Operatori As/400 – IBM i

corso da remoto

A dispetto degli oltre trent’anni di carriera (anno di nascita: 1988) i successi dell’As/400, o IBMi se preferite, continuano. Sono oltre 10.000 le aziende italiane di varia dimensione che lo utilizzano con successo e soddisfazione, ma esiste una criticità che potremmo definire “obsolescenza … generazionale”.
Una discreta percentuale del personale che lo conosce a menadito si sta avviando alla meritata pensione e non ci sono in giro strumenti formativi adeguati per mettere sul mercato sostituti adeguatamente preparati. Per inciso, il problema riguarda in eguale misura sia le aziende clienti che le società informatiche che attivano o personalizzano le soluzioni su questa piattaforma.

Il modello didattico
Faq400, organizzazione che da sempre è attenta al problema, ha preparato un corso per operatori in due tranche, dall’11 al 14 dicembre e dal 18 al 21 dello stesso mese. Definirlo “on line” è riduttivo, dato che il numero degli allievi è volutamente limitato (da 4 a 8) e che il docente avrà una forte interazione con loro. Non è stato organizzato in presenza per consentirne la partecipazione ad allievi residenti sull’intero territorio nazionale.

Attenzione, pericolo: cambio di ERP in corso!

quattro domande a Christian Costa

​

Facciamo due conti: considerando che l’inizio delle soluzioni gestionali può essere collocato nella seconda metà degli anni ’70, in una cinquantina d’anni le aziende italiane hanno cambiato mediamente dai 3 ai 4 ERP ma anche di più. I motivi? Evoluzione tecnologica, necessità di coprire adeguatamente un numero crescente di processi ma anche crescita della struttura verso mercati più internazionali, più complessi, più competitivi, più articolati.
A dispetto di questo patrimonio non banale di esperienze che ciascuna PMI ha vissuto in prima persona, si sentono ancora di frequente lamentele sui progetti di migrazione al nuovo ERP: troppo lunghi, troppo costosi, non soddisfacenti in termini di aumento della produttività, con qualche incomprensione di troppo con il fornitore, magari con situazioni di “contestazione passiva” da parte dei propri dirigenti.
Per capirne i motivi abbiamo intervistato Christian Costa, che da parecchi anni svolge un ruolo del tutto particolare nell’attivazione degli ERP.

Christian, partiamo dalla base: è vero che non sei l’unico, ma fai parte di una ristretta categoria di professionisti che “fanno da cuscinetto” tra azienda cliente e fornitore sia nella fase di selezione e definizione contrattuale del progetto IT che di verifica dell’avanzamento e del rispetto di quanto concordato. Vuoi spiegare sinteticamente in che cosa consiste la tua attività?

L’ideale che mi spinge e che mi ha spinto ad avviare questo tipo di consulenza basata sul modello LEANformatica è tanto semplice quanto complesso: fare in modo che ogni cambio di gestionale sia un progetto di successo. Banale? Assolutamente no! Ormai è un dato di fatto che nessun progetto ERP rispetta tempi e costi per ottenere i risultati attesi e che molti progetti raddoppiano tempi e costi prima di raggiungere i risultati attesi (che non va confuso con il Live!) Se poi consideriamo che circa il 20% dei progetti subisce gravi disagi e blocchi operativi a cavallo del Live, è chiaro che il problema è grave al punto da limitare le aziende nel decidere di avviare questo progetto. Ecco che un modello che renda tutto più semplice ed affidabile aiuta sia le aziende nel decidere ad affrontare questo progetto sia i fornitori ad avere più opportunità che vanno a buon fine anche per loro; in breve si tratta di un percorso reciprocamente virtuoso che premia cliente e fornitore.

Diamo per scontato – l’affermazione è facilmente verificabile – che oggi tutti gli ERP sono validi (il ché non significa che siano tutti uguali) e che la stragrande maggioranza delle software house è professionale e preparata. In un mondo così articolato, la scelta di una soluzione che sia adeguata ai livelli organizzativi dell’azienda e di un fornitore che abbia le migliori competenze nel settore specifico di attività non è affatto banale. In questo tuo ruolo di facilitatore, non rischi di essere “il vaso di coccio tra vasi di ferro”? E come ti regoli per aiutare gli interlocutori a superare punti di vista divergenti?

