Computer Security Day: gli esperti fanno il punto sulla cybersecurity
Il Computer Security Day, evento non ufficiale volto a sensibilizzare l’opinione pubblica sui rischi che i cyberattacchi possono causare ai computer e ai dispositivi di cittadini, aziende e istituzioni, Si è svolto lo scorso 30 novembre. Da quando è stato celebrato per la prima volta nel 1988, su iniziativa della Association for Computing Machinery (ACM), un considerevole numero di innovazioni tecnologiche ha rivoluzionato il modo in cui le aziende fanno affari e interagiscono sia con le altre imprese che con i loro clienti. Con i suoi 28 anni di esperienza, anche Panda Security ha assistito e partecipato a queste svolte, dalla nascita del World Wide Web e la divulgazione della posta elettronica, al boom dell’Internet of Things fino agli ultimi sviluppi dell’Intelligenza Artificiale. Tuttavia, parallelamente a questi sviluppi tecnologici, sono emerse anche nuove minacce che hanno messo a rischio molte aziende, indipendentemente dalle loro dimensioni o dal settore di appartenenza. È proprio per questo motivo che Panda Security ritiene fondamentale che le aziende possano beneficiare di consulenze e best practice fornite dai principali esperti di sicurezza informatica. In quest’ottica, è stato redatto eBook: “2018 in Cybersecurity”, che raccoglie le testimonianze di 11 specialisti del settore. Cosa ne pensano gli esperti? Le principali sfide della cybersecurity che hanno lasciato il segno quest’annoIl 2018 è stato caratterizzato da numerose sfide che hanno messo alla prova la cybersecurity di numerose aziende; questo è stato infatti il principale tema affrontato dagli esperti intervistati. A causa degli effetti prodotti sul modo in cui le aziende proteggono i dati dei clienti e degli utenti, uno degli episodi più importanti dell’anno è stato l’attuazione definitiva del GDPR. Per questo motivo, nell’eBook sono presenti le raccomandazioni degli esperti su come migliorare la protezione dei dati. Tuttavia, gli esperti sottolineano che l’investimento di un’azienda nella sicurezza deve essere strategico e non solo per conformità al GDPR. Nell’eBook, “The Experts Talk”, si possono trovare diversi consigli su come rendere la cybersecurity un elemento fondamentale di un’azienda. Il ruolo svolto dalle istituzioni pubbliche in materia di cybersecurityPanda Security attribuisce un ruolo importante alle istituzioni pubbliche che operano nell’ambito della cybersecurity. Nell’eBook sono riportate analisi di diverse istituzioni internazionali, tra cui il Centro Criptológico Nacional spagnolo (CCN-CERT – Centro Nazionale di Crittologia) e il Lawrence Berkeley National Laboratory. Gli esperti della sfera pubblica sottolineano quanto un’adeguata collaborazione tra pubblico e privato sia fondamentale e che la cybersecurity rappresenti una priorità della sicurezza nazionale per gli Stati, dato che può influenzare le loro infrastrutture critiche, i servizi e le loro operazioni. I più formidabili cyberattacchiGli esperti del settore privato sottolineano che i cyberattacchi siano sempre più redditizi per i criminali informatici. Per chiarire questo punto, hanno fornito una panoramica relativa ai più noti attacchi ransomware ribadendo come stia diventando sempre più semplice noleggiare bot malevoli. Oltre a questi, esistono attacchi meno noti, ma non per questo meno complessi o efficienti, come il cryptojacking. Gli esperti di Panda Security spiegano nel dettaglio come funzionano e, soprattutto, cosa si può fare per combatterli. Gli strumenti per prevenire i cyberattacchi Infine, il punto su cui tutti gli esperti concordano è quanto sia importante la prevenzione quando si tratta di sicurezza informatica. Le aziende devono sempre avere a disposizione una soluzione avanzata di cybersecurity. Ma è anche importante considerare che la prevenzione rappresenta il 90% della lotta contro il cybercrime, mentre la reazione solo il 10%. In “The Experts Talk”, i leader del settore approfondiscono diversi processi essenziali, che ogni azienda deve portare a termine per anticipare i cybercriminali: simulazioni di phishing per i dipendenti, programmi Bug Bounty e pen-test sono solo alcuni dei metodi raccomandati. Fonte: BitMat.it
PMI e sicurezza: i dipendenti non riconoscono i comportamenti a rischio
