Barometro Cybersecurity: le organizzazioni italiane sono protette?
La seconda edizione del Barometro Cybersecurity realizzato da NetConsulting cube e EUCACS – ideato d’intesa con InTheCyber e sponsorizzato da Oracle e CA Technologies – rivela che telecomunicazioni, utility e banche si confermano i settori più avanzati, sia dal punto di vista organizzativo che nell’adozione di soluzioni per la Cybersecurity. Critico invece il livello di maturità dei comparti PA locale e Sanità, che emergono come i settori con maggiore gap in termini di consapevolezza e di adozione di un modello organizzativo adeguato nel contrastare le minacce crescenti in ambito sicurezza informatica. Obiettivo del Barometro Cybersecurity è fornire un quadro esaustivo dell’attuale situazione delle aziende italiane in termini di politiche, strategie, modelli e strumenti relativi alla Cybersecurity e costruire un Cybersecurity Maturity Model su cui le aziende che partecipano alla rilevazione si posizionano. I temi chiave del Barometro sono stati definiti in collaborazione con un Advisory Board composto da CSO e CISO di grandi aziende appartenenti a diversi settori. Alla ricerca hanno partecipato Chief Security Officer, Chief Information Security Officer, CIO e Responsabili IT di 72 aziende italiane, Enti Pubblici locali e istituti sanitari pubblici e privati accreditati. Il mercato della Cybersecurity cresce a ritmi superiori a quelli del mercato digitale con una spesa che si prevede superare 1 miliardo di euro nel 2018 e una crescita del 13,3% rispetto allo scorso anno, dichiara Annamaria Di Ruscio, Amministratore Delegato di NetConsulting cube. “A confermare la dinamica positiva del mercato è il generale incremento dell’importanza attribuita alla tematica Cybersecurity da parte del Top Management, con una crescita del budget anche per il 2019: molto ha contribuito l’entrata in vigore della GDPR” commenta Rossella Macinante, Practice Leader di NetConsulting cube, che ha coordinato la ricerca insieme al team di EUCACS. IoT, oggetti connessi, cloud e dispositivi mobile stanno assumendo un ruolo significativo nel veicolare minacce cyber. In particolare, dalla survey emerge come gli ambienti IoT e SCADA siano particolarmente esposti al rischio di cyber attacchi, considerata anche l’elevata dispersione sul territorio, e ad oggi non ancora adeguatamente protetti: a fronte di una crescita esponenziale dei dispositivi connessi e delle tecnologie di Internet of Things utilizzati come vettori di infezione (+19,4% di organizzazioni che lo segnalano rispetto al 2017), solo il 22% dei rispondenti richiede ai propri fornitori logiche di IoT security by design. Inoltre, solo il 16% delle aziende intervistate conduce attività di Penetration Test e Vulnerability Assessment sui sistemi di Internet of Things. Ampliando il perimetro, il concetto di security by design integrata fin dall’origine nello sviluppo delle applicazioni rappresenta ancora una pratica poco diffusa, adottata solamente dal 35% degli intervistati, aumentando la vulnerabilità del software. “Oggi, la sicurezza è più di una semplice sfida per il business delle aziende. È anche un’opportunità per conquistare la fedeltà dei clienti ed aumentare la produttività. La ‘Security by Design’ è un prerequisito obbligatorio per la sicurezza del macrocosmo IT delle aziende” dichiara Danilo Allocca, Account Executive Security di CA Technologies. In molti casi prevale un approccio ancora meramente difensivo non più sufficiente in un contesto caratterizzato da un costante ampliamento del perimetro esposto a vulnerabilità: solo il 26% delle organizzazioni intervistate adotta procedure codificate tra le contromisure adottate in caso di attacco cyber, limitandosi ad analisi forensic ed all’adozione di patch limitate all’ambiente oggetto dell’attacco. Il Cloud Computing presenta una penetrazione in continua crescita, con il 72% dei rispondenti che afferma di utilizzare servizi in Cloud Computing. Sempre dall’analisi, una potenziale vulnerabilità è data dalla presenza di Shadow Cloud: il 43% delle organizzazioni che hanno effettuato analisi specifiche ha individuato la presenza di software e applicazioni non direttamente monitorate dalla funzione ICT, potenzialmente a rischio. “Identificate le applicazioni cloud non gestite dall’ IT, è necessario fare un passo avanti. I Cloud Provider hanno capacità di investimento sulla sicurezza quasi sempre superiori alla media dei loro clienti, ma la sicurezza del cloud è una responsabilità condivisa tra Cliente e Fornitore del servizio. I Clienti devono estendere i loro modelli di sicurezza introducendo nuove tecnologie di monitoraggio e controllo dei servizi Cloud, e Oracle in questo senso può dare una grossa mano” commenta Angelo Bosis, Cloud Platform Solution Engineering Director di Oracle Italia. Al crescere delle minacce, numerose sono anche le complessità rilevate a livello di governance e struttura. La mancanza di risorse (87%) e skill (61%) rientra tra le principali criticità in ambito Cybersecurity per la maggior parte delle aziende intervistate: tuttavia circa la metà e aziende ha un piano di incremento delle risorse dedicate alla Cybersecurity per il 2019. Security analyst, risk analyst, threat intelligence analyst e network security specialist risultano i profili più ricercati. “È evidente l’urgenza di individuare assieme alle aziende percorsi formativi ad hoc per questo tipo di nuove figure denominabili “operatori cyber”” sottolinea Umberto Gori, Direttore Scientifico di EUCACS. Sul fronte delle tecnologie innovative, cresce la diffusione di AI e Machine Learning: più della metà delle aziende intervistate prevede di introdurre soluzioni Machine Learning based tra il 2018 e il 2019, mentre sono già in uso presso il 17% del campione. Da sottolineare, inoltre, la presenza di team e strumenti di threat intelligence per rafforzare la difesa dagli attacchi informatici, internamente alla struttura organizzativa (11%), o rivolgendosi a società di consulenza esterne (27%). Particolarmente critico il fronte della compliance normativa: a poco meno di sei mesi dalla piena entrata in vigore del GDPR circa un terzo delle aziende del campione non ha ancora completato l’intero spettro delle attività di adeguamento. In particolare, le procedure per la rilevazione del trasferimento di dati personali verso fornitori e terze parti e di protezione dei dati personali, come l’adozione di tecnologie di crittografia, sono ancora in fase iniziale rispettivamente nel 31% e nel 21% delle realtà intervistate. Le principali criticità indicate dai rispondenti nell’adeguare la propria organizzazione sono, infatti, la mappatura dei dati (48%) e le complessità nell’adeguamento delle applicazioni esistenti (47%). “Le infrastrutture IT/OT delle aziende, assieme alla componente umana, devono essere messe continuamente alla prova in un processo virtuoso di Test & Enhance. Basta un solo punto debole di qualsiasi