È proprio come dici tu: oggi i software sono affidabili ed i fornitori sanno fare il loro mestiere ma i dati dimostrano che serve andare oltre l’eccellenza di prodotti e fornitori per ottenere il successo del progetto. Personalmente interpreto il mio ruolo non come quello di decidere che cosa serve al cliente bensì quello di mettere a disposizione 30 anni di esperienze attraverso il modello LEANformatica ovvero un set di check list, matrici e protocolli che, in modo semplice e chiaro, permettono, a qualsiasi persona, di affrontare ogni fase del progetto con la giusta consapevolezza. Vaso di coccio tra vasi di ferro? Certo, questo è un rischio concreto ma 32 anni di esperienza mi permettono di unire gli obiettivi e guidare i vasi di ferro nella stessa direzione, evitando le false scorciatoie che porterebbero inevitabilmente ai classici problemi di questi progetti
Se ripenso alle esperienze di questi anni, più volte mi è capitato di far saltare contratti in firma; questi eventi sono ovviamente difficili e scomodi per tutti ma, allo stesso tempo, danno all’azienda una maggiore serenità per quello che hanno evitato ed al fornitore subentrato il giusto riconoscimento della sua professionalità e specializzazione.

Chiudiamo con qualche riferimento reale: puoi sintetizzarci la “Case history” tipica di un tuo intervento? In particolare, perché ti hanno inserito come parte fondamentale del progetto e quali attività hai svolto?

Il cliente “tipo” è l’azienda che ha già vissuto, anche solo indirettamente, le difficoltà del cambio ERP ed è consapevole che, affrontare da soli questo percorso, li espone a rischi potenzialmente gravi. Come dicevo, utilizzo il modello LEANformatica il quale permette, all’azienda, di guidare autonomamente la scelta e di imparare un metodo che potrà essere riutilizzato in altri progetti. ATTENZIONE: al contrario di quello che potrebbe sembrare, la parte più importante di LEANformatica non è rivolta verso il fornitore ma verso gli utenti; certo, coinvolgere il fornitore è imprescindibile per guidare e responsabilizzare gli utenti. Per quanto riguarda le attività, quelle che svolgo sono 4: la stesura del capitolato tecnico con o senza revisione dei processi, la ricerca e selezione del fornitore più in linea al capitolato, la stesura di un contratto a garanzia del successo del progetto ed il supporto nei SAL di progetto.

E, a fronte di queste aspirazioni del cliente (ma, credo, anche del fornitore), quali sono stati i vantaggi che hai toccato con mano?

Evitare, alle aziende, decisioni sbagliate che avrebbero portato i progetti in situazioni critiche, al blocco operativo o, peggio, al fallimento con tutto quello che ne consegue in termini di costi e stress sia per l’azienda che per il fornitore. Se entriamo nel dettaglio, un progetto ERP impone molte decisioni tra moltissime scelte; volendo fare un paragone, trito e ritrito ma molto realistico, il cambio del gestionale ha la stessa complessità di una trasferta in una metropoli caotica e sconosciuta. Una volta era normale provarci chiedendo consigli ai passanti, poi si è passati alle cartine ma oggi nessuno lo farebbe senza un navigatore! Lo stesso vale per i progetti ERP e, per questo, mi sento onorato quando vengo definito “il navigatore dei progetti ERP” ecco, magari un Google Maps aggiornato e non un vecchio GPS portatile dei primi anni 2000. Al di là dei paragoni, 32 anni di esperienza nel cambio dei gestionali mi permetto di assumermi la responsabilità delle mie promesse garantendo contrattualmente il successo del progetto indipendentemente dal software scelto.

Christian Costa
LTS Progetti

info@leanformatica.it – www.LTSprogetti.it

La corretta ricezione e gestione delle SDS

un elemento chiave per la sicurezza, la compliance e la sostenibilità

In un mondo aziendale sempre più complesso e normato, la gestione dei documenti e dei flussi informativi è fondamentale per il corretto funzionamento di ogni organizzazione. Tra i vari tipi di documentazione, le Schede Dati di Sicurezza (SDS) assumono un ruolo di primaria importanza, soprattutto quando si parla di rischio ambientale, salute e sicurezza sul lavoro, compliance e sostenibilità.