Secondo i risultati di una recente indagine di BSA | The Software Alliance, le competenze e le abitudini in tema di sicurezza informatica dei dipendenti delle PMI italiane rilevano una situazione preoccupante. I dipendenti delle PMI nostrane, infatti, non riconoscono i comportamenti che possono comportare dei rischi per la sicurezza informatica e non comprendono le proprie responsabilità. I dipendenti non sanno, infatti, riconoscere i rischi quotidiani legati alle tecnologie utilizzate per lavoro. Ad esempio, la maggior parte (70%) non pensa che utilizzare un dispositivo non autorizzato (come una USB) possa rappresentare una minaccia, mentre il 60% non crede che installare un’applicazione senza i diritti di amministratore costituisca un rischio. Infine, un preoccupante 64% non ritiene che scaricare musica o film illegalmente possa mettere in pericolo l’azienda. La scarsa attenzione alla sicurezza informatica e ai comportamenti pericolosi online costituisce un rischio ancora maggiore nel periodo che precede le feste, quando i dipendenti sono maggiormente portati a utilizzare i device aziendali per ragioni personali, come l’acquisto dei regali: il 29% degli intervistati ha infatti ammesso di utilizzare i dispositivi business per scopi personali. La comodità batte l’accountability Gli intervistati hanno dichiarato che le principali ragioni per aver condotto attività non sicure sono il risparmio di tempo (33%) e la comodità (32%). È inoltre emerso che solo il 44% si sentirebbe responsabile di una violazione di sicurezza causata dal proprio comportamento. Secondo i risultati dell’indagine, i dipendenti sembrano esporsi deliberatamente alle cyber minacce. Infatti, solo il 32% installa solamente applicazioni in linea con la policy di sicurezza e meno della metà aggiorna i software sui propri dispositivi aziendali (42%). Inoltre, il 57% dei dipendenti cercherebbe di ottenere i tool (app, dati o accessi) di cui ha bisogno per essere più produttivo senza il permesso dell’IT, dato che evidenzia la necessità di maggiore formazione e governance per assicurarsi che le misure di resilienza siano efficaci nelle organizzazioni. Una falsa sensazione di sicurezza I risultati dell’indagine suggeriscono che i dipendenti sottovalutino l’entità delle minacce per la propria azienda. La maggior parte degli intervistati crede, generalmente, che le misure di cyber resilienza applicate dalla propria organizzazione siano efficaci (85%) e che l’azienda si sia adattata abbastanza velocemente per affrontare le minacce informatiche in costante evoluzione (78%). Tuttavia, le risposte alla domanda sulle specifiche misure implementate dalla propria organizzazione per affrontare le cyber minacce sono meno notevoli: Solo il 19% ha ricevuto training di sicurezza informatica dedicati Solo il 25% ha notato policy più severe di sicurezza o utilizzo (relativamente all’accesso ai servizi) Solo il 18% dei dipendenti ha ricevuto linee guida sulle best practice Ciò comporta un’ulteriore carenza di consapevolezza nelle PMI italiane: meno della metà dei dipendenti (43%) sa se la propria organizzazione sia stata vittima di un attacco informatico o abbia subito una violazione o un furto di dati. È necessario passare all’azione “I risultati dell’indagine hanno rivelato l’importanza per le PMI di dedicare maggiore impegno alla formazione dei propri dipendenti in merito alla sicurezza informatica”, ha commentato Paolo Valcher, Chairman di BSA Italia. “Assistiamo a una vera ribellione alla cyber resilienza, con un numero allarmante di dipendenti che non sa riconoscere le attività ad alto rischio, non si sente responsabile delle proprie azioni e non si fa scrupoli a bypassare i responsabili IT.” “Le organizzazioni devono prendere in mano la situazione: più formazione e maggiore consapevolezza. Anche insegnamenti basilari come l’utilizzo adeguato delle password e una buona gestione dei software possono rivelarsi fondamentali. La maggior parte delle violazioni di sicurezza è dovuta all’errore umano ma i dipendenti delle PMI non hanno ancora compreso che ciascuno è responsabile della protezione dell’azienda per cui lavora”. Fonte: BitMat.it
E-fattura, sì al registro digitale per le deleghe agli intermediari
Flessibilità per gli intermediari sulle modalità di tenuta del registro delle deleghe. Si possono registrare con data 5 novembre (data di approvazione dei nuovi modelli) i moduli acquisiti in precedenza e non ancora presentati, con un’annotazione specifica a riguardo. Gli operatori Iva dovranno considerare il condominio alla stregua di un soggetto privato e, quindi, dal 2019 emettere fattura elettronica attraverso il Sistema di interscambio (Sdi). In pratica, bisognerà riportare il codice fiscale del condominio nel campo del cessionario/committente, indicare il codice convenzionale con sette «zero» nel campo codice destinatario e consegnare una copia della fattura trasmessa – in formato analogico o digitale – al condominio, indicando che si tratta di una copia e che il documento fiscalmente valido sarà esclusivamente quello disponibile nell’area riservata del sito dell’Agenzia. Più in generale, poi, l’obbligo di consegnare ai consumatori finali la copia della fattura elettronica emessa dovrà sempre avvenire, salvo che il cliente non rinunci ad averla. Rinuncia che «potrà più facilmente avvenire se l’operatore Iva ricorderà al cliente» che l’e-fattura potrà essere consultata in un’area riservata del sito delle Entrate all’interno di una sezione specifica «accanto a quella della precompilata». E, comunque, consumatori finali persone fisiche, operatori nel regime dei minimi o forfettario, condomini ed enti non