Adeguamento al GDPR: come farlo in quattro fasi
Il 19 settembre, a seguito dell’emanazione del Decreto Legislativo 101 che adegua la normativa nazionale alle disposizioni del GDPR, quest’ultimo assume un ruolo ancor più determinante nel contesto italiano, ribadendo l’obbligo per le aziende di seguire le nuove norme sulla privacy e sulla protezione dei dati. Se non adeguate, le imprese rischiano sanzioni (fino a 20 milioni di euro o il 4% del fatturato totale) e, negli ultimi mesi, c’è stata la corsa a mettersi in regola, spesso in modo grossolano. Non ha fatto così Mediagraf, azienda di stampa roto-offset, offset e digitale di Noventa Padovana, con oltre 150 dipendenti, che ha deciso di prendere sul serio la questione: “Fra le imprese si era creato un certo clima di “terrorismo” – ammette Angelo Juliani, HR Manager di Mediagraf. Subito dopo l’entrata in vigore del Regolamento Europeo, il 25 maggio, circolavano informative incomprensibili e molti punti sono stati chiariti solo con il recente decreto attuativo. Data la complessità della materia noi di Medigraf abbiamo deciso di muoverci in modo ragionato, andando oltre la mera questione burocratica e cogliendo l’occasione di realizzare un vero cambiamento culturale.” Per affrontare l’adeguamento Mediagraf ha cominciato a documentarsi e informarsi sui fornitori per l’information security e la GDPR compliance nello specifico. La scelta è caduta su Securbee, società di Udine che si occupa di consulenza e servizi nell’ambito della cyber sicurezza, raggruppando al suo interno alcuni dei maggiori specialisti del settore. Insieme, Mediagraf e Securbee hanno impostato un percorso in quattro fasi che ha permesso di lavorare in modo efficace e con benefici per tutta l’organizzazione. Fase 1: valutazioni preliminari – Il primo passo è stato quello della valutazione dello stato di maturità degli aspetti di privacy presenti in azienda, per cui Securbee fornisce un apposito servizio di GDPR Check Assessment: si tratta di capire quanti e quali dati personali sono presenti all’interno dell’organizzazione, per quale motivo sono raccolti, dove si trovano e chi li gestisce. “Questa fase è importante anche per evitare all’azienda dispendi inutili di energie e risorse, individuare i passi realmente necessari e le persone che occorre coinvolgere – spiega Manuel Cacitti, CEO di Securbee –. Con Mediagraf siamo partiti dall’acquisizione di tutti i documenti utili, primo fra tutti il Documento programmatico sulla sicurezza; successivamente abbiamo realizzato interviste ai responsabili dei diversi reparti e infine abbiamo fornito un report che evidenziava i gap da colmare per l’adeguamento al GDPR.” Fase 2: implementazione dei nuovi processi – Per la fase operativa Mediagraf ha continuato a collaborare con Securbee, forte di un team che era al corrente dello stato dell’arte all’interno dell’organizzazione e quindi poteva attuare interventi veloci e consapevoli. In questa fase, oltre a definire la propria politica di protezione dati, Mediagraf ha predisposto il registro dei trattamenti: “Uno strumento non obbligatorio, nel caso specifico di questa organizzazione, ma indispensabile per riassumere tutte le attività di trattamento di dati personali eseguite in azienda e facilitare il rapporto con gli organi di controllo in caso di ispezione” spiega Manuel Cacitti. Sempre in questa fase, Mediagraf ha predisposto l’accordo sindacale in vista del provvedimento del garante sulla videosorveglianza, accordo necessario in presenza di telecamere anche quando i dipendenti non vengono ripresi sulle loro postazioni di lavoro. Fase 3: valutazione dei fornitori – Terminata la prima fase di lavoro e designato internamente il soggetto per il trattamento dei dati, un’operazione importante e delicata per Mediagraf consiste nel replicare queste attività per i responsabili (esterni). “La nostra azienda lavora con una serie di indirizzari per il recapito di riviste e altri materiali, e talvolta si rivolge a terzi per alcuni processi comeimbustamento e cellophanatura: questo ha rappresentato un aspetto critico nella gestione dei dati personali – spiega Angelo Juliani. Dobbiamo quindi accertarci che i nostri fornitori siano in grado di trattare le informazioni dei clienti in sicurezza.” Per farlo, Mediagraf ha messo a punto con Securbee un formulario e una serie di processi di verifica per assicurarsi della compliance dei fornitori. Fase 4: aggiornamento delle politiche di IT security – Mediagraf possiede già un sistema di sicurezza dati e, nella quarta e ultima fase del lavoro sulla GDPR compliance, valuterà assieme a Securbee eventuali altre implementazioni tecnologiche per aumentare il livello di protezione, soprattutto in merito a data breach o portabilità degli stessi, cioè del trasferimento dei dati dei clienti a un altro fornitore. In tutto questo percorso, la condivisione con i dipendenti e la formazione sono stati nodi cruciali. La funzione HR dell’azienda ha quindi lavorato di concerto con i responsabili IT, operando con una visione strategica. “Abbiamo affrontato la sfida non tanto per evitare sanzioni, ma per riordinare alcuni processi aziendali, e abbiamo deciso di fare le cose bene e con i tempi giusti – conclude Juliani. Di questo vediamo effetti positivi già ora, con la crescita della consapevolezza dei dipendenti verso il business, a 360 gradi. E, per il futuro, mi aspetto ulteriori benefici.” L’attenzione alla sicurezza, inoltre, è un elemento importante per la competitività. “In Italia il cyber crimine, secondo il Rapporto Clusit 2018, causa danni per 10 miliardi di euro l’anno – sottolinea il CEO di Securbee Manuel Cacitti. E al danno economico diretto per le aziende si aggiunge anche quello reputazionale, presso clienti, partner e fornitori che subiscono interruzioni del servizio o scoprono che i dati che li riguardano sono stati persi o trafugati.” Fonte: BitMat.it
Sviluppatori vs cyber security: come risolvere il conflitto?