Il ruolo critico delle SDS
Le SDS, infatti, contengono informazioni dettagliate sui prodotti chimici acquistati e utilizzati all’interno dell’azienda, tra cui le proprietà fisiche e chimiche, i rischi per la salute e l’ambiente, le misure di prevenzione e le precauzioni per l’uso sicuro. Se non correttamente ricevute e gestite, l’impresa può incorrere in gravi rischi.

Rischi associati alla cattiva gestione delle SDS
Per l’azienda, il mancato controllo del processo di ricezione e gestione delle SDS può comportare rischi significativi, che vanno oltre le sfide operative quotidiane affrontate dai reparti HSE. In caso di mancanza di policy e indicazioni sul come gestire rigorosamente questo aspetto, il Top Management può addirittura essere ritenuto responsabile per le conseguenze derivanti dalla mancanza di un adeguato sistema di gestione delle SDS. Innanzitutto, c’è il rischio legale. La violazione delle leggi e dei regolamenti sulla sicurezza sul lavoro e sulla gestione dei prodotti chimici può comportare rivalse legali, sanzioni elevate e persino azioni penali nei confronti dei dirigenti. In secondo luogo, c’è il rischio reputazionale. La mancata gestione delle SDS può portare a incidenti sul lavoro o danni ambientali che attirano l’attenzione dei media, danneggiando la reputazione dell’azienda. In un’era in cui i consumatori e gli investitori sono sempre più attenti alla responsabilità sociale delle imprese, i danni alla reputazione possono avere conseguenze a lungo termine sulla competitività e sul valore dell’azienda. Infine, la mancata gestione delle SDS può compromettere gli sforzi compiuti dall’azienda per documentare la propria sostenibilità. Le SDS contengono infatti informazioni cruciali per la gestione responsabile di sostanze chimiche pericolose, che è un elemento chiave delle pratiche di sostenibilità. Questo aspetto, se non gestito correttamente, ha un impatto fondamentale sul prodotto finale, sul suo eventuale riciclo o rifiuto, in ultima analisi su tutti gli aspetti connessi alla produzione e al consumo responsabile. Senza un adeguato processo di gestione delle SDS, l’azienda può non essere in grado di rispettare gli obiettivi di sostenibilità, di ottenere certificazioni ambientali o di rispondere in modo adeguato alle richieste di informazioni da parte degli stakeholder sulla gestione dei rischi.

L’importanza di un processo ben definito
Nonostante la sua evidente importanza, il processo di ricezione e gestione delle SDS è spesso trascurato o non chiaramente affidato a un responsabile. Ciò rappresenta un errore strategico. Infatti, la governance di un’azienda non dovrebbe permettersi di gestire in modo destrutturato un processo aziendale così rilevante.
Prendiamo ad esempio la gestione degli ordini ricevuti dai clienti: in ogni azienda tale processo è stato affinato e strutturato in modo da garantire che non si perda alcun documento. Si è creato un flusso di lavoro ben definito, normalmente affidato all’amministrazione vendite, che va dalla ricezione dell’ordine, alla sua digitalizzazione, fino all’inserimento nel sistema informatico per la sua corretta gestione. Questo processo, curato in ogni dettaglio, è essenziale per assicurare la continuità operativa dell’azienda e per evitare possibili problemi come ritardi di consegna, errori di fatturazione e, in ultima analisi, la perdita di vendite, se non addirittura di clienti. Allo stesso modo, è necessario affinare e strutturare un processo di ricezione e di gestione delle SDS in ingresso. Un tale processo dovrebbe comprendere la ricezione tempestiva delle SDS dai fornitori, la loro digitalizzazione per garantire un facile accesso e ricerca, l’aggiornamento continuo in base a nuove versioni o a modifiche normative, e infine la formazione dei lavoratori sul loro corretto utilizzo.

