoluzione culturale che porterebbe le PMI italiane a ragionare in termini di dati digitali, anziché di documenti pdf, quando si parla di fatture, e quindi a trovare un partner naturale in un portale di anticipo fatture invece che nella banca. La seconda motivazione sta nella riduzione del rischio complessivo grazie a un sistema più trasparente, efficiente e controllato: un driver rilevante che consentirebbe di migliorare il pricing delle piattaforme come Workinvoice, ampliando lo spettro dei possibili clienti. Il precedente dell’America latina: l’e-invoice ha efficientato il mercato… Approfondiremo più avanti il caso italiano. Prima, vogliamo dare uno sguardo a una parte del mondo dove, insieme all’aumento della fatturazione elettronica, è esploso letteralmente anche l’invoice trading. Un luogo che, come ha scritto l’Economist e come vuole l’opinione comune, non è indentificato come leader “né in tema di riscossione fiscale né di tecnologia”. Ma che “quando si parla della fatturazione elettronica obbligatoria… sta tracciando la strada che gli altri Paesi, dall’Ue alla Cina, potrebbero seguire”. L’obbligo di fatturazione elettronica è stato introdotto come strumento di contrasto dell’evasione fiscale dapprima in Cile nel 2003, per poi essere esteso a Messico e Brasile. E, dal 2016 vige in Argentina, dal 2018 in Perù e da quest’anno anche in Colombia. Un effetto collaterale di questa misura è stato l’efficientamento del mercato: con costi e tempi di processamento dei documenti molto ridotti rispetto alla procedura manuale, mentre migliorava anche l’esposizione al rischio di frodi. Un ecosistema funzionante nel contempo ha consentito di accorciare i tempi del factoring e i costi di ogni transazione e dunque ha reso profittevoli anche servizi per le PMI che prima erano in perdita. …e fatto nascere un ecosistema di piattaforme per l’anticipo fatture dedicate alle PMI E naturalmente le startup hanno cavalcato l’onda: ne sono sorte diverse specializzate in invoice trading, come le peruviane Trefi e Innovafunding, la cilena Facturedo, la colombiana Mesfix, l’argentina InvoiNet e la messicana E-factor Network. Un esercito pronto a far crescere il capitale circolante delle PMI locali. Mentre nella regione ogni anno l’adozione delle fatture elettroniche crescerà del 32% fino al 2024, secondo uno studio della società di consulenza svizzera Billentis, con il Messico a tirare la volata, in cui eFactor, la già citata piattaforma messicana, ha già intermediato più di 40 miliardi di Pesos di fatture (pari a circa 2 miliardi di euro). E le altre seguono a ruota. Il caso italiano Dallo scorso primo gennaio, la fattura elettronica è obbligatoria anche in Italia per i circa 2,8 milioni di imprese e professionisti. È “una misura che farà dell’Italia il Paese con la normativa più avanzata d’Europa, l’unico in cui sarà obbligatoria sia la fatturazione elettronica verso la PA sia quelle B2b e B2c”, secondo il Politecnico di Milano nell’Osservatorio su Fatturazione Elettronica & eCommerce B2b. In Europa, solo in Portogallo vige una normativa paragonabile, con la fatturazione elettronica obbligatoria per tutti – ma imposta dalla Troika nel 2013 per risanare i conti del Paese. L’Osservatorio del Polimi ha misurato anche i benefici ottenibili grazie alla novità normativa italiana. “Le imprese che adottano la fatturazione elettronica non strutturata razionalizzano spazi e processi di ricerca e trasmissione dei documenti con un risparmio compreso fra 2 e 4 euro a fattura, potendo recuperare l’investimento iniziale nell’arco di due anni. Il risparmio sale fra i 5 e i 9 euro a fattura in caso di fatturazione elettronica strutturata, a cui si aggiunge il contenimento dei costi di manodopera e il possibile incremento della produttività, con rientro dall’investimento in meno di un anno. La digitalizzazione dell’intero ciclo dell’ordine invece garantisce un ulteriore aumento di produttività del personale e una riduzione dei costi per singola fattura fra 25 e 65 euro.” Ma il potenziale potrà esprimersi a pieno solo quando le imprese “investiranno nella digitalizzazione di interi processi operativi e non solamente sulla dematerializzazione di un documento. La collaborazione che si instaurerà all’interno degli ecosistemi, sarà il vero salto in avanti del sistema impresa con livelli superiori di efficienza, di collaborazione e di tempestività informativa”, così Claudio Rorato, Direttore dell’Osservatorio Fatturazione Elettronica & eCommerce B2B. L’impatto sulle piattaforme italiane di anticipo