commerciali potranno «sempre decidere di ricevere le fatture elettroniche emesse dai loro fornitori comunicando a questi ultimi, ad esempio, un indirizzo Pec». Sono alcuni dei chiarimenti – oltre a quelli indicati nelle pagine successive su cui spicca la necessità di “aspettare” la fattura elettronica per procedere alla detrazione Iva sugli acquisti – forniti dall’agenzia delle Entrate nel corso del videoforum online sull’e-fattura organizzato dal Sole 24 Ore. Tornando, però, alle risposte delle Entrate, soprattutto alla luce del via libera della scorsa settimana sull’invio massivo, la sottolineatura che il registro delle deleghe ricevute dai clienti «può essere tenuto con qualsiasi modalità, anche in formato elettronico (in forma tabellare o foglio elettronico), e richiede la compilazione dei campi previsti nel provvedimento». Sempre sulla gestione “massiva” per i clienti, Agenzia e Sogei sono al lavoro per consentire entro fine anno agli intermediari l’upload «cumulativo» degli indirizzi telematici dei clienti da cui sono stati delegati e il download (in questo caso sono interessati anche gli operatori Iva) massivo delle e-fatture. Infine, le Entrate hanno chiarito che «per le fatture ricevute da un soggetto passivo Iva che rientra nel regime forfettario o di vantaggio a partire dal 1° gennaio 2019 non sussisterà più l’obbligo di comunicazione “spesometro”»: l’adempimento sarà, infatti, abrogato dal prossimo anno. PER SAPERNE DI PIU’/ TUTTE LE DOMANDE E RISPOSTE SULLA FATTURA ELETTRONICA Fonte: IlSole24ore.it
Il responsabile dei dati? Meglio un esterno
L’approvazione da parte dell’Unione europea della nuova Normativa sulla Privacy 2016/679, più comunemente definita GDPR, ha generato non poca confusione. Questo perché il nuovo testo non sostituisce completamente il vecchio codice sulla privacy, ma piuttosto introduce numerose modifiche e nuove regole per le organizzazioni che detengono e trattano dati di persone fisiche residenti nei Paesi dell’Unione. Motivo per cui da maggio 2018 le caselle di posta elettronica dei cittadini comunitari sono state invase da messaggi informativi sull’aggiornamento della normativa. La confusione che si è creata ha riguardato soprattutto la figura del Responsabile della protezione dei dati, ovvero il DPO (Data protection officer). Il DPO è una figura prevista dall’art. 37 del Regolamento (UE) 2016/679. Si tratta del soggetto designato dal titolare o dal responsabile del trattamento dati che ha il compito di assolvere a funzioni di supporto e controllo, consultive, formative e informative relativamente all’applicazione del Regolamento stesso. Il DPO coopera con l’Autorità e per questo il suo nominativo va comunicato al Garante e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali (artt. 38 e 39 del Regolamento). Il DPO deve poter offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, coadiuvando il Titolare nell’adozione di un complesso di misure (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare. Deve agire in piena indipendenza e autonomia e riferire direttamente ai vertici. Alla designazione del DPO sono tenuti il Titolare e il Responsabile del trattamento nei casi che rientrano nella previsione di cui all’art. 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679: si tratta di soggetti le cui principali attività consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala o in trattamenti su larga scala di categorie particolari di dati personali o di dati relativi a condanne penali e a reati. A titolo esemplificativo e non esaustivo sono state individuate la categorie di soggetti certamente tenuti alla nomina del DPO: istituti di credito, società finanziarie, di informazione creditizia e commerciale, società di recupero crediti, partiti politici, sindacati, società del campo delle utilities (distribuzione energia elettrica, gas, telecomunicazioni), della somministrazione del lavoro e della ricerca del personale, società che forniscono servizi informatici, che operano nel settore della cura della salute, etc. Per alcune categorie la designazione di un DPO non è obbligatoria: sono esclusi a titolo esemplificativo i liberi professionisti operanti in forma individuale, le imprese individuali o familiari, e le piccole e medie imprese con riferimento ai trattamenti dei dati di fornitori e dipendenti. Nonostante questo, è comunque utile procedere alla designazione su base volontaria, come precisato anche dal Garante. Il DPO dovrà operare in base a un contratto di servizi e tendenzialmente si tratta di una figura professionale esterna alla struttura del Titolare, tuttavia il ruolo può essere ricoperto anche da un dipendente del titolare o del responsabile (non in conflitto di interessi), mediante specifico atto di designazione, anche se quest’ultima pare essere soluzione incapace di soddisfare completamente i criteri di autonomia ed indipendenza. (*responsabile “privacy” studio Martinez&Novebaci) Fonte: ilSole24Ore
GDPR in italia: opportunità o obbligo?