In molte organizzazioni si avverte una tensione costante fra sviluppatori e team di security. Da un lato, gli sviluppatori sono sottoposti a pressioni crescenti per creare applicazioni ricche e piene di funzionalità, con l’imposizione di tabelle di marcia pressoché irrealizzabili per tenere il passo con la concorrenza. Dall’altro, i team addetti alla sicurezza sono a loro volta oggetto di pressioni sempre più forti causate dalla presenza di cyber minacce sempre più pericolose e dalla crescente richiesta degli utenti consumer di un’adeguata salvaguardia dei loro dati. Senza una corretta pianificazione, queste due istanze rischiano di entrare in collisione, dato che ogni gruppo è intento a realizzare i propri obiettivi. I team di sviluppo ritengono che i colleghi della sicurezza vadano a rallentare l’uscita di ogni nuova release. Dall’altra parte, i team di security mal tollerano il lavoro extra (e non pianificato) che sono costretti a svolgere per ovviare alle vulnerabilità create dagli sviluppatori, i quali non badano troppo alla sicurezza del codice perché vogliono rispettare a tutti i costi le proprie scadenze. Eppure, con una piccola opera di preparazione, le organizzazioni potrebbero far sì che questi due gruppi lavorino assieme e si aiutino a vicenda. Prima si individua una vulnerabilità nel processo di sviluppo, più facile, più veloce e meno costosa essa sarà da correggere. Per questo motivo, le organizzazioni devono trovare il modo di porre l’attenzione sulla sicurezza già nelle fasi iniziali del processo di sviluppo: in altre parole, devono lavorare insieme agli sviluppatori per accertarsi che la sicurezza non sia una considerazione secondaria. La prima cosa da fare è aiutare l’organizzazione a riconoscere il ruolo che la sicurezza deve svolgere nel processo di sviluppo. In questo modo, i responsabili di prodotto e d’impresa confermeranno che la sicurezza è una parte importante delle applicazioni sviluppate e che tutti i soggetti coinvolti nel processo devono tenerne conto. I responsabili di queste funzioni dovranno inoltre sottolineare che la sicurezza deriva direttamente dalla qualità, esattamente come la resilienza, la scalabilità, la facilità di manutenzione, la disponibilità operativa e così via. Il punto è che la maggior parte degli sviluppatori considera la sicurezza un territorio inesplorato che fino a ora non rientrava nelle loro mansioni, né era oggetto di formazione. Uno dei modi più semplici e più efficaci per trasmettere il messaggio che la sicurezza è una priorità per l’organizzazione consiste nell’iniziare a offrire dei corsi sullo sviluppo di codice sicuro. Una volta istruiti sulle tecniche di base, gli sviluppatori saranno più responsabilizzati. Nessuno sviluppatore vuole scrivere codice poco sicuro: deve semplicemente capire come e perché nascano dei problemi di sicurezza e avere la possibilità di fruire di strumenti e risorse utili a produrre codice che soddisfi gli standard di codifica sicura. Il passo successivo — e anche quello con gli effetti più massicci e incisivi — consiste nel far entrare in stretto contatto i team di security e sviluppo. Questo avvicinamento potrebbe già essere una realtà a seguito dell’introduzione di metodologie DevOps o DevSecOps. Ogni team ha bisogno non soltanto di operare a stretto contatto, ma anche di avere una comprensione più approfondita sulle difficoltà, sui processi e sulle priorità reciproche. Uno dei sistemi più efficaci consiste nel designare un referente per la sicurezza (il cosiddetto Security Champion) all’interno del team di sviluppo. Il Security Champion è un membro della squadra di sviluppatori che conosce bene le best practice della sicurezza applicativa e può consigliare i colleghi. Tale figura può essere preparata dal team di security per aiutare gli sviluppatori a isolare e correggere il prima possibile eventuali vulnerabilità nel processo di sviluppo, riducendo in pratica la responsabilità a carico del team della sicurezza. Questa collaborazione aiuterà non soltanto gli sviluppatori a scrivere codice più sicuro, ma ridurrà anche la mole di lavoro imprevisto causato da vulnerabilità rilevate in fasi successive del processo. Un flusso costante di interazioni fra i due team contribuirà inoltre a creare un clima di fiducia e a promuovere rapporti di collaborazione. Alla luce dell’apparente incompatibilità dei loro ruoli non stupisce che i team di security e di sviluppo si trovino spesso in conflitto. Invece, con una considerazione attenta e una comunicazione più trasparente, le organizzazioni potranno riconciliare queste due squadre e aiutarle a capire meglio le esigenze dell’altra. In questo modo, anziché combattersi, le due funzioni potranno aiutarsi reciprocamente a produrre software di migliore qualità. Fonte: BitMat.it
Cybersicurezza è opportunità economica
L’evento è stato inaugurato dall’ambasciatore italiano a Londra, Raffaele Trombetta, che ha sottolineato la necessità di un approccio alla cybersicurezza “inclusivo e costruttivo”. Ha preso parte al workshop anche Francesco Maria Talò, coordinatore per la cybersicurezza della Farnesina. Nel corso del forum alcune imprese italiane hanno illustrato la loro attività ad un pubblico di potenziali investitori britannici. La cybersicurezza non rappresenta solo rischi, ma opportunità economiche. Di questo si è discusso nel forum ‘Cyber Security and Digital Economy: Challenges, Threats and Opportunities from Cyberspace’, primo seminario di promozione integrata all’estero del settore della sicurezza cibernetica italiana, organizzato dall’ambasciata d’Italia a Londra e dall’agenzia Ice, con il supporto del Ccsirs di Firenze. Fonte: ANSA.it
La check-list per non rimanere vittime degli hacker