fatture E torniamo alla nostra premessa: il cambiamento di mindset che implica l’obbligo della fatturazione elettronica dovrebbe portare naturalmente le piccole imprese italiane verso il digitale. Attualmente, per richiedere l’anticipo fatture in banca è necessario produrre un documento cartaceo, mentre per farlo su una piattaforma di invoice trading, il cartaceo deve essere trasformato in un dato – un lavoro che compiono le stesse piattaforme. Il formato xml richiesto dalla norma è invece esso stesso un dato e dunque rende possibile abbattere le ore uomo impiegate dal portale per la lavorazione di ogni pratica. Ma, soprattutto, l’azienda che deve produrre quel formato è costretta ad attuare una rivoluzione culturale: che la porta a considerare la fattura come un dato digitale, la cui gestione si inserisce perfettamente nell’ottica di una piattaforma digitale. Rischio sotto controllo, prezzi più convenienti Un secondo driver per la crescita del mercato dell’invoice trading domestico è l’abbattimento del rischio che dovrebbe concretizzarsi attraverso la digitalizzazione. Nel momento in cui l’Agenzia delle Entrate approva la fattura elettronica che gli viene inviata tramite il sistema di interscambio (SDI), restituisce una ricevuta che attesta una sorta di controllo qualità. La piattaforma di invoice trading che deve scontare la fattura, ottiene insieme ad essa anche la ricevuta: in questo modo si riduce il rischio perché la fattura giunge al desk già validata. E questo allarga il mercato, migliorando il pricing grazie a un portfolio di fatture scontate con un profilo di rischio tendenzialmente inferiore a quello attuale. Fonte: BitMat.it
Marketing e GDPR possono convivere?
Lo scorso dicembre, BitMAT ha proposto un webinar del titolo: “Il marketing sopravviverà al GDPR?”. Un tema affascinante e delicato, perché per essere conformi alle norme imposte dal regolamento europeo e, contemporaneamente, promuovere prodotti/servizi presso i propri clienti sono necessarie competenze tecniche, ma anche capacità comunicative e conoscenze normative. Da qui la scelta di mettere allo stesso tavolo, insieme ad un giornalista di BitMAT, anche un’esperta di Marketing come Donatella Ardemagni e l’ingegner Lodovico Mabini. Per attività di marketing B2B è sufficiente richiedere il consenso sul trattamento dati congiuntamente all’invio di comunicazioni di marketing occasionali (non periodiche) o sono necessari 2 flag e 2 consensi (trattamento dati + info occasionali di marketing)? Lodovico Mabini: Come hai fatto ad avere l’indirizzo email personale? Se l’indirizzo ti è stato fornito in passato a seguito di un contatto, puoi chiedere solo il consenso (e quindi devi predisporre la possibilità di cancellazione one-click). Se il dato lo hai avuto in altro modo (es. recuperandolo da un database di terzi) non potresti trattarlo. Se gli invii sono a indirizzi mail business e non personali (info) ti è sufficiente permettere la cancellazione Donatella Ardemagni: Aggiungo un aspetto legato al content marketing. Se costruiamo contenuti utili e interessanti per il lavoro e la formazione dei nostri interlocutori, non si porrà mail il problema del consenso esplicito. Come marketing dobbiamo puntare a questo più che ad un atteggiamento di tutela e timore. E’ lecito fare attività di Permission Marketing sui vecchi database al fine di ripopolare un nuovo databse con i consensi? Noi lo abbiamo fatto su piattaforme automatiche di invio, ma questo evento ha generato qualche problematica di segnalazione spam… Lodovico Mabini: Si, ha senso visto che il dato personale ti era stato fornito in precedenza. A questo punto quindi devi solo mettere l’interessato nella condizione di darti consenso per lo specifico trattamento di marketing. La disiscrizione in un passaggio con un click sulla mail marketing può essere la soluzione più pratica. Per quanto riguarda lo spam, temo che lo strumento che utilizzi non sia particolarmente “solido”. Se ti genera spam nella procedura di raccolta consensi che hai lanciato, probabile che lo crei anche quando rendi operative le newsletter Donatella Ardemagni: lo spam concordo che derivi dalla qualità della mailing list e non dal messaggio di permission a meno che il messaggio specifico non contenga qualche elemento particolare come video o animazioni, fortemente sconsigliato in questo tipo di e-mail. Il problema dello spam e della riattivazione di contatti “vecchi” o “disattenti” può essere fatto in modo assolutamente compliant con il GDPR al fine di migliorare la qualità dei