Il ruolo della digitalizzazione
In questo contesto, che può sembrare un consueto processo di supply chain, emerge inoltre una particolarità di cui si dovrebbe tener conto da subito: affinché il processo di gestione delle SDS sia realmente efficiente, non è sufficiente che ci si accontenti della semplice ricezione e archiviazione dei documenti (le SDS, che contengono tantissime informazioni di dettaglio, vengono normalmente rese disponibili come semplici PDF). E’ anche necessario che i documenti ricevuti vengano digitalizzati, ovvero che le informazioni più importanti vengano “estratte” dai documenti e trasformate in “informazioni digitali classificate” in modo da essere utilizzate in elaborazioni successive, quali ricerche, report e analisi. Inoltre, la digitalizzazione dei dati consente di integrare le informazioni delle SDS nel sistema informativo dell’azienda, facilitando così la gestione del rischio chimico, la compliance con le normative in vigore, nonché fornire dati rilevanti — e, soprattutto, tracciabili e misurabili — per il reporting di sostenibilità. Data la tipologia e la quantità delle informazioni che è importante digitalizzare, il loro caricamento manuale nel sistema di gestione non è sostenibile, in quanto sarebbe troppo oneroso e non sufficientemente affidabile (i dati da caricare sarebbero decine, quando non centinaia, per ogni SDS ricevuta). E’ quindi essenziale che il sistema di gestione delle SDS sia in grado, alla loro ricezione, di sottoporre i documenti ad un processo di digitalizzazione automatica.

Conclusioni
In conclusione, è necessario che l’alta direzione di un’azienda — se non lo ha già fatto — comprenda l’importanza di un processo di ricezione e gestione delle SDS ben definito ed efficiente, e si faccia parte diligente affinché esso sia correttamente implementato. Ignorare questa realtà può comportare rischi gravi, dal punto di vista operativo, reputazionale e legale. Al contrario, un’attenzione proattiva a questo processo rappresenta un elemento distintivo di responsabilità e di eccellenza aziendale. Oggi, grazie all’evoluzione della Digital Transformation, esistono servizi, metodologie e tecnologie che permettono di semplificare e rendere efficiente anche questo processo in modi che fino a pochi anni fa non erano disponibili. Strumenti come intelligenza artificiale, automazione dei processi e soluzioni cloud offrono nuove opportunità per migliorare la gestione delle SDS. Queste soluzioni innovative permettono di automatizzare l’intero processo di ricezione, digitalizzazione e gestione delle SDS, riducendo così il tempo, gli sforzi necessari e aumentando l’efficienza. Inoltre, aiutano a garantire che tutte le SDS siano sempre presenti e aggiornate, non solo per i nuovi prodotti da acquistare, ma anche per quanto riguarda le nuove versioni delle SDS dei prodotti in uso, emesse dai produttori chimici per adattarle alle frequenti modifiche normative. Questo assicura che l’azienda sia sempre conforme alle normative in vigore e che i lavoratori abbiano sempre accesso alle informazioni più recenti e pertinenti per la loro sicurezza. Non c’è quindi scusa per non affrontare e risolvere il problema della inadeguatezza del processo di ricezione, gestione e digitalizzazione delle SDS. Le soluzioni sono a portata di mano e i benefici, che si tratti delle esigenze aziendali in termini di sicurezza, di compliance normativa e commerciale, nonché di sostenibilità, sono troppo grandi per essere ignorati. L’implementazione di un processo efficace di gestione delle SDS dovrebbe essere una priorità per ogni azienda responsabile.

Roberto Di Martino
Every Software Solutions

info@everysws.com – www.every-sws.com

Duello messicano

L’editoriale di Breaking News!

Concedetemi un piccolo tuffo nel passato, agli Anni ’60 ed ai film western di Sergio Leone che magari tra di voi c’è ha visto ed apprezzato. Che cosa centri con l’IT vedrò di spiegarlo tra un attimo, se avrete la pazienza di continuare la lettura.
Agosto è un periodo strano, in cui ci si può permettere qualche pausa. Divagando qua e là su quello che è l’installato nell’azienda italiana, mi è venuta la curiosità di capire se e quali siano le condizioni che indirizzano alla tecnologia su cui appoggiare il proprio sistema informativo. Certo, do per scontato che tra i criteri di scelta prevalgono da tempo quelli di copertura applicativa, ricchezza di funzionalità, diffusione, internazionalità, garanzie di assistenza ed altro ancora. Attualmente, è noto, non sono i responsabili dei sistemi informativi a dettare i criteri di scelta o, semplicemente, a far pendere la bilancia in una direzione o l’altra. Oggi le logiche del cambio di ERP sono dettate in primis dai responsabili delle varie aree operative, dalla produzione alla logistica, dalla contabilità e finanza al commerciale e marketing.