Lo smart working è sempre più diffuso, consente di conciliare impegni professionali e di casa, riuscendo ad essere più produttivi in entrambi gli ambiti. Quando si lavora da casa però l’ambiente non dispone degli stessi strumenti di protezione disponibili in ufficio, ed è comunque sempre importante assumere comportamenti responsabili. La sicurezza informatica non è più sola responsabilità dei team IT e di sicurezza. Tutti i dipendenti che interagiscono e si affidano alla tecnologia ogni giorno, spesso da postazioni remote, svolgono tutti un ruolo fondamentale per la sicurezza dell’organizzazione. Per questo alfine di garantire sicurezza e conformità, in particolare quando trend come la trasformazione digitale e la mobilità continuano a espandersi, ogni singolo dipendente deve comprendere e mettere in pratica una corretta cyber-igiene. Conoscendo i comuni vettori di attacco e utilizzando i suggerimenti forniti, gli utenti possono contribuire a fermare la diffusione del malware e mantenere l’azienda operativa. Fortinetha stilato una serie di consigli per promuovere una sorta di cyber-igiene di alto livello. I sei consigli che seguono rappresentano tra l’altro buone abitudini che tutti dovrebbero seguire. La tecnologia mette a disposizione tutti gli strumenti che servono per poter disporre da remoto di ogni risorsa aziendale, eventualmente anche delle risorse hardware informatiche dell’ufficio. Un grande vantaggio cui però bisogna essere educati. I dipendenti infatti possono causare involontariamente gravi danni a un’azienda a causa di una mancata consapevolezza della sicurezza informatica: un dispositivo compromesso o una connessione remota inaffidabile possono infatti rendere vulnerabile la rete. Ecco alcune strategie da mettere in pratica per promuovere una cyber-igiene di alto livello. Utilizzare i punti di accesso sicuri e creare una rete di lavoro Quando ci si collega da remoto alla rete aziendale, le best practice per la cyber-igiene raccomandano l’uso di un punto di accesso sicuro. Un modo per ridurre al minimo i rischi di connessione alla rete di lavoro tramite Wi-Fi pubblico consiste nell’utilizzare una rete privata virtuale (VPN). Le VPN consentono di estendere la rete privata attraverso il Wi-Fi pubblico utilizzando una connessione point-to-point virtuale crittografata che consente e mantiene l’accesso sicuro alle risorse aziendali. Tuttavia, è ancora fondamentale ricordare che se una delle due estremità della VPN viene compromessa, come l’access point WiFi non pubblicizzato presso il proprio bar locale, la VPN non può impedire incidenti come attacchi man-in-the-middle. Questo è il motivo per cui è anche necessario garantire l’integrità di qualsiasi punto di accesso a cui ci si connette. Sebbene le connessioni Wi-Fi pubbliche siano spesso innocue, per un criminale informatico è sufficiente una connessione malevola per intercettare tutti i dati di navigazione mentre ci si sposta su siti e account. Un’altra buona pratica è quella di creare una rete sicura per le transazioni commerciali nel proprio home office. La maggior parte delle aziende ha due reti separate, una a cui solo i dipendenti possono accedere e una per gli ospiti. Questo stesso protocollo è facile da replicare a casa. La maggior parte dei router domestici consente la creazione di più reti, come una casa e una connessione ospite. L’aggiunta di una rete protetta da password per le connessioni di lavoro significa che le risorse aziendali non condivideranno mai la stessa connessione dei computer domestici, dei sistemi di videogaming e dei dispositivi smart dei bambini. Mantenendo i dispositivi domestici separati dalla rete sulla quale si accede a dati di lavoro sensibili, i dispositivi o le applicazioni compromessi non possono essere utilizzati come punto di vulnerabilità per attaccare la rete aziendale. Aggiornare regolarmente Installare aggiornamenti su dispositivi, applicazioni e sistemi operativi su base regolare è un passo fondamentale per ottenere una buona igiene informatica. Sebbene sia facile ignorare gli aggiornamenti quando è necessario rispettare una scadenza o aiutare un cliente, il fatto di non mantenere aggiornati i dispositivi può semplificare drasticamente il processo per i criminali informatici che cercano di danneggiare un determinate dispositivo. Uno dei modi più efficaci e più facili per evitare questa tendenza è semplicemente aggiungere patch e aggiornamenti alla pianificazione del lavoro. È difficile adattarsi a qualcosa se non è nel proprio calendario della giornata. Se non lo si pianifica come si fa per altre attività e riunioni, è facile rimandarlo a un altro giorno. L’applicazione regolare di aggiornamenti e patch assicura che il sistema operativo e le applicazioni in uso siano protetti da vulnerabilità note. Un recente attacco che dimostra l’importanza di questi aggiornamenti è WannaCry, che ha sfruttato le vulnerabilità note di Microsoft, per le quali le patch erano prontamente disponibili, per distribuire il ransomware. Allo stesso modo, è anche importante garantire che tutti i programmi e le applicazioni che vengono eseguiti all’interno della rete aziendale siano ancora supportati dal fornitore e che vengano ritirati o sostituiti quelli che non lo sono. Gli accessi non si condividono, le password si scelgono con cura La gestione degli accessi è una pratica di cyber-igiene semplice ma molto efficace. Si dovrebbero utilizzare password complesse e autenticazione a due fattori su tutti i dispositivi e gli account. Le password dovrebbero essere complesse, includendo numeri e caratteri speciali. E cercare di evitare il riutilizzo delle password attraverso vari gli account, in particolare su dispositivi e applicazioni utilizzati per accedere a informazioni aziendali sensibili. La più grande sfida per questo tipo di strategia per le password è semplicemente ricordarle o tenerne traccia. Ad esempio, è utile utilizzare acronimi o frasi per aiutare a ricordare le password. E poiché il numero di password da ricordare aumenta, è bene prendere in considerazione l’utilizzo di software di gestione che aiutano a tenerne traccia. Le password complesse potenziate con l’autenticazione a due fattori sono ancora migliori, garantendo che solo le persone autorizzate possano accedere a sistemi aziendali sensibili e dati sensibili. I recenti progressi nella biometria, come scanner di impronte digitali e software di riconoscimento facciale, forniscono un’autenticazione a più fattori simile. Aggiungiamo inoltre che le password stesse andrebbero cambiate nel tempo con una certa regolarità, in questo modo, database di informazioni personali caduti in mano agli hacker nel giro di poco tempo risulterebbero obsoleti. Queste sono pratiche che non mettono in difficoltà l’utente
Perché è importante avere un server virtuale (ma chi lo gestisce?)