contenuti inviati, ma andrebbe progettato a tavolino (ricorda il concetto di Privacy by Design) e magari supportato da uno strumento informatico come un sistema di marketing automation. Seguo un’azienda che vende prodotti industriali (quindi mercato B2B). Ha un processo come indicato da voi con obiettivi e pianificazione. Trova informazioni di aziende potenziali interessate tramite siti delle aziende o elenchi di associazioni di categoria. La responsabile contatta l’azienda e parla con un contatto aziendale, con raccolta delle info strettamente necessarie, e se c’è interesse, viene fissato appuntamento o invio di comunicazioni di prodotti industriali specifici. Serve firmare un consenso? Basta la conferma verbale? O vale il legittimo interesse. Specifico che poi la gestione dell’attività avviene con CRM e le comunicazione avvengono via newsletter con possibilità di disiscriversi Lodovico Mabini: La procedura che descrivi appare corretta, visto che prima dell’invio di materiale vi è una telefonata. Sebbene una telefonata non abbia il requisito forte di dimostrabilità, come può essere una risposta ad un mail o una firma. i un modulo, avere documentato come procedura standard la chiamata di pre-contatto è una buona cosa. Se poi venisse registrata la data in cui la telefonata è avvenuta ancora meglio. Sembra che vi sia un aspetto di “legittimo interesse” e comunque la disiscrizione con CRM è sufficientemente compliant. Donatella Ardemagni: condivido questa pratica che stiamo mettendo in atto nelle attività di profilazione e lead generation che stiamo portando avanti dopo maggio 2018. Successivamente alla telefonata, l’operatrice invia una e-mail (con dominio aziendale nel sender) in cui si riepilogano i dati raccolti nella chiacchierata, si invia un documento in pdf come ebook, white paper di approfondimento rispetto alla proposta dell’azienda e le indicazioni chiare su come modificare o cancellare i dati raccolti dall’operatrice. In questo modo è più facile avere una prova scritta del processo di contatto. Come considerare il contatto e invio comunicazioni dopo contatto tramite Linkedin dove accetto il collegamento? Lodovico Mabini: Ogni Social network è il titolare del trattamento. Chi si iscrive autorizza l’uso dei propri dati solo nell’ambito del social. Utilizzare questi dati al di fuori del social non è lecito. Il suggerimento è di postare un sito internet per stimolare i collegamenti ad uscire dal social e passare dal sito, dove l’informativa ed i consensi sono finalizzati alla raccolta del dato in qualità di titolare. Donatella Ardemagni: non avrei avuto risposta migliore da dare. Il piano di content marketing per i social dovrebbe proprio avere come fine lo stimolo per i lettori a cliccare su link che riportino fuori dal social network su landing page costruite con moduli di raccolta dati e “call to action” a compilare reali moduli per chiedere maggiori approfondimenti. Tutto questo significa aver pianificato bene una campagna secondo i requisiti del GDPR. (Privacy by Design) Dem di Auguri natalizi: confido che non sia un problema da un punto di vista GDPR . Giusto? Lodovico Mabini: Nessun problema. Donatella Ardemagni: ricordiamoci di cogliere sempre l’occasione per “comunicare”. In queste formule di invio per ringraziamenti, auguri, ecc cerchiamo di essere creativi e di pensare se sia possibile dire quel qualche cosa in più che generi interesse…. i principi del customer care valgono ancora di più in era di GDPR. Nel B2B, l’email aziendale di una persona non dovrebbe essere considerato un dato sensibile e personale, perchè tipicamente attinente al suo lavoro? Lodovico Mabini:Una mail nome.cognome@azienda è comunque un dato riconducibile ad una persona fisica. E’ da
Violazioni dei dati: chi le subisce non si è protetto adeguatamente
Per un’azienda è sempre fondamentale verificare l’accuratezza delle dichiarazioni inerenti le pratiche di sicurezza dei dati aziendali e le modalità con cui reagisce ad una compromissione. Molti degli attacchi subiti dalle organizzazioni, infatti, avvengono a causa delle non conformità rispetto al livello di sicurezza che avevano promesso. Molto importante è sviluppare e testare con regolarità un piano di incident response. La maggior parte delle problematiche in materia di sicurezza informatica, infatti, mette in discussione l’adeguatezza delle risposte delle aziende ai cyber-incidenti. Infine, indispensabile è comprendere gli obblighi relativi alle notifiche. Nelle loro cause, le autorità di regolamentazione fanno sempre