GDPR in italia: opportunità o obbligo? Sei mesi fa entrava in vigore il Regolamento Generale sulla Protezione dei Dati, ampiamente considerato come il più grande cambiamento nel panorama della protezione dei dati avvenuto in Europa da oltre 20 anni, e che si inserisce in uno scenario odierno di profonda trasformazione, che vede l’economia delle applicazioni in piena espansione. Tra dubbi e perplessità legate alla complessità della disciplina e all’adeguamento nazionale, giunto a compimento dopo il lungo iter legislativo del decreto di armonizzazione il 19 settembre scorso, le aziende italiane pubbliche e private si sono mosse rapidamente per soddisfarne i requisiti e non rischiare di incorrere in sanzioni. Perché Il GDPR è un processo continuo Per le imprese e i professionisti che sono chiamati ad applicare in tutte le fasi del trattamento dei dati il principio della accountability (responsabilizzazione), adeguarsi al GDPR significa ottemperare a numerosi obblighi attraverso l’attuazione di precise attività. La difficoltà maggiore, infatti, è che non basta “mettere una crocetta” sul GDPR, l’adeguamento è un percorso complesso, che ha avuto un avvio e ora procede con rapidità ma senza mai terminare del tutto. Molti pensavano che la designazione del responsabile esterno fosse di per sé sufficiente, che quindi bastasse designare tutte le società che trattavano i dati mandando loro le lettere di incarico per essere conformi. Decisamente non è così, perché garantire la compliance al GDPR implica attivare verifiche continue e promuovere audit costanti. GDPR onere o opportunità La scelta migliore per le organizzazioni è adottare un approccio basato sul rischio e implementare fin da subito solidi controlli per proteggere le informazioni personali e sensibili ed evitare pesanti sanzioni pecuniarie. Se in una prima fase le aziende hanno percepito gli oneri legati all’adeguamento alla normativa e i rischi dovuti alla non ottemperanza, il tempo aumenterà la loro consapevolezza di come questo regolamento rappresenti una leva positiva, perché servirà a tutti per comprendere l’importanza di prestare maggiore attenzione al bene più importante delle aziende: i dati. Il GDPR è un impegno consistente per le aziende, perché devono continuare a essere conformi a una legislazione che verrà progressivamente complicata dalla crescente influenza delle tecnologie, come il cloud computing o l’Internet of Things, ma riuscire a differenziarsi grazie a best practice migliori e all’offerta di servizi percepiti come sicuri e affidabili dai consumatori rappresenterà sempre più un’opportunità di crescita concreta. I consumatori attenti alla tecnologia vorranno essere associati solo ai gestori di dati più affidabili, daranno fiducia e intraprenderanno relazioni più solide con i clienti e apriranno la strada all’introduzione di nuovi servizi innovativi. Ma il GDPR non sarà sufficiente Il GDPR è un regolamento fondamentale per garantire un terreno di gioco comune a livello globale, al centro del quale oggi troviamo la gestione dei dati. Anche se abbiamo a che fare con la normativa più completa e vasta mai pensata fino ad oggi, in uno studio recentemente realizzato da F5 Network (The Future of Multi-Cloud) emerge chiaramente come nel lungo termine questa regolamentazione si rivelerà insufficiente e come, entro cinque anni, sarà necessario adottare uno standard globale per la protezione dei dati. La complessità legislativa in un mondo digitale senza confini rappresenta, infatti, una delle maggiori sfide che i governi di tutto il mondo si trovano ad affrontare e richiederà una forte e rapida azione collaborativa tra aziende e governi. Anche dal punto dell’evoluzione dell’attuale GDPR dovremo aspettarci cambiamenti, perché, se è vero che da una parte le tecnologie del futuro, come l’Intelligenza Artificiale o il Machine Learning, dovranno evolversi in uno scenario di tutela dei diritti dei dati dei cittadini che non ha precedenti, è anche vero che il GDPR, per definizione, dovrà continuare a introdurre regole di gioco “tecnologicamente neutrali” e indipendenti da come l’ambiente digitale potrà svilupparsi in futuro. Fonte: CMIMagazine.it
GDPR: quale impatto sul business del Big Data?
Applicato a partire dal 25 maggio 2018, il GDPR (General Data Protection Regulation) ha introdotto regole molto severe riguardanti le modalità di acquisizione e trattamento dei dati personali. Una normativa di questo tenore non può non aver influenzato il business che ruota intorno alla gestione del Big Data, ma quale è stato il suo reale impatto? PoliMi ha provato a rispondere a questa domanda tramite i dati raccolti dall’Osservatorio Big Data Analytics & Business Intelligence, scoprendo che il GDPR avrebbe avuto un ruolo importante sia nel modificare le procedure per la conservazione delle informazioni (nel 62% dei casi) che nell’introduzione di nuove modalità per l’accesso ad esse (55%). Appena il 24% delle aziende intervistate avrebbe investito in nuove tecnologie per la conformità al GDPR, mentre il 43% avrebbe deciso di inserire nella propria informativa sulla privacy riferimenti precisi agli strumenti utilizzati per l’analisi dei dati. Nel 22% dei casi le imprese avrebbero comunque dichiarato che l’entrata in vigore della normativa ha avuto effetti positivi per il proprio business. Non tutte le risposte sarebbero state però entusiastiche, perché se è vero che soltanto l’1% delle aziende ha dovuto bloccare la propria attività per questioni inerenti il raggiungimento della conformità, sembrerebbe che ben il 30% di esse abbia dovuto rallentare i progetti che in qualche modo coinvolgevano la gestione del Big Data. Il 38% del campione avrebbe invece accolto il GDPR in modo assolutamente indolore, si tratterebbe quindi delle attività che hanno saputo adeguarsi in anticipo ai dettami della normativa. Una parte ristretta delle aziende, il 5% sul totale, avrebbe poi ammesso che il GDPR è finalmente riuscito a fornire un quadro di riferimento chiaro sul trattamento dei dati. Fonte: Mrwebmaster.it