Hai deciso di iniziare la tua attività online e hai a portata di mano diverse offerte di hosting. Puoi scegliere tra server condivisi, sicuramente più economici, e soluzioni private che si prestano ai progetti più impegnativi come e-Commerce e portali. Ma l’offerta di un provider non si riduce a questo, ci sono anche soluzioni intermedie. In qualche caso il web hosting condiviso non è sufficiente e il server dedicato è troppo impegnativo. Sia in termini di risorse che per quanto concerne il prezzo. Ecco perché in molti casi è importante lavorare con un VPS, il virtual private server. Si tratta di una combinazione di macchine, una rete per l’esattezza, che permette all’utente di ottenere una quantità di risorse ideale allo scopo. In base alle necessità richieste, puoi settare il tuo server virtuale e far girare il tuo sito web al meglio. Con vantaggi notevoli. Paghi solo ciò che consumi Uno dei vantaggi del Virtual Private Server è la possibilità di ottimizzare la spesa. Con un server dedicato hai il massimo a disposizione in termini di risorse hardware, e puoi far girare il tuo sito web in totale autonomia. Ci potrebbero essere dei picchi di traffico che giustificano tutto ciò, ma anche delle depressioni in termini di visite. Questo succede spesso con gli shop online che ricevono molte visite in corrispondenza delle festività o degli sconti. Un buon servizio di VPS ti consente di settare, al momento dell’acquisto, parametri relativi alla RAM, processore, hardware, spazio di storage e tutto ciò che serve per iniziare. Poi le possibilità di ottimizzazione sono infinite: i sistemi avanzati hanno un pannello di controllo per gestire in autonomia le richieste. Ciò significa che hai sempre la possibilità di settare al meglio i parametri della macchina. Il vantaggio: non devi preoccuparti delle risorse che scegli all’inizio, puoi sempre adeguarle in seguito. Dettagli che fanno la differenza Quando acquisti un server virtuale assicurati di avere alcuni benefit. Ad esempio il backup giornaliero come opzione da attivare e la migrazione gratuita, assistita e ottimizzata. Soprattutto in questi momenti è importante avere il supporto tecnico giusto, non improvvisato. Quale assistenza scegliere per il server privato? Molto dipende dalle possibilità e dalle risorse disponibili. Di solito i provider offrono due soluzione: full access e managed. La prima dà la possibilità al cliente di gestire ogni aspetto e di lavorare in autonomia. Questa è la soluzione consigliata a chi ha la possibilità di gestire un’architettura complessa senza problemi. La gestione guidata del server virtuale, invece, è per aziende e professionisti che conoscono l’importanza di un VPS ma non hanno le conoscenze necessarie per ottimizzare questa soluzione. Una soluzione che può diventare un problema se non può esprimersi al massimo. Ecco perché la scelta deve essere sempre presa con cognizione di causa. E con l’aiuto di tecnici professionisti al proprio fianco. Fonte: BitMat.it
Intranet aziendale: come realizzarne una efficiente?