più spesso riferimento a presunte mancate notifiche ai consumatori. Le autorità di regolamentazione, che sono prevalentemente avvocati dello Stato, nel passato hanno intrapreso azioni contro le società che, presumibilmente, hanno utilizzato pratiche insufficienti per la sicurezza dei dati, affermando che pertanto sono state infrante le leggi che vietano comportamenti sleali o ingannevoli, nonché quelle inerenti a specifici requisiti legali di sicurezza dei dati e le leggi in materia di gestione delle notifiche per le violazioni. Non essere efficacemente rispondenti in materia di sicurezza dei dati può comportare dei rischi non indifferenti a livello legale. “Le aziende che subiscono una compromissione o sono esposte a vulnerabilità possono essere oggetto di cause che, nella maggior parte dei casi, sono intraprese da persone – consumatori o dipendenti – i cui dati potrebbero essere stati compromessi”, aggiunge Zanoni. Le leggi e i regolamenti recentemente approvati aumentano ulteriormente la pressione legale sulle aziende che raccolgono e collezionano informazioni personali. Ad esempio, il GDPR, che fra qualche mese compirà un anno, impone obblighi in tema di misure di sicurezza e di notifica delle violazioni mentre il regolamento emanato dal Dipartimento dei servizi finanziari di New York, ha imposto stringenti requisiti di sicurezza informatica a società finanziarie e assicurative. Mentre molte organizzazioni si concentrano sull’incident response, la preparazione agli incidenti stessi è altrettanto importante. Spesso, tuttavia, le aziende non adottano le misure necessarie per permettere una considerevole riduzione dei rischi, associati a contenziosi, che spesso seguono gli annunci delle violazioni informatiche. Alcune problematiche comuni osservate sono: Mancanza di un piano di incident response o presenza di un piano troppo complicato da eseguire. Mancata verifica del piano di risposta o la non inclusione del senior management nei processi di valutazione. Trascurare il coinvolgimento di fornitori terzi in un piano di risposta. Mancanza di un piano di comunicazione. Documentazione IT limitata o imprecisa, che mostra quali misure di sicurezza informatica l’azienda ha adottato. Mancanza di piena visibilità della rete. Conclude Zanoni: “Anche con il massimo impegno, le violazioni informatiche possono verificarsi e si verificano: le azioni che le organizzazioni compiono a seguito di una compromissione potranno avere conseguenze sia nell’immediato sia a lungo termine.” L’importante per un’organizzazione è quindi ridurre al mimino le eventuali conseguenze dannose tramite alcuni accorgimenti: Consultare tempestivamente un consulente legale esperto per limitare i danni e garantire il rispetto degli obblighi normativi. Garantire che le prove forensi dell’incidente siano correttamente preservate Investigare e contenere l’incidente con l’aiuto di un consulente legale e un team di incident response Determinare se informare gli assicuratori Informare dell’incidente il Senior Management ed il CdA Determinare le tipologie delle notifiche, interne ed esterne, che sono necessarie Il presupposto che le aziende devono sempre tenere a mente è che una violazione della rete avverrà. L’importante sarà come un’organizzazione riuscirà a rispondere tempestivamente. Fonte: BitMat.it
Posta elettronica: per proteggere i dati il back up non basta
La posta elettronica, con i suoi molti dati sensibili, è a rischio ogni giorno. Le aziende sono chiamate a rispondere con soluzioni in grado di garantire sicurezza e inalterabilità del dato, sì, ma anche con soluzioni compliant con la normativa vigente, con la crittografia, con certificazione a valore legale, e-discovery, privacy management, legal hold, auditing; una lista di funzionalità tecniche che sono alla base di una operatività senza interruzioni, volta a contenere al minimo i tempi di intervento a risoluzione di problematiche di sicurezza, legate agli attacchi informatici. Le aziende sono chiamate nel 2019 a dotarsi di un approccio resiliente anche contro le minacce informatiche – afferma Maurizio Caltabiano, Sales Director di Libraesva. Se l’avvento del GDPR nel 2018 ha infatti posto da un lato le basi per la standardizzazione delle pratiche operative, dall’altro le aziende, le pubbliche amministrazioni e le organizzazioni tutte devono adottare comportamenti resilienti per resistere a cyber attacchi in costante mutazione soprattutto in ambito email. Al concetto di resilienza contribuiscono le soluzioni tecnologiche che i produttori