In ogni caso …
Un giorno ho preso in mano i dati, li ho segmentati secondo un certo numero di dimensioni (geografica, merceologica, di fatturato o personale …) e, solo per dare un chiarimento, ho aggiunto ai numeri qualche considerazione: le conclusioni sarà ciascuno di voi a trarle. Ho suddiviso l’installato in tre contesti concorrenti: IBM con il suo As/400, il mondo Microsoft e quello Unix. Per non complicare troppo gli scenari ho lasciato da parte le soluzioni SaaS, quelle Linux e qualche altra che in Italia è meno rappresentativa.
Mano a mano che il lavoro si concretizzava, mi si è tornata davanti agli occhi una scena: il finale ad altissima tensione de “Il buono, il brutto e il cattivo” che si svolge in un’aia circolare in cui si fronteggiano il buono, Clint Eastwood, il brutto, Eli Wallach e il cattivo, Lee Van Clif.

Il “triello”
Abituato ai duelli alla pistola con due che si fronteggiavano per dimostrare chi sia più veloce ad estrarre e a sparare dritto, devo dire che è un episodio che mi è rimasto impresso. In quello che viene definito Stallo alla Messicana oppure Triello (termine, a mio gusto, decisamente orrendo), i contendenti invece sono tre e ciascuno deve studiare una strategia per sopraffare gli altri due, minimizzando parallelamente i pericoli. Una partita a scacchi complessa e rischiosa.
Tornando all’analisi di mercato, la tenzone tra As/400, Microsoft e Unix è comunque intrigante. Non mi sono preoccupato di mettere in evidenza i numeri complessivi del fenomeno quanto le percentuali che ho desunto dalla casistica contenuta nel mio data base. In ogni caso, diciamo che ho preso in esame un campione di oltre 15.000 aziende, per cui assolutamente attendibile.

Un piccolo ricordo per concludere
Non l’ho mai conosciuto in maniera adeguata, anche se ci siamo incrociati più volte, ma la notizia che Mino Zucchetti è mancato in questi giorni mi ha colpito profondamente. Al di fuori delle capacità imprenditoriali, che i risultati dimostrano senza ombra di dubbio, vorrei sottolineare che ha intuito in anticipo i potenziali del nascente mercato informatico e li ha declinati in funzione delle sue esperienze professionali, verso gli studi dei Commercialisti e dei Consulenti del Lavoro come pure per gli uffici paghe. Non solo, ma oltre all’impegno come produttore di software ha creato dal nulla – o, se preferite, inventato nel senso che non c’erano esempi a cui ispirarsi – il modello organizzativo per una rete di partner commerciali ed applicativi estesa a tutta Italia. Davvero una persona unica.

Alberto Delaini

Cybersecurity per PMI

ENISA te la spiega in modo chiaro!

Oggi come oggi non esiste azienda che non abbia il tema della sicurezza informatica in agenda. Rimane però il problema di come implementare efficacemente i sistemi di difesa.
L’ENISA, l’ente chiave per la Cybersecurity dell’Unione Europea, ha pubblicato alcuni documenti con i quali segnala alle PMI le misure di sicurezza necessarie per affrontare i Cyber Risk del giorno d’oggi.
All’interno dei documenti prodotti si trovano le linee guida dedicate a: la sicurezza dei dati personali, l’analisi degli standard in tema di sicurezza e privacy, una Cloud Security Guide e, soprattutto, l’Handbook on Security of Personal Data Processing del 2018, indicato più volte dalle varie autorità di controllo come benchmark per valutare ed affrontare i cyber risck.

L’ENISA, ha stilato una serie di punti di attenzione, che aiutano le PMI ad affrontare la cyber security, in uno scenario ormai completamente digitalizzato.

Ma perché le PMI?

A causa della pandemia, le PMI hanno dovuto adottare in tempi rapidissimi, misure di continuità aziendale come servizi cloud, aggiornamento dei loro servizi Internet e dei loro siti web, possibilità per il personale di lavorare da remoto. Ma proprio aumentando l’esposizione di informazioni e dati personali, che si incrementa il rischio di attacchi via email, phishing e malware.