e-Fattura, Antonello Soro (Garante Privacy): ‘Risolvere criticità entro dicembre altrimenti scattano le sanzioni’
Il Garante per la protezione dei dati personali, Antonello Soro, ha spiegato, nel corso dell’intervista a Radio Radicale, i rilievi adottati dall’Autorità sulla fatturazione elettronica: “Rimuovere criticità entro dicembre altrimenti scattano sanzioni per l’Agenzia delle Entrate’. Il Garante per la protezione dei dati personali, Antonello Soro, ha spiegato i rilievi adottati dall’Autorità sulla fatturazione elettronica. “Prima di avviare l’esperienza della fattura elettronica, confidiamo vengano rimosse le criticità che noi abbiamo evidenziato e che avremmo fatto anche se ce lo avessero chiesto prima. In ogni caso noi abbiamo fatto queste osservazioni, il titolare del trattamento è l’Agenzia delle Entrate e col nuovo quadro giuridico il titolare del trattamento è responsabile di tutto quello che accade all’interno della sua responsabilità e quindi è un problema loro. Non intendiamo minimamente rallentare o mettere un freno all’avvio dal primo gennaio. Tuttavia facciamo notare che come il titolare del trattamento è responsabile noi abbiamo la responsabilità anche a posteriori di verificare il rispetto della legge e di trarne le conseguenze”, ha detto Soro ai microfoni di Radio Radicale. “Il provvedimento che noi abbiamo adottato è di tipo abbastanza nuovo” – ha spiegato Soro – “quello dell’avvertimento, che discende dal nuovo quadro giuridico europeo e che consente al destinatario dell’avvertimento, in questo caso l’Agenzia delle Entrate, e di prendere nota delle nostre considerazioni per adeguare alla norma i propri provvedimenti, riservandosi naturalmente un giudizio a posteriori sul trattamento, una volta che fosse avviato, ma dando al titolare del trattamento di questi dati, l’Agenzia delle entrate, la possibilità di non incorrere in una violazione delle leggi e quindi delle conseguenti sanzioni”. Soro: ‘Il nostro un intervento molto collaborativo’ “Il nostro è stato un intervento molto collaborativo” – ha aggiunto il Garante Privacy – “ma anche molto puntuale nel segnalare non già l’utilità o meno della fattura elettronica, perché non compete a noi, ma abbiamo competenza sul trattamento dei dati personali che in questo caso è davvero molto rilevante, così come concepito dalla Agenzia delle entrate in attuazione della legge di bilancio del dicembre scorso. Si introducono meccanismi di raccolta delle informazioni personali massive, nel senso che si configura l’attribuzione all’Agenzia delle entrate di un carico gigantesco di informazioni eccedenti rispetto allo specifico utile per motivi fiscali. Si tratta di tutte le informazioni relative alla vita privata dei cittadini che hanno acquistato un bene o un servizio ma che non hanno ragione di conservare, informazioni sulle opinioni, sulle sensibilità, sulla salute, sugli orientamenti, così come si può desumere se insieme al dato fiscale vengono accompagnati altri dati. Una eccedenza di informazioni, e poi abbiamo fatto dei rilievi sul ruolo non ben definito degli intermediari che intervengono fra la società che emette la fattura e l’Agenzia delle entrate”. “Questi intermediari”, ha concluso Antonello Soro, “andrebbero identificati in modo più puntuale e non affidata ad un contratto di natura privatistica, come se questo non riguardasse il sistema, cioè il rigore con cui l’intermediario tratta i dati personali, perché l’agenzia delle entrate nel momento in cui adotta un provvedimento di questo genere non solo deve garantire il proprio ruolo, le tutele messe in essere dall’Agenzia stessa, ma deve garantire che nel procedimento tutti quelli che intervengono devono osservare una serie di tutele”. Fonte: Key4Biz.it
Cloud, IoT e social. Perché il 2019 sarà l’anno nero della cybersecurity
Come sarà il nuovo anno per la cybersecurity? Nero. La conferma arriva dal nuovo report di McAfee Labs sulle minacce informatiche del 2019. Ecco perché. Mai come oggi, il tema della sicurezza informatica ha conquistato l’attenzione crescente di imprese, Governi e utenti finali di apparecchi e servizi di rete. Nel corso di quest’anno ci sono stati eventi particolarmente rilevanti a livello mondiale, tra cui il diffondersi di malware sempre più pericolosi, furti di dati e attacchi informatici tali da coinvolgere direttamente singoli utenti e grandi organizzazioni. Adesso, che il 2018 sta giungendo al termine, viene da chiedersi come sarà il nuovo anno per la cybersecurity. Ma la fotografia scattata da McAfee, nel nuovo report ‘McAfee Labs 2019 Threats Predictions Report‘ non evidenzia nulla di buono, anzi. Gli esperti si aspettano un rafforzamento delle famiglie di malware-as-a-service, stimolando il mercato dell’outsourcing degli attacchi e l’evoluzione di metodi di