Uno degli obiettivi principali delle intranet aziendali è quello di snellire le attività quotidiane dei dipendenti con una user experience moderna che renda il lavoro più semplice. Questo richiede spesso alcuni livelli di personalizzazione, in base alle esigenze delle aziende. Su molte piattaforme, le personalizzazioni possono incrementare la complessità e avere un impatto sulla sostenibilità, ma se ben eseguite, innalzano in modo significativo la soddisfazione dei dipendenti. In ogni caso, molte aziende hanno risorse di progettazione e sviluppo limitate da dedicare alla loro intranet. Patrick Pents, designer UX di Liferay, mette in luce cinque punti chiave per progettare una intranet personalizzata e alcune raccomandazioni su come definire priorità e ricerche in fase di pianificazione. La personalizzazione è un must — non c’è un unico design valido per tutti Nel 2018, molte aziende pensano che un sito sia adatto a tutti i dipendenti. Ma gli utenti di oggi, in particolare i millennial, sono avvezzi a tecnologie che si adattano ai loro bisogni. Non c’è una pagina o un design che possa soddisfare le esigenze di tutti, quindi la personalizzazione è necessaria per ottenere esperienze simili a quelle offerte da Netflix e Amazon, soprattutto in ambito aziendale. La scelta della piattaforma intranet è importante per la personalizzazione, in quanto avere le giuste funzionalità out-of-the-box può velocizzare in modo rilevante lo sviluppo iniziale. Uno degli errori commessi dalle aziende è di non consultare il team di progettazione in fase di valutazione del software. Se i designer UX fossero in grado di effettuare ricerche sugli utenti in anticipo, potrebbero identificare le loro necessità e assicurare che la piattaforma intranet scelta possa soddisfarle. Le personalizzazioni devono essere allineate agli obiettivi (Fase 1) Prima di partire con la costruzione, è opportuno riunirsi con le parti interessate per definire in modo chiaro il problema che si sta cercando di risolvere con l’attivazione della Fase 1 del progetto. Chiedere quali siano i loro obiettivi in questa fase aiuterà il gruppo a focalizzarsi sulle priorità e non sul tentativo di implementare funzionalità che immaginano di possedere sulla intranet. A questo, segue la comprensione della vision e degli obiettivi di tutti. Ogni interessato avrà un modo differente di pensare il progetto e una motivazione diversa per realizzarlo. È importante raccogliere tutti i punti di vista e consolidarli in un’unica vision. Ora si possono stabilire i criteri per la Fase 1: in base al problema che si sta cercando di risolvere e alla prospettiva che abbiamo identificato, quale risultato sarebbe di successo per il gruppo? In altre parole, quali funzionalità e personalizzazioni sono necessarie affinché la Fase 1 sia un successo? Il progetto non decollerà se non sono tutti d’accordo. È importante definire e documentare questi obiettivi da subito. Nuove idee giungeranno durante il progetto e con criteri solidi alla mano sarà possibile fare paragoni e confrontarsi se includerle già in questa fase o attenderne una successiva. Se non c’è un team di design UX dedicato, affidarsi a esperti esterni. Se un’azienda non ha le risorse interne per la progettazione UX dell’intranet, si raccomanda di assumere esperti esterni, o almeno un consulente, per trovare la giusta direzione. Svolgere questa attività per la prima volta in autonomia potrebbe condurre a errori molto più costosi rispetto all’assunzione di un consulente. Risorse con esperienza possono suggerire l’approccio migliore per realizzare il progetto. Se davvero non c’è possibilità di assumere un esterno, ci sono alcune ricerche di base da realizzare in autonomia per partire con il piede giusto, ad esempio ricercare le best practice UX per intranet, leggere articoli rilevanti in merito e trovare linee guida comuni. Investire nella ricerca sugli utenti Idealmente, il team avrà tempo e risorse per intervistare gli utenti prima di progettare la intranet, ma il progetto avrà una scadenza e, se si sta lavorando con tempi veloci, potrebbe essere necessario limitare la quantità di ricerche. Ci sono comunque molti metodi che possono fornire elementi solidi senza un enorme investimento di tempo. Se la scadenza fosse proprio ravvicinata, è possibile intervistare le persone che lavorano spesso con questi utenti. Uno degli elementi positivi nella progettazione di una intranet è la semplicità di comunicazione con l’utente. I project manager possono parlare direttamente con i dipendenti per comprendere esigenze e punti deboli, ed è già un ottimo inizio per progettare una intranet utile. Pianificare un processo di valutazione in fase iniziale, perché la progettazione UX non finisce mai. La progettazione UX non ha mai fine. Continua a cambiare e a rifinirsi. È importante ascoltare gli utenti e decidere se tali cambiamenti saranno significativi per un aumento della produttività. Ci sono molti modi per valutare la Fase 1 e comprendere quali aspetti migliorare. Si possono utilizzare strumenti come Google Analytics, Hotjar o Liferay Analytics Cloud, fare test e indagini con gli utenti. Si può parlare con loro, apprendere gli errori commessi e ripetere il processo di ricerca per cercare di risolverli. Onestamente, quando si parla di Intranet, la maggior parte delle aziende non inizierà una Fase 2 a meno che non ci sia una concreta necessità. “Abbastanza buono” ha una soglia inferiore rispetto ai siti dedicati ai clienti, in quanto il valore di business di una intranet è indiretto. Le aziende non vogliono investire in grandi miglioramenti a meno che non ci sia un problema evidente. Migliorare l’Intranet per migliorare la customer experience Personalizzare l’intranet in base alle esigenze dei dipendenti permetterà alle aziende di ottenere anche un ROI migliore. Potenziare l’esperienza delle risorse interne permetterà di fornire customer experience più efficaci. Processi interni più rapidi e accurati permetteranno di garantire esperienze apprezzate dai clienti. Fonte: BitMat.it
90 giorni alla fatturazione elettronica tra privati: Sei pronto?
