Fino al 31 Dicembre 2021 è possibile richiedere l’applicazione del credito d’imposta al 50% a fondo perduto per acquisit impianti e macchinari
Perchè richiederlo ora?
Se hai effettuato un acquisto o intendi acquistare impianti e macchinari necessari alla digitalizzazione dei tuoi processi aziendali e produttivi, con il , Nuovo Piano Nazionale Transizione 4.0 sonoè possibile usufruire dell’aliquota del 50% per l’applicazione del credito d’imposta fino al 2021.
Per il 2022 l’aliquota scenderà al 40%.
Per poter presentare la richiesta, gli impianti e i macchinari oggetto dell’investimento devono rispettare specifici requisiti tecnologici per cui occorre produrre una perizia asseverata da parte di un tecnico.
Esseti può aiutarti a seguire il procedimento e la presentazione della richiesta in collaborazione con il tuo commercialista, per quanto riguarda:
√ la valutazione dell’investimento
√ la gestione e verifica dei fornitori hardware e software
√ la gestione dell’ interconnessione
E’ importante poter utilizzare subito questa opportunità, poichè nel 2022 l’agevolazione scenderà al 40%.
Questo vorrebbe dire ad esempio, che per un macchinario del valore di 500.000 Euro si perdono 50.000 Euro di contributi.
L’opportunità più interessante però riguarda le PMI.
In questo caso le piccole imrpese possono cumulare gli effetti della Sabatini, aggiungendo un ulteriore 10% a fondo perduto di credito d’imposta e arrivare quindi ad un totale del 60%.
Altre opportunità inserite nel Piano Transizione 4.0 sono i Crediti per ricerca e sviluppo e Credito Formazione 4.0.
Con il portale MyGDPR di Esseti, da oggi puoi gestire comodamente gli adempimenti Privacy con un click.
Cosa puoi fare con il Portale MyGDPR?
Definire il tuo Archivio documentale sempre aggiornato, con la possibilità di creare e personalizzare la documentazione richiesta dalla normativa.
Generare il registro dei trattamenti in base alla tua mappatura dei dati ed estrarre informative aggiornate
Realizzare direttamente la Valutazione dei Rischi e analizzare il livello di sicurezza adeguato alla tua struttura
Utilizzare di modelli di DPIA precaricati, personalizzabili per gestire il procedimento di validazione dei tuoi dati aziendali.
Gli adempimenti per la gestione della Privacy aziendale richiedono spesso un controllo e un aggiornamento costante, soprattutto in contesti dove la natura dei dati trattati per lo svolgimento delle normali attività aziendali, ha un impatto significativo.
Oltre quindi ad una corretta gestione delle policy aziendali, definte in coerenza con la complessità e le caratteristiche dei vari contesti, è importante predisporsi di strumenti che massimizzano l’efficacia dei processi di gestione e soprattutto ne facilitino il controllo.
Con l’accesso al Portale GDPR MyGDPR potrai gestire la tua policy privacy aziendale in tutta sicurezza, organizzando in maniera semplice e veloce tutti i processi di gestione e controllo della documentazione e l’analisi di rischio.
Inoltre, puoi integrare i servizi del portale con piani personalizzati che includono servizi aggiuntivi in tema di privacy.
L’emergenza del COVID-19 ha accelerato l’adozione, su tutto il territorio nazionale, delle misure di lavoro agile, il cosiddetto “smart working” (introdotto per la prima volta dalla Legge n. 81 del 2017), al fine di evitare gli spostamenti e contenere i contagi.
A causa del modo improvvisato con cui il sistema produttivo italiano si è avvicinato a questa modalità di lavoro, le aziende e le persone potrebbero non essere pronte ad avvalersene correttamente. Il “lavoro agile”, infatti, richiede un sapiente utilizzo dell’innovazione digitale, una gestione integrata ed un’evoluzione dei modelli organizzativi aziendali di cui la privacyè parte integrante, per via del ruolo di primo piano rivestito dalla tecnologia.
Le modalità flessibili di lavoro smart, in generale, consentono di migliorare la produttività delle imprese e di usufruire di diversi incentivi fiscali, oltre a permettere ai lavoratori una migliore conciliazione tra lavoro e famiglia, producendo pertanto maggiori opportunità per le imprese e per loro stessi. Dall’altro lato, però, l’improvviso utilizzo dello smart working espone a maggiori rischi informatici i dispositivi aziendali, ma anche quelli personali, spesso usati in questa circostanza per necessità lavorative.
A partire dall’inizio del contagio del Coronavirus sono in constante crescita attacchi informatici come ad esempio l’invio di e-mail sospette, tutte riferite all’attuale situazione d’emergenza, in cui vengono richieste credenziali e dati personali (phishing) o che contengono allegati o link dannosi. Questo dato evidenzia quanto i criminali informatici, sfruttando le notizie globali e la situazione d’emergenza sanitaria, si approfittano delle persone che cercano informazioni sul contagio e che sono per questo più propense a cliccare su link potenzialmente dannosi o a scaricare allegati che si rivelano indesiderati.
In questa condizione, il datore di lavoro è tenuto a prestare adeguata attenzione a diversi aspetti inerenti l’uso delle nuove tecnologie. Deve continuare a mantenere, seppur a