La necessità di adottare nuove misure in tempi rapidi ha spesso portato le PMI a mettere in secondo piano la sicurezza. Tuttavia, secondo l’ENISA, le piccole e medie imprese sono un obiettivo prediletto dai cyber criminali in quanto spesso forniscono servizi a organizzazioni più grandi. Queste entità diventano quindi un canale attraverso cui arrivare a realtà più grandi.

A fronte di tale contesto, l’ENISA ha prodotto una ricerca sul campo, onde comprendere le principali esigenze e criticità delle PMI in questo periodo storico, per poi fornire una serie di punti di attenzione tarati sui risultati concreti.
I risultati della ricerca
Oltre l’85% delle aziende interpellate per la ricerca ha dichiarato che i problemi di sicurezza informatica subiti avrebbero un grave impatto negativo sulla loro attività, mentre il 57% ha dichiarato che molto probabilmente potrebbero arrivare alla chiusura in conseguenza a tali gravi incidenti.
Stante ciò, imperversa nelle PMI la falsa sicurezza che i controlli sulla sicurezza inclusi nei software e servizi IT che hanno acquistato saranno sufficienti e che non saranno necessari ulteriori controlli di sicurezza da parte loro, a meno che non siano imposti dalla normativa.
Mentre il 36% degli intervistati ha riferito di aver subito un incidente di security negli ultimi 5 anni, l’8% degli stessi intervistati ha dichiarato di aver subito un incidente di sicurezza informatica dall’inizio della crisi pandemica; il che indica un forte aumento degli incidenti durante il breve lasso di tempo dall’inizio della crisi.
In definitiva, la ricerca ha accertato che:
• la maggior parte delle PMI (più dell’80%) tratta informazioni “critiche” (ovvero la cui violazione può comportare gravi ripercussioni legali e lesioni ai diritti degli interessati), rendendo la sicurezza informatica una priorità;
• la maggior parte delle PMI utilizza alcuni controlli di sicurezza di base – come la protezione antivirus degli endpoint, i backup, i firewall ma spesso non vengono eseguiti aggiornamenti software sistematici; inoltre un numero inferiore e fin troppo basso di PMI esegue corsi di sensibilizzazione in materia di sicurezza e utilizza sistemi di logging e alerting;
• vi è un esteso utilizzo del cloud per vari servizi informativi e strumenti di accesso remoto di vario tipo, funzionalità e livelli di sicurezza; difatti il 25% ha dichiarato di aver utilizzato un qualche tipo di accesso remoto prima della pandemia, mentre durante la pandemia ha fatto esteso ricorso a servizi cloud che consentono almeno l’accesso e l’uso di e-mail, l’elaborazione di file e la comunicazione a distanza;
• phising, malware e attacchi web-based sono le cause più comuni di incidenti di sicurezza sperimentati dagli intervistati;
• criticità comuni a tutti sembrano essere la consapevolezza e l’impegno della gestione della sicurezza, a loro volta legati al budget, all’allocazione delle risorse e all’effettiva attuazione delle pratiche di sicurezza informatica.
Alla luce di quanto sopra, emergono per le PMI sono le seguenti criticità:
1. scarsa consapevolezza della sicurezza informatica tra il personale;
2. protezione inadeguata delle informazioni “critiche”;
3. mancanza di budget adeguati;
4. mancanza di specialisti o capacità adeguate in materia di cybersicurezza;
5. mancanza di adeguate linee guida in materia di cybersicurezza specifiche per le PMI; circa tale aspetto, la ricerca segnala che alcune linee guida in realtà esistono (come l’ISO/IEC 27001) ma sono ritenute troppo complesse e troppo vincolate dall’apporto di esperti esterni;
6. lo “shadow IT”, ovvero lo spostamento del lavoro in un ambiente ICT fuori dal controllo delle aziende, stante l’utilizzo di dispositivi e reti non aziendali per connettersi e utilizzare i dati aziendali;
7. scarso supporto della direzione aziendale.
Le sfide e le misure della sicurezza.
La maggiore sfida consiste innanzitutto nel far prendere consapevolezza sull’argomento. Essere a conoscenza delle minacce derivanti dalla scarsa sicurezza è il primo passo per un’inversione di rotta delle PMI.
È fondamentale poi definire i costi di attuazione delle misure di contrasto (spesso manca infatti, un budget dedicato), incentivare la disponibilità di specialisti di cyber security in grado di supportare questi soggetti, definire linee guida adeguate rivolte al settore delle PMI.