Manca poco al 1° gennaio 2019, quando la fatturazione elettronica B2B diventerà obbligatoria anche per tutte le categorie che ancora non avevano l’obbligo di introdurla. Questo significa che, da questa data, non sarà più possibile scambiarsi le fatture nelle modalità tradizionali o conservarle in modalità cartacea perché queste non avranno alcun valore. Sai già come procedere? Quali sono le attività necessarie per adempiere nei tempi previsti? Se non ti sei ancora aggiornato, Sirio Informatica ha messo a disposizione un e-book gratuito dove è possibile trovare tutte le informazioni necessarie per adempiere correttamente alla nuova normativa. Di seguito invece, ecco il decalogo delle cose da sapere riguardante la fatturazione elettronica Il nucleo normativo originario della fattura elettronica sta nella Direttiva 2014/55/UE del 16 aprile 2014 relativa alla fatturazione elettronica negli appalti pubblici. La fatturazione elettronica tra privati nasce successivamente per combattere l’evasione fiscale e semplificare i procedimenti fiscali per ridurre anche la portata degli adempimenti. Dal 1 luglio 2018 la fattura elettronica è diventata obbligatoria tra privati per le cessioni di benzine o gasolio per autotrazione e per le prestazioni rese da subappaltatori nel quadro di un contratto di appalti pubblici (a eccezione delle cessioni effettuate presso gli impianti stradali di distribuzione, per le quali l’obbligo decorrerà dal 1° gennaio 2019) Il secondo step prevede la fattura elettronica obbligatoria da settembre 2018 nei confronti dei soggetti extra-UE per quanto riguarda le fatture emesse in ambito tax free shopping: la motivazione qui è la volontà di incentivare il commercio internazionale. Terzo step: fattura elettronica obbligatoria dal 1 gennaio 2019 per tutte le operazioni tra privati, persone fisiche e giuridiche. Il formato cartaceo non è più valido. Cosa rischia chi non si adegua? In riferimento alle suddette scadenze di decorrenza dell’obbligo di emissione della fattura elettronica è prevista una sanzione amministrativa compresa tra il 90% e il 180% dell’imposta relativa all’imponibile non documentato in maniera corretta o registrato nel corso dell’esercizio. In cosa è diverso il “Sistema Italia” nell’ambito delle fatturazioni tra privati? Tra i diversi modelli di fatturazione elettronica possibili, l’Italia ha selezionato quello noto come il “Clearance Model” ovvero il modello che prevede lo scambio di documenti fiscalmente rilevanti tra cliente e fornitore attraverso un sistema pubblico gestito dalle autorità fiscali nazionali. Come funziona la fatturazione elettronica tra privati? Per consentire l’invio delle fatture elettroniche tra privati, l’Agenzia delle Entrate ha messo a disposizione di tutti i contribuenti titolari di partita IVA il SdI, Sistema di Interscambio, creato per la fatturaPA. Su ogni fattura elettronica, creata in XML, deve essere apposta la firma digitale e la marca temporale, per garantirne l’integrità e l’autenticità; ogni fattura, attiva o passiva, va poi conservata digitalmente per un periodo di 10 anni. Quali sono le soluzioni informatiche in grado di supportare le aziende in questo nuovo processo? Le principali software house stanno aggiornando i propri ERP per adeguarli alle richieste della nuova normativa. Sirio informatica e sistemi SpA, per esempio, ha sviluppato Fatturazione Elettronica Sirioche, indipendentemente dal gestionale in uso, consente di creare fatture in formato XML con i dati necessari, di apporvi firma digitale e marca temporale, di inviarle allo SdI gestendo le notifiche di accettazione o di scarto, oltre a consentire una perfetta gestione anche delle fatture passive. Il supporto di società informatiche può dare una risposta alle esigenze delle aziende anche per quanto riguarda la conservazione sostitutiva delle fatture elettroniche. Anche in questo caso Sirio informatica e sistemi è in grado di proporre soluzioni e servizi in total outsourcing che manlevano le aziende dagli oneri e dalle responsabilità previste, quali la nomina di un responsabile aziendale per la conservazione sostitutiva, la registrazione di un certificato digitale, la redazione di un manuale di conservazione, la creazione di volumi di conservazione con marca temporale. Fonte: BitMat.it
GDPR e cookies: il 65% delle aziende non è a norma
Nonostante il GDPR sia entrato in vigore lo scorso 25 maggio, si stima che il 65% circa delle aziende non siano ancora in regola. Il nuovo quadro normativo fa assumere particolare rilievo al trattamento dei dati, alla tematica dei cookies e a tutte le tecnologie assimilabili (come i web beacon o clear gift) per la tracciatura e il monitoraggio degli utenti on line. L’utilizzo di queste tecnologie su web è già stata in precedenza oggetto della normativa detta “ePrivacy”, tuttavia l’entrata in vigore del GDPR impone ai gestori dei siti web un’attenzione particolare nel trovare nuove soluzioni tecniche, in particolare sul tema del consenso dell’utente, per rendere il proprio sito GDPR compliant. La compliance del sito web al GDPR è una tematica delicata visto richiede molta attenzione e l’integrazione di competenze sia tecniche che normative. In realtà, l’attenzione del legislatore europeo verso il tema dei cookie iniziò già nel 2002, con un susseguirsi di normative che hanno più volte affrontato e aggiornato questo tema. Ma come mai i cookies sono presi così di mira anche dal GDPR? I cookies sono dei file di testo inviati sul computer dell’utente nel momento in cui sta visitando un sito web: in origine, sono nati come strumenti per migliorare la navigazione, in quanto permettevano di leggere e/o memorizzare delle informazioni (es. preferenze sull’aspetto grafico, ultima lingua scelta dall’utente sul sito, etc…) che al successivo accesso venivano direttamente riproposte, migliorando l’esperienza dell’utente. Ben presto, tuttavia, i cookies iniziarono ad essere utilizzati anche per identificare, riconoscere e classificare il visitatore del sito. Le aziende ne compresero il potenziale e insieme ai “cookie tecnici” (necessari per il funzionamento del sito) iniziarono a sviluppare cookie statistici (per analizzare le visite al sito) e anche cookies di profilazione, con il fine di creare annunci personalizzati e aderenti ai gusti del visitatore. La tecniche di profilazione dei visitatori su web diventarono così sempre più avanzate e spesso all’insaputa dell’utente: i cookie iniziano ad essere distribuiti anche da siti terzi, e nacquero società come DoubleClick (acquisita a marzo 2008 da