attacco sempre più innovativi e astuti. Di conseguenza, i dati aziendali, i dispositivi domestici dell’Internet of Things e la reputazione del marchio saranno sotto assedio, con i criminali informatici che utilizzeranno in gran parte i social media, il cloud e i telefoni cellulari come vettori di attacco sempre più importanti. Nasceranno alleanze di cybercriminali I criminali informatici stanno rapidamente rafforzando il mercato del malware-as-a-service alleandosi per vendere component d’attacco modulari. Questi one-stop-shop rendono più facile per i criminali, qualunque sia il loro livello di esperienza e abilità, l’esecuzione di attacchi di successo. Questo consolidamento del mercato proseguirà nel 2019 e le organizzazioni che operano crimini informatici fioriranno come partner di consolidate bande informatiche che si occupano di attività illecite come il riciclaggio di denaro, le tecniche di evasione e gli exploit di vulnerabilità. Come dimostrato dalle conversazioni all’interno della comunità clandestina, si prevede un aumento di malware mobile, botnet, frodi bancarie, ransomware e dei tentativi di aggirare l’autenticazione a due fattori. Con il rafforzamento della misure di sicurezza, i criminali devono necessariamente migliorare la loro inventiva. La disponibilità di componenti utilizzabili per attacchi modulari nel mercato illegale consentirà a chi vuole realizzare attacchi informatici di combinare e rivisitare le tattiche e le tecnologie impiegate abitualmente per raggiungere nuovi obiettivi. Intelligenza Artificiale per eludere i controlli L’accessibilità a tecnologie quali l’intelligenza artificiale in modalità as-a-service consentirà ai criminali informatici di sviluppare attacchi con tecnologie sempre più sofisticate in grado di eludere i meccanismi di sorveglianza. Con l’intelligenza artificiale, i criminali informatici avranno la capacità di automatizzare la selezione dei target, di analizzare le vulnerabilità della rete e di valutare lo stato della sicurezza e la reattività degli ambienti infettati per evitare di essere scoperti prima di avanzare con le fasi successive degli attacchi. Strategie Stato-nazione riproposte per estorsioni ai danni delle aziende I software bot utilizzati per amplificare la messaggistica ingannevole sono già stati creati e sono disponibili per essere venduti illegalmente. Seguendo le orme delle note e recenti campagne nazionali per influenzare l’opinione pubblica, i criminali informatici ripropongono i bot e sfruttano i social media per estersioni ai danni delle aziende minacciando i loro marchi. Minacce sinergiche sempre più forti per il successo degli attacchi I criminali informatici evolveranno la loro strategia abituale incentrata sull’impiego di una singola minaccia, a favore della combinazione di diversi tipi di attacco per bypassare le difese. Ad esempio, combinando phishing, stegware e malware fileless possono mettere in atto un attacco con obiettivi multipli. Queste super minacce sinergiche lavoreranno insieme, mettendo in difficioltà il tradizionale panorama di difesa e complicando il processo di identificazione e contenimento dell’attacco. Cloud, Home IoT e Social Media sotto attacco Con l’accesso a tattiche e strategie sempre più efficaci, i criminali informatici avranno la capacità di concentrare i loro attacchi su obiettivi più ampi e complessi. Nel 2019 infatti, prenderanno di mira proprietà intellettuale, dispositivi IOT nelle abitazioni e informazioni personali, rispettivamente attraverso cloud, telefono cellulare e social media. Attacchi per il trasferimento di dati non autorizzato tramite il Cloud Si prevede un significativo aumento degli attacchi mirati ad impossessarsi della grande quantiità di dati aziendali che si trovano nel cloud. Ben il 21% dei contenuti ora gestiti nel cloud contiene informazioni sensibili, come la proprietà intellettuale, i dati personali e quelli dei clienti. Gli scenari possibili includono attacchi nativi del cloud che mirano a WPI deboli o endpoint API non governati, ricognizione ed estrazione illegale dei dati nei database in cloud, e lo sfruttamento del cloud come trampolino di lancio di attacchi man-in-the-middle nativi nel cloud per lanciare attacchi di criptojacking o ransomware. Attacchi all’IoT domestico tramite smartphone, tablet e router Nuovi malware mobile cercheranno di attaccare smartphone, tablet e router per ottenere l’accesso agli assistenti digitali e ai dispositivi IoT domestici che controllano. Una volta infettati, questi dispositivi possono fungere da grimaldello per invadere l’abitazione del consumatore e possono fornire botnet, in grado di lanciare attacchi DDoS o concedere ai criminali informatici l’accesso ai dati personali e l’opportunità per perpetrare altre attività dannose come l’apertura di porte e la connessione ai server di controllo. Attacchi all’identità personale tramite social media Nel 2019, i social media implementeranno misure aggiuntive per proteggere le informazioni relative ai loro iscritti, ma con l’aumento del numero di piattaforme, i criminali informatici saranno ulteriormente indotti a concentrare le loro risorse per attaccare ambienti ricchi di dati. Gli attacchi ad alto impatto, come quelli mirati ai sistemi di controllo industriale (ICS), hanno avuto successo in parte grazie all’uso di password statiche in tutti gli ambienti. Il successo di violazioni di social media e di altre varie piattaforme di identità e dispositivi edge fornirà agli avversari la chiave per lanciare attacchi simili in futuro. Fonte: Key4Biz.it