sviluppano con vari livelli di specializzazione. Oltre all’aspetto tecnologico della cybersecurity, sono da tenere in considerazione anche quello umano e culturale. Formazione e competenze sono indispensabili per saper gestire i dati, propri o aziendali, nello scambio di informazioni, nella registrazione a piattaforme online o a newsletter, ecc. Libraesva, che si pone oggi in una posizione di leadership nel comparto della sicurezza della posta elettronica in forza della sua ventennale appliance virtuale proprietaria per l’email security, guarda al 2019 non senza preoccupazione. L’email è infatti ancora oggi il principale canale di comunicazione e i dati che vi transitano sono esposti a minacce sempre più sofisticate e variabili. A destare la preoccupazione della società italiana sono però i dati personali e sensibili veicolati da email conservate su server aziendali o nelle caselle di posta sui pc locali, sempre più bersaglio di attacchi malevoli – dichiara Rodolfo Saccani, R&D Manager di Libraesva. Gli utenti di posta elettronica sono abituati oggi da desktop così come da mobile a ricorrere a procedure di email back up per l’archiviazione delle loro comunicazioni email, per poterle ritrovare in futuro o per non perderne traccia. Dal Threat Analysis Portal messo a disposizione da Libraesva per i propri clienti aziendali, emerge chiaramente la capacità degli hacker di minare anche queste comunicazioni rendendole esse stesse veicoli di propagazione di malware ai contatti esistenti in rubrica. La soluzione di Email Archiving rilasciata da Libraesva nel gennaio 2019 nasce per proteggere le email anche dopo la consegna. L’archiviazione si distingue dal semplice back up per la garanzia di integrità, per il livello di sicurezza e protezione da accessi non autorizzati, per la storicizzazione delle comunicazioni. Questi sono concetti di livello superiore rispetto ad una “fotografia” dei dati in un determinato istante, quale è il back up. Archiviazione e back up sono dunque due concetti nonché due modalità operative distinte da un punto di vista tecnico che riteniamo opportuno spiegare agli utenti – precisa Caltabiano. Con una soluzione stand-alone quale è l’Email Archiver Libraesva appena messa sul mercato, le email vengono conservate in un ambiente del tutto epurato ed epurabile dagli attacchi informatici, in quanto sviluppato con le più recenti tecnologie di sicurezza capaci di proteggere oltre ai dati collocati in server fisici, anche quelli riposti in ambienti cloud, bersagli anch’essi delle ultime forme di attacco dei malintenzionati hacker. La sicurezza che eroghiamo in favore di clienti ed utilizzatori interessa le email in ogni loro forma e misura – tiene a precisare Saccani che è a capo dello sviluppo tecnico della soluzione di Email Archiving – operando sulla base di standard aperti e tecnologie a prova di futuro, il prodotto è integrabile all’interno di ambienti IT preesistenti senza vincoli di sorta. Questi sono i presupposti alla base della presentazione sul mercato di una soluzione definita di Next Generation per l’archiviazione sicura delle email, che offre in maniera integrata tre funzionalità fondamentali per l’archiviazione semplice e sicura della posta: quella di Email Archiving, quella di Email Compliancy e, infine, quella di Email Discovery per una ricerca tempestiva e senza limiti spazio-temporali. La sua ragion d’essere – spiega in conclusione Caltabiano – è rendere disponibile a qualsiasi dimensione aziendale o istituzionale uno strumento in grado di collocare i dati trasmessi via email (siano essi parti di newsletter, comunicazioni tra colleghi, segnalazioni dai propri dispositivi connessi tramite sensori, etc) in un ambiente di archiviazione sempre accessibile, ma ancor più sempre posto sotto ai riflettori della massima sicurezza. La soluzione risponde ad una esigenza forte in termini di sicurezza che nasce in primis dal mercato, andando a colmare uno spazio esposto alle mire dei malintenzionati. Ci sono voluti tre anni di studio e lavoro per giungere oggi a consentire alle aziende Partner di Libraesva, così come ai vendor e reseller del brand in Italia (ndr Arrow ECS, Newtech Security e Ready Informatica), e ovviamente ai clienti finali, di dotarsi di un prodotto certificato e completo per un controllo delle email anche dove queste vengono archiviate e, soprattutto, tramite una soluzione indipendente dalla tecnologia e dai sistemi di IT security già in adozione. Caltabiano, che per primo nella sua quotidiana attività di collaborazione con le aziende e con i Partner ha una visione chiara delle esigenze del mercato interpretato da più angolazioni, tiene a precisare un ulteriore pregio del Libraesva Email Archiver: è una soluzione progettata e realizzata in Italia da una società che respira sicurezza&tecnologia da oltre un ventennio con risultati e riconoscimenti importanti – tra cui differenti premi su scala internazionale – a porsi a garanzia di qualità e affidabilità per i clienti e gli utenti finali. Fonte: BitMat.it