Google) che tracciavano gli utenti durante tutta la loro navigazione online, per poi mostragli annunci personalizzati sui vari siti. “Questo è un aspetto sottovalutato da molti web master” – osserva Delia Caraci, consulente e owner di Digitalsfera, agenzia specializzata in web marketing – “per questo da quando è entrato in vigore il GDPR, stiamo affiancando un team di consulenti privacy sugli aspetti tecnologici legati al web, ed in particolare relativi ai cookie. In più occasioni, negli ultimi 4 mesi, ci siamo imbattuti in siti web che non erano stati adeguati correttamente al GDPR, in quanto i webmaster stessi non sapevano esattamente cosa fare, esponendo così ad un alto rischio il titolare dello stesso sito web.” Ed è l’uso dei cookie di “profilazione” ad essere preso di mira soprattutto dalle diverse normative, e non meno dal GDPR, perché questi cookie tracciano il percorso di navigazione di una persona fisica anche su siti differenti, acquisendone a sua insaputa informazioni comportamentali, tracciandone il profilo e usando queste informazioni a fini di marketing. “Oggi molti siti web devono integrare obbligatoriamente procedure di analisi delle performance e dei cookies di profilazione pubblicitari che però devono richiedere il consenso del visitatore web, in mancanza del quale il titolare del sito rischia pesanti sanzioni” conclude Caraci. Fonte: BitMat.it
Cybertech 2018, gli esperti di sicurezza lanciano l’allarme. Nel 2017 perso 1 miliardo a causa del cybercrime
La due giorni ha riunito i leader di mercato e i maggiori esperti al mondo per gettare le basi per affrontare le nuove sfide legate alla cybersecurity. Più di 100 aziende, migliaia di partecipanti da oltre 40 Paesi nel mondo: sono questi i numeri della terza edizione di Cybertech Europe 2018, il più importante evento europeo dedicato al settore della cyber security organizzato in collaborazione con Leonardo e con l’innovation partner Accenture, che si è svolto a Roma il 26 e 27 settembre. La due giorni si è confermata occasione unica per riunire i leader di mercato e i maggiori esperti al mondo, che si sono confrontati sulla visione strategica del panorama presente e futuro e hanno così gettato le basi per affrontare le nuove sfide legate alla sicurezza informatica. Parole chiave: resilienza e collaborazione. Nel corso dell’evento è emersa l’esigenza reale e concreta di adottare, aziende e istituzioni insieme, un approccio vigile nei confronti dei possibili scenari futuri e di potenziali rischi sconosciuti. Innovazione e strumenti tecnologici appropriati sono gli elementi imprescindibili per prevedere, identificare e affrontare le minacce. “La rivoluzione parte dall’infrastruttura tecnologica, che è come l’ossigeno nell’aria: non si può farne a meno. È necessario creare un ambiente più resiliente ed essere più preparati; incoraggiare nuove idee, alimentare l’economia, supportare le startup”, ha dichiarato Amir Rapaport, Founder e Editor-in-Chief di Cybertech. “Cybertech Europe rappresenta un palco strategico e prestigioso per far incontrare i guru della cyber security con i protagonisti di questo settore. Roma è il luogo ideale per mettere in contatto le istituzioni con il settore pubblico e privato, raggiungendo una visione comune e condivisa”. Alessandro Profumo, Amministratore Delegato di Leonardo, ha introdotto la sessione plenaria focalizzandosi sull’approccio proattivo che è necessario adottare per affrontare le sfide di oggi. “La protezione del dominio cibernetico è un aspetto fondamentale per garantire la resilienza delle infrastrutture critiche, la sicurezza della pubblica amministrazione, delle imprese e del singolo cittadino, la crescita economica di un Paese. Il cyber spazio e la cyber security hanno una rilevanza strategica per Leonardo, impegnata ad assicurare il massimo livello di affidabilità e resilienza mediante l’impiego delle proprie piattaforme e di competenze riconosciute a livello internazionale”. Gus Hunt, Cyber Strategist Accenture Federal Services, ha parlato di come raggiungere la cyber resilienza. “Nel combattere il cyber crime finora le organizzazioni hanno avuto un approccio puramente reattivo. Oggi l’87% degli attacchi informatici mirati ai nostri sistemi viene bloccato, eppure ogni anno le organizzazioni subiscono in media ancora 30 violazioni, con un costo medio annuo di quasi 12 milioni di dollari. Dobbiamo cambiare strategia e passare dalla cybersecurity alla cyber resilience, adottando un comportamento proattivo e progettando e costruendo tutti i sistemi in modo che le organizzazioni continuino ad operare malgrado gli attacchi”, ha spiegato. Inoltre, Eva Chen, CEO di Trend Micro, ha spiegato cosa significa vivere in un mondo connesso: “Siamo tutti connessi ma in qualità di vendor nell’ambito della cyber security, sono piuttosto preoccupata da una quantità così elevata di connessioni. Il 97% delle aziende ha avuto a che fare con malware; entro il 2020 vedremo ben 20 miliardi di oggetti connessi. Le minacce informatiche sono sempre più subdole, ogni mese compaiono 27 nuove famiglie di ransomware e ci aspettiamo che abbiano un impatto crescente su un numero sempre più alto di dispositivi. Inoltre, tali minacce, sono sempre più difficili da individuare per via del machine learning e dell’intelligenza artificiale”. Eugene Kaspersky, CEO di Kaspersky Lab, ha condiviso la sua vision sul cybercrime e sulle nuove frontiere nella cyber security. È necessario un cambiamento di mentalità rispetto all’approccio tradizionale alla sicurezza informatica. “Stiamo assistendo a un aumento delle organizzazioni criminali. Qualche numero sulle minacce informatiche: nel 2017 c’è stato un aumento esplosivo per i malware, arrivati a 117.000.000 e in 2 anni è stato sottratto 1 miliardo di dollari (Carbanak). Nell’era in cui il sistema industriale rappresenta uno degli scenari più pericolosi, il costo del cybercrime per l’economia globale all’anno equivale a quello di 4 stazioni spaziali. La mia speranza per il futuro è trasformare la sicurezza informatica in immunità”, ha così commentato. Rodolfo Rotondo, Business Solutions Strategist, VMware Accelerate Advisory Services, ha illustrato come cloud, mobility e l’evoluzione delle architetture applicative trasformeranno l’approccio alla cyber security: “La tecnologia da sola non è sufficiente per una protezione efficace delle minacce: seguire alcuni semplici principi di igiene cyber ed una educazione sulla consapevolezza del rischi sono elementi fondamentali per una strategia vincente di cyber security”. Fonte: Key4Biz.it