e-Fattura dal 2019, confermata da Tria. Ma salta per medici e farmacisti
L’obbligo di fatturazione elettronica tra privati da gennaio confermato dal ministro dell’Economia. Ma non scatterà per medici e farmacisti, possessori di dati sanitari ‘sensibili’. Domani l’Agenzia delle Entrate incontra il Garante Privacy, Antonello Soro, per trovare insieme i correttivi per rendere l’e-Fattura conforme al GDPR. L’obbligo di fatturazione elettronica tra privati previsto dal primo gennaio 2019 resterà. L’ha confermato oggi il ministro dell’Economia: “Dal primo gennaio 2019 la fatturazione elettronica sarà obbligatoria in via generalizzata in tutti i rapporti commerciali, quelli business to business e business to consumer”, ha detto Giovanni Tria all’inaugurazione dell’anno di studi 2018-19 della Guardia di finanza. Generalizzata, ma non per tutti. Infatti non scatterà per medici e farmacisti, possessori di dati sanitari “sensibili” e già operativi, almeno per quanto riguarda i titolari delle farmacie, con gli scontrini elettronici. È la soluzione di compromesso individuata da governo e maggioranza dopo i rilievi avanzati dal Garante per la Privacy sull’e-Fattura. Ma il parere dell’Autorità non ha come obiettivo la proroga della fatturazione elettronica, ma la conformità completa al Gdpr della l’infrastruttura tecnologica della fatturazione elettronica. Infatti l’Agenzie Entrate‘ha iniziato un percorso di iterlocuzione con l’Autorità’ per trovare insieme i correttivi in grado di far partire l’e-Fattura regolarmente dal 2019 e già domani è previsto l’incontro con il Garante per la protezione dei dati. Antonello Soro stamattina ha incontrato i deputati del MoVimento 5 Stelle in Commissione Finanze alla Camera. Ecco la nota dei 5Stelle: “Stamattina abbiamo incontrato il Garante della Privacy, Antonello Soro, in merito alle riserve espresse sull’avvio della fatturazione elettronica. Le criticità espresse dal Garante riguardano l’inclusione di dati che interessano la totalità dei cittadini, anche quelli sulle abitudini riservate, il ruolo degli intermediari che si sarebbe esteso in modo indefinito e le responsabilità del cosiddetto “postino” dell’Agenzia delle Entrate, atto a incamerare i dati. Sono arrivate importanti rassicurazioni da parte di Soro, il quale ha evidenziato come determinati aspetti potranno essere corretti senza particolari difficoltà. Domani, infatti, è già previsto un tavolo comune tra Garante ed Agenzia delle Entrate per ridefinire i regolamenti attuativi”. Eliminare o rinviare la misura, ha spiegato la fonte, costerebbe infatti troppo per le casse dello Stato. Il recupero di evasione, in particolare del tax gap Iva da omessa dichiarazione, è di circa 2 miliardi. “Il Governo punta a recuperare 1,97 miliardi di euro con la fatturazione elettronica”, ha dichiarato Fabrizia Lapecorella, il direttore generale delle Finanze in audizione il 7 novembre scorso al Senato. Chi altro è esentato dall’e-Fattura? Il premier Giuseppe Conte ha fatto presente che sono state stabilite altre esenzioni per i contribuenti in regime forfettario dei minimi e per le imprese agricole di piccole dimensioni, mentre la Legge di Bilancio esclude le imprese fino a 65mila euro di ricavi. Il presidente del Consiglio ha anche sottolineato che quello dell’e-Fattura è “un processo simmetrico che vincola non solo il soggetto emittente, ma anche quello ricevente a gestire come elettronica la fattura ai fini della detraibilità dell’Iva”. Inoltre il presidente del Consiglio ha ricordato che il decreto con “Disposizioni urgenti in materia fiscale e finanziaria”, entrato in vigore il 24 ottobre scorso, prevede che “dal primo luglio 2019 tutte le fatture emesse potranno essere registrate entro 10 giorni dalla data di effettuazione delle operazioni e quindi non entro lo stesso giorno”. Prima di luglio 2019, tutte le fatture emesse potranno essere registrate entro il giorno 15 del mese successivo a quello di effettuazione delle operazioni, lo stabilisce l’articolo 12 dello stesso decreto fiscale. Fatturazione elettronica, l’utilità del QR Code Tra le soluzioni digitali, realizzate dall’Agenzia delle Entrate, quella che garantisce maggiore semplicità nella procedura, riduzione dei tempi e di errore è il QRCode, il “codice a barre” contenente il numero di partita IVA, tutti i dati anagrafici e l’indirizzo telematico di default comunicato preventivamente al Sistema di Interscambio (SdI), il “postino” a cui inviare l’e-Fatture. Vai al videotutorial sul QRCode. Fonte: Key4Biz.it
GDPR e valutazione di impatto, il Garante Privacy individua i trattamenti