Perché il cybersecurity manager è la professione del millennio
Ogni azienda ha come obiettivo la tutela del suo patrimonio: per questo si sono sviluppate nuove figure professionali: il Security Manager e il Cybersecurity Manager. Il concetto di Sicurezza ha avuto un’evoluzione rilevante negli ultimi anni, soprattutto nella percezione da parte dei cittadini e dei lavoratori. Da un semplice elenco di veti e proibizioni è evoluto verso l’idea di un insieme di risorse e strumenti tesi a garantire la qualità della vita e la stabilità del lavoro. La domanda di Sicurezza cresce, infatti, con la presenza di qualcosa alla quale teniamo in modo particolare o di qualcuno al quale siamo particolarmente affezionati. Questo cambiamento è ben sintetizzato dalla norma UNI 10459 del sistema UNI ISO 9000-1 (Norma di gestione della qualità e di assicurazione della qualità), che definisce la Sicurezza aziendale come: “Studio, sviluppo e attuazione delle strategie, delle politiche e dei piani operativi volti a prevenire, fronteggiare e superare eventi in prevalenza di natura dolosa e/o colposa che possono danneggiare le risorse materiali, immateriali, organizzative e umane di cui l’azienda dispone o di cui necessita per garantirsi un’adeguata capacità concorrenziale nel breve, nel medio e nel lungo termine”. Quindi, accanto alla gestione delle variabili competitive tradizionali, l’azienda, sia essa industriale, bancaria, commerciale, finanziaria o altro, ha come obiettivo la tutela del suo patrimonio, inteso nell’accezione più vasta del termine (risorse materiali, immateriali e umane), che si pone alla base dei processi di creazione del valore aziendale, assicurando il mantenimento della capacità reddituale nel tempo. In particolare, è fuor di dubbio che nell’attuale ambiente lavorativo l’informazione abbia un’importanza di primo piano, secondo solo al patrimonio delle risorse umane, da cui la necessità di proteggerne la riservatezza (prevenzione contro l’accesso non autorizzato alle informazioni), l’integrità (inalterabilità delle informazioni da incidenti o abusi) e la disponibilità (protezione da interruzioni impreviste). Per tale obiettivo si sono sviluppate nuove figure professionali, quali quella del Security Manager e del Cybersecurity Manager. L’attività del Security Manager, posizione di elevato livello in azienda, si articola in varie filiere, ciascuna delle quali deve avere una sua specifica identità, ma che vanno viste in modo integrato perché ognuna supporta e integra l’altra, come i lati di un poligono, ognuno dei quali ha una sua posizione e dimensione, ma tutti contribuiscono a formare un unum. La seconda figura, più operativa rispetto alla prima, è oggetto di una ricerca crescente. L’aumento dell’esposizione al rischio informatico (violazione o compromissione della sicurezza dei dati, distruzione o perdita anche accidentale dei dati, accesso non autorizzato ai dati, trattamento non consentito o non conforme alle finalità) ha infatti indotto le aziende a un notevole investimento per tutelare le informazioni residenti nei sistemi informatici. La Sicurezza informatica è di vitale importanza per sfruttare al meglio le opportunità della trasformazione digitale e le aziende sono alla ricerca di personale qualificato. Il 24% dei Security Manager delle aziende italiane, interpellati da Cisco in una recente ricerca, sostengono che la difficoltà nel trovare queste competenze è il più grande ostacolo che incontrano. Si stima che entro il 2022 in Europa mancheranno trecentocinquantamila esperti di Cyber Security. ANSSAIF[1] (Associazione Nazionale di Specialisti di Sicurezza in Aziende di Intermediazione Finanziaria), in linea con gli obiettivi di continua attenzione alla Sicurezza e ai giovani, in collaborazione con ELIS[2] (Educazione Lavoro Istruzione Sport) ha avviato un percorso formativo per aiutare i giovani ad acquisire conoscenze sulla Cyber Security e assistere i più meritevoli nell’avvicinamento al mondo del lavoro. ELIS, che da oltre cinquant’anni si occupa di formare i