In concreto, l’ENISA suggerisce una serie di raccomandazioni per tutelare maggiormente la sicurezza delle PMI. Eccole di seguito:

Raccomandazioni nei confronti delle persone:
1. Responsabilità in materia identificate in modo chiaro e assegnate ad una precisa figura aziendale
2. Impegno e leadership mostrati dal management nel sostenere la sicurezza
3. “Buy-in” dei dipendenti, i quali devono ricevere comunicazione efficace e formazione adeguata in tema di sicurezza informatica e sui protocolli da rispettare
4. Consapevolezza e formazione dei dipendenti, quanto alle minacce e contromisure attuabili
5. Policy di sicurezza informatica
6. Gestione delle terze parti (vaglio preliminare, verifiche ecc.)

Raccomandazioni di processo:
1. Audit periodici
2. Pianificazione e risposta agli incidenti di sicurezza
3. Utilizzo di accessi centralizzati e corretta gestione delle password
4. Patch e aggiornamenti software regolari e automatizzati
5. Protezione dei dati personali, ai sensi della normativa in materia

Raccomandazioni tecniche:
1. Sicurezza delle reti delle PMI (in particolare, tramite firewall)
2. Installazione di antivirus su tutti i dispositivi ed endpoint
3. Utilizzo di strumenti di protezione della posta elettronica e della navigazione web
4. Crittografia applicata a più livelli possibili
5. Monitoraggio della sicurezza e eventuale segnalazione di attività sospette
6. Sicurezza fisica degli ambienti e dispositivi utilizzati
7. Backup sicuri regolari, automatizzati e crittografati (Vi ricordate la regola del 3,2,1 ?)

Le iniziative di sicurezza richieste all’UE

Evidenziate le tematiche chiave della sicurezza, il documento annota poi le raccomandazioni indirizzate agli stati membri, finalizzate a supportare le PMI:

a. promuovere la cyber sicurezza in generale, ad es. tramite campagne congiunte con le associazioni di imprese onde sensibilizzare la collettività imprenditoriale sul tema;
b. fornire linee guida e modelli mirati (qui a livello nazionale viene in mente il ruolo già svolto da AGID, oltre che dal Garante per la protezione dei dati personali);
c. stilare norme di cybersicurezza incentrate sulle PMI (idem come sopra);
d. rafforzare l’approccio risk-based con modelli adatti alle PMI (il documento menziona gli esempi di framework tedeschi e francesi in merito);
e. rendere la sicurezza informatica accessibile, sia a livello di costi (ad es. con finanziamenti mirati, favorendo il pooling in comune tra le PMI ecc.) che di know-how (ad es. con l’accesso facilitato a linee guida e documenti specifici di supporto);
f. promuovere la creazione di ISAC (ovvero centri di condivisione e analisi delle informazioni), anche tramite partenariato pubblico-privato.
L’augurio è che in tempi di PNRR, anche il nostro Paese riuscirà a far fruttare queste importanti indicazioni: come già detto in partenza la situazione è già caotica e critica, per cui ogni ritardo peserà in maniera decisiva.

Roberto Giovanni Loche
RL Solutions
rloche@rlsolutions.it – Mobile: +39 331.2917785

Giocando a nascondino con gli Hacker

quattro domande a Claudio Leonardi

Il rapporto Clusit 2023 evidenzia che gli attacchi cyber hanno registrato nel 2022 a livello globale e nazionale il valore più elevato di sempre e la maggior percentuale di crescita annua. Secondo Lei quali sono i contorni reali del problema per la Piccola e Media Azienda Italiana?

Le PMI sono un target veramente appetibile per i cyber criminali: spesso sono meno strutturate e dotate di minori risorse di sicurezza rispetto alle grandi aziende, utilizzano tecnologie obsolete o non aggiornate, non formano adeguatamente il personale aumentando il rischio di errori umani. Tutti questi fattori legati alla scarsità di risorse da dedicare alla cybersecurity facilita di gran lunga il compito dei cyber criminali e rende ancora più difficile la gestione dei rischi informatici, avendo un impatto devastante sull’economia delle PMI e di conseguenza sull’economia del paese (ricordiamo che le PMI rappresentano il 92% delle imprese attive sul territorio italiano, Fonte Il Sole 24 Ore)
Furto di dati sensibili, blocco delle attività aziendali e problemi a livello di reputazione sono solo alcuni dei danni che il cyber crime può provocare alle Piccole e Medie Imprese. Per questo motivo riteniamo che l’utilizzo di tecnologie innovative, in grado di prevenire e proteggere il patrimonio aziendale insieme a una corretta formazione e evangelizzazione del personale sui temi della cybersecurity possano seriamente mitigare il rischio di subire un cyberattack.