La valutazione di impatto sulla protezione dei dati personali (Data Protection Impact Assessment o DPIA) esamina i rischi relativi alle attività di trattamento delle informazioni, che possono causare impatti negativi sui diritti e le libertà delle persone. Le indicazioni dell’Autorità. Il nuovo Regolamento europeo sulla privacy (Reg. UE 2016/679 – “GDPR”) prevede l’obbligo di svolgere, al ricorrere di determinate condizioni, una valutazione di impatto sulla protezione dei dati personali (Data Protection Impact Assessment o DPIA). La DPIA è finalizzata ad analizzare un determinato trattamento di dati personali per valutarne i rischi, con l’obiettivo di adottare adeguate e coerenti misure, sia di natura organizzativa che tecnica. Cos’è la Valutazione di impatto La DPIA deve avere ad oggetto i rischi rivenienti dalle attività di trattamento dei dati personali che possono causare impatti negativi sui diritti e le libertà delle persone fisiche. A titolo esemplificativo, una errata impostazione del trasferimento telematico dei dati personali della clientela da un titolare ad un altro può comportare la diffusione non autorizzata dei dati stessi. Nel condurre la valutazione di impatto occorre tuttavia considerare anche la presenza di specifiche condizioni suscettibili di incrementare il rischio del trattamento. L’impiego di tecnologie innovative quali il cloud computing, ad esempio, non è un evento di rischio in sé, ma può incrementare le probabilità di un tale evento, come la diffusione dei dati. Le indicazioni del Garante privacy Secondo quanto previsto dal GDPR, il Garante per la privacy ha predisposto un elenco delle tipologie di trattamento – in corso di pubblicazione nella Gazzetta ufficiale – che dovranno essere sottoposte a valutazione di impatto. Tali tipologie di trattamento – riportate qui in forma sintetica – sono le seguenti: valutazione o profilazione degli interessati riguardante specifici aspetti, tra i quali: rendimento professionale, situazione economica, stato di salute; decisioni automatizzate che incidono in misura significativa sull’interessato impedendo di esercitare un diritto o di avvalersi di un servizio (es. verifiche automatizzate per la concessione di un finanziamento); monitoraggio sistematico degli interessati tramite raccolta di dati relativi alla fruizione di servizi basati su rete telematica (es. monitoraggio della fruizione dei servizi di una piattaforma TV interattiva a fini commerciali o anti-frode); trattamenti su larga scala di dati aventi carattere estremamente personale (es. corrispondenza e-mail, ubicazione e spostamenti, dati finanziari), nonché scambio di dati personali tra diversi titolari effettuato su larga scala e con modalità telematiche; attività di monitoraggio tramite sistemi tecnologici dalla quale derivi la possibilità di effettuare un controllo dell’attività dei dipendenti (es. utilizzo di sistemi di videosorveglianza, geolocalizzazione di dotazioni aziendali); trattamenti non occasionali di dati relativi a soggetti vulnerabili (es. minori, anziani, pazienti); raffronto di dati personali raccolti per finalità diverse (es. raffronto dei dati di fruizione di servizi digitali con i dati relativi al pagamento); trattamenti di categorie particolari di dati (es. appartenenza sindacale, stato di salute) oppure di dati relativi a condanne penali e a reati, nonché trattamenti sistematici di dati biometrici o genetici (es. sistemi di accesso con impronta digitale); utilizzo di tecnologie innovative per il trattamento di dati personali (es. assistenti vocali, smartwatch), in particolare al ricorrere di tipologie di trattamento che possono comportare impatti negativi sui diritti e le libertà delle persone fisiche. L’elenco completo delle tipologie di trattamento da sottoporre a DPIA è contenuto nel provvedimento del Garante per la privacy all’indirizzo https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9058979 Adozione delle indicazioni del Garante privacy L’elenco di tipologie di trattamento predisposto dal Garante per la privacy non è da considerarsi esaustivo e potrà essere oggetto di integrazione in futuro. E’ possibile dunque che vi siano ulteriori trattamenti per i quali sia richiesta la conduzione di una valutazione di impatto, pur non rientrando questi nelle tipologie anzidette. Al fine di identificare tali trattamenti, lo stesso provvedimento del Garante richiama due principali riferimenti: le Linee guida in materia di valutazione d’impatto sulla protezione dei dati emanate dal Gruppo di Lavoro Articolo 29, nell’ambito delle quali sono definiti una serie di criteri per l’individuazione dei trattamenti da sottoporre a DPIA (il documento è disponibile all’indirizzo http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236); le più generali previsioni del GDPR – di cui all’art. 35 comma 1 – che stabilisce l’obbligo di effettuare, prima dell’inizio del trattamento, una valutazione dell’impatto laddove quest’ultimo possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, “allorché preveda in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità […]”. Come provvedere alla DPIA L’obbligo di condurre la valutazione di impatto decorre dal 25 maggio scorso. La DPIA deve essere svolta sia per i nuovi trattamenti, sia per quelli che possono presentare un rischio elevato a seguito di variazioni intervenute nelle caratteristiche e modalità. La normativa fornisce alcune indicazioni di carattere generale in merito ai criteri e alle metodologie da impiegare per la valutazione dei rischi e delle relative misure da implementare, tra le quali quelle citate in precedenza. Al fine di dare informazioni utili all’impostazione e svolgimento della DPIA, MACFIN Group in collaborazione con lo studio legale CMS ha realizzato un Paper contenente la descrizione degli obiettivi e delle caratteristiche della DPIA, dei criteri di individuazione dei rischi da valutare e delle tempistiche di effettuazione, che è possibile scaricare gratuitamente tramite questo link: https://mailchi.mp/58b2a0207af9/dpia?utm_source=key4biz&utm_medium=referral&utm_campaign=dpia Fonte: Key4Biz.it