giovani al lavoro, tramite il programma Cisco Networking Academy offre la possibilità di accedere gratuitamente a corsi sull’Information Technology e sulla Cyber Security, fruibili completamente online. Il percorso parte con un modulo assolutamente introduttivo, prosegue con l’analizzare le tendenze del mondo informatico per capire come proteggere i dati personali e la privacy online e sui social media e arriva a trattare le competenze necessarie per tutti i domini di Cyber Security (Sicurezza delle informazioni, dei sistemi e della rete, etica e tecniche di difesa e mitigazione per la protezione delle imprese). Ogni corso si conclude con un test di autovalutazione. L’obiettivo del progetto è di formare i giovani con età inferiore a 36 anni, senza occupazione o sottoccupati, che desiderano acquisire competenze di base nel mondo della Cyber Security, indipendentemente dalla città di residenza e dal titolo di studio. Successivamente i più meritevoli saranno assistiti nel contattare aziende potenzialmente interessate. Vale la pena ricordare come la Sicurezza in azienda non sia solo un dovere o un compito di alcune figure professionali, ma un obiettivo di tutti i lavoratori, a prescindere dal ruolo e dal livello gerarchico, che attraverso un serio processo formativo devono essere messi in condizione di acquisire comportamenti consapevoli in materia, fondamentali per acquisire e mantenere questo patrimonio e vantaggio competitivo. Ci sembra opportuno riprendere quanto detto all’inizio, a proposito della trasformazione della Sicurezza da imposizione a strumento. Se questo è valido per ogni lavoratore, lo è a maggior ragione per i manager delle aziende e degli enti. Se i primi hanno a che fare con leggi e regole, e non è poco, i secondi hanno anche l’onere di interpretarle e di adattarle al loro contesto specifico e di fare i conti con il valore (costo/beneficio) della Sicurezza rispetto ai mercati di crescente competitività. Fonte: Key4Biz.it
Tempi di invio della fattura elettronica, mancata consegna, copia di cortesia: le risposte ai principali problemi
L’irruzione dell’obbligo di fatturazione elettronica nelle vite di imprese e partite IVA ha portato insicurezze quotidiane sulla correttezza delle pratiche da svolgere per essere in regola. Per lenire il timore di sbagliare, ecco qualche caso pratico e suggerimento di esperti commercialisti Quali sono i tempi di consegna allo Sdi oltre la data fattura, che fare con la copia di cortesia, se c’è un esito di fattura non consegnata… Con l’avvento della fatturazione elettronica – l’F-Day, possiamo chiamarlo – il piano delle conversazioni si è drammaticamente spostato dalla teoria alla pratica. Noi commercialisti siamo sommersi quindi da domande come quelle lì (tra le più comuni). Tutte nel tenore di «come mi comporto, cosa succede se?». Nel tentativo di fornire qualche indicazione sui casi più frequenti riscontrati in questa prima fase di avvio, nel seguito si fornisce un contributo di taglio prettamente pratico per cercare di aiutare coloro che si stanno cimentando nelle operazioni di fatturazione elettronica ed hanno già cominciato ad emettere e ricevere fatture tramite il sistema di interscambio. Naturalmente senza alcuna pretesa di esaustività circa le casistiche che, solo con l’esperienza pratica, potranno emergere. Cosa fare quando una fattura risulta “non consegnata”? Nel caso di fattura B2B è necessario contattare il cliente ed informarlo di quanto avvenuto. Potrebbe, ad esempio, essere usato un messaggio del seguente tenore: «Gentile cliente, la informiamo che la fattura n. XX del GG/MM/AA (di cui trova pdf di cortesia in allegato) è stata emessa ed inoltrata al Sistema di Interscambio. Tuttavia il nostro sistema di emissione ci segnala che, pur essendo la fattura correttamente emessa ed elaborata, il Sistema di Interscambio non è stato in grado di consegnare la fattura; di conseguenza dovrà riceverla direttamente dalla sua area riservata sul portale Fatture e Corrispettivi dell’Agenzia delle Entrate, come espressamente indicato nel provvedimento dell’Agenzia delle Entrate n. 89757 del 30/04/2018 al paragrafo 3.3 e successivi». Se si è emessa una fattura a un consumatore privato senza partita IVA (B2C) e la fattura risulta correttamente trasmessa ma “non consegnata”, non bisogna far nulla. Nel B2C (ma lo stesso discorso può essere fatto per fatture emesse a soggetti esonerati quali minimi e forfettari) l’Agenzia delle Entrate ha precisato che si consegna copia analogica (carta, pdf, etc) e si procede all’invio