A fronte di questo scenario decisamente preoccupante, qual è l’approccio di 4Securitas al tema della Sicurezza Informatica?

4Securitas nasce in primo luogo per offrire alle aziende una corretta percezione della sicurezza informatica e aumentarne il livello di consapevolezza. Le nostre tecnologie si basano sul fondamentale principio della prevenzione: una efficace prevenzione facilita enormemente tutte le fasi successive, evitandole nella maggior parte dei casi.
La prevenzione si basa su attività come il vulnerability assessment, in grado di evidenziare i potenziali punti deboli di un sistema per risolverli e anticipare un possibile attacco di sicurezza informatica. A tal fine in 4Securitas abbiamo ACSIA CRA (Cyber Risk Assessment), uno strumento in grado di automatizzare queste procedure, facendo continuamente una radiografia dei sistemi dal punto di vista di un cybercriminale. Parliamo in questo caso di una valutazione continuativa della postura di sicurezza dei sistemi. Altro prodotto di punta e che basa tutta la usa tecnologia sulla prevenzione è ACSIA XDR Plus (Automated Cyber Security Intelligence Application), che offre ai clienti un prodotto che permette la correlazione in tempo reale degli eventi in tutti i domini al fine di nascondere l’infrastruttura IT, interrompendo la ricognizione pre-attacco e la raccolta di informazioni che i criminali informatici attuano per finalizzare il proprio cyber attack.

Le vostre soluzioni di Cybersecurity come operano e in cosa si differenziano dalle soluzioni tradizionali?

Storicamente, l’intera industria della sicurezza informatica si è concentrata nel creare soluzioni cyber in grado di bloccare il criminale informatico nel momento in cui viola il sistema, ovvero quando l’attacco è già in corso. Invece, al contrario delle altre soluzioni, il nostro prodotto ACSIA XDR Plus agisce quando la minaccia è solo una minaccia, impedendo ai criminali informatici di valutare le debolezze dei sistemi IT e bloccando proattivamente i loro tentativi prima che diventino un attacco vero e proprio.
Anche ACSIA CRA (Cyber Risk Assessment) ,è uno strumento innovativo che si basa sulla prevenzione infatti analizza la situazione della di sicurezza informatica delle aziende, valutando con una scansione passiva le informazioni pubblicamente esposte di un’infrastruttura IT: risorse digitali, dati, informazioni e servizi.

Secondo Lei, quale strategia la Piccola e Media Azienda Italiana, deve mettere in campo per difendersi dagli attacchi informatici?

Ecco, è proprio nella parola “difendersi” che sta il grande equivoco. Le aziende italiane non devono difendersi dai cyber criminali, ma devono prevenire le loro azioni, introducendo strategie e strumenti in grado di monitorare attivamente i flussi di dati e i processi e infine bloccare le minacce. Per ragioni di sostenibilità economica sappiamo ad esempio che non sarebbe possibile avvalersi del personale umano per eseguire continuamente operazioni di vulnerability assessment. Le Piccole e Medie Imprese dovrebbero dunque, ad esempio dotarsi di strumenti in grado di automatizzare queste procedure, facendo una valutazione continuativa della postura di sicurezza dei sistemi e implementare strumenti in grado di bloccare le minacce in modo automatizzato, a un prezzo accessibile, e senza l’impiego di grandi risorse per creare squadre dedicate, anche questo poco sostenibile per aziende di piccole e medie dimensioni. Appare inoltre fondamentale conoscere e anticipare le intenzioni degli attaccanti, in modo da saperle contrastare o mitigare con successo, nel più breve tempo possibile, qualora un attacco dovesse effettivamente andare a segno, vanificando gli sforzi effettuati in sede di prevenzione e difesa dei dati e dei sistemi IT.

Claudio Leonardi – CEO

4Securitas Italia

www.4securitas.com