di fattura elettronica utilizzando il codice destinatario convenzionale “0000000”, che si limita a inoltrare al SdI senza inoltrare la fattura ad alcuna PEC o canale di destinazione. L’esito di fattura “non consegnata” indica appunto una fattura correttamente elaborata dal Sistema di Interscambio (ma non, ovviamente, ad un destinatario finale) e non necessita di ulteriore lavoro. Lo stesso vale se risulta trasmessa ma non consegnata una fattura emessa a un ente non commerciale/condominio/società semplice senza partita IVA (B2C). Anche in questi casi l’Agenzia delle Entrate ha precisato che si consegna copia analogica (carta, pdf, etc) e si procede all’invio di fattura elettronica utilizzando il codice destinatario convenzionale “0000000”, che si limita a inoltrare al SdI senza inoltrare la fattura ad alcuna PEC o canale di destinazione. L’esito di fattura “non consegnata” indica appunto una fattura correttamente elaborata dal Sistema di Interscambio (ma non, ovviamente, ad un destinatario finale) e non necessita di ulteriore lavoro. Cos’è la “copia di cortesia” di una fattura e si è obbligati a inviarla al cliente? Dal 1 gennaio 2019 si identifica quale copia di cortesia di una fattura qualunque documento contenente gli elementi minimi obbligatori previsti dall’articolo 21, comma 2, Dpr 633/1972 prodotto in formato analogico o cartaceo. Tale documento non è valido a fini fiscali né per l’emittente né per il ricevente, a nulla rilevando di averlo inviato allo SdI quale allegato della fattura xml. Sarà pertanto opportuno inserire un’indicazione del tipo: «Copia di cortesia non valida ai fini fiscali. L’originale della fattura è stato inviato allo SdI ed è consultabile all’interno dell’Area Riservata del sito dell’Agenzia delle Entrate». La copia di cortesia non è obbligatoria nel B2B. E’ lo Sdi che consegna al mio cliente e il soggetto emittente se vuole invia al proprio cliente una copia di cortesia ma non è obbligato. Solo nel caso in cui i clienti siano privati (B2C, consumatori senza partita Iva ma dotati di solo codice fiscale) o soggetti esteri, siamo obbligati a inviare una copia della fattura inviata allo Sdi anche al mio cliente che, altrimenti non ha modo di riceverla. Infatti in questi casi la fattura da me emessa risulta consegnata allo sdi che però mi segnala l’impossibilità di recapito al cliente. Anche in questo caso, però, per l’emittente, la copia della fattura consegnata non ha alcun valore fiscale. Infatti nel caso in cui un controllo documentale rilevi la difformità tra l’esemplare consegnato al cliente e il file xml inviato allo SdI, sarà quest’ultimo ad essere considerato valido, a meno che il ricevente possa produrre prova contraria producendo, per esempio, copia del pagamento eseguito. Fattura elettronica duplicata Già nel 2018 avevo registrato il mio codice destinatario presso l’ADE, a fine dicembre ho fatto acquisti presso un punto vendita della GdO chiedendo la fattura che mi è stata immediatamente consegnata in formato cartaceo e che ho provveduto a registrare in contabilità. Con sorpresa, il 02 gennaio 2019 ricevo la fattura elettronica per lo stesso acquisto. Cosa devo fare? Trattandosi di operazione effettuata prima dell’inizio dell’obbligo, con fattura cartacea immediata validamente emessa e consegnata, senza una esplicita accettazione della fattura elettronica in quanto tale da parte del destinatario, si ritiene che la registrazione effettuata in contabilità nel 2018 non debba essere modificata. E-fattura senza importo totale Ho ricevuto una fattura elettronica priva di Importo totale, è corretta? L’importo complessivo non è un elemento prescritto dall’art. 21 del DPR 633/72. La fattura è corretta e valida. Certo, per pagarla sarà necessario armarsi di calcolatrice e fare le somme. Conservazione notifiche e metadati Devo conservare a norma le sole fatture elettroniche emesse e ricevute o anche le notifiche di esito e i file dei metadati di trasmissione? È necessario conservare non solo le fatture, ma anche le informazioni che accertano il transito attraverso il Sistema di Interscambio. Per fare ciò è possibile conservare notifiche di esito (per le FE emesse) e file dei metadati di trasmissione (per le fatture ricevute). In alternativa, è possibile indicare i dati di trasmissione (es. l’identificativo univoco idFile) all’interno dei metadati di conservazione. Ricordiamo infatti che l’obbligo di fatturazione elettronica riguarda non solo il formato del file (XML formato fattura PA), ma anche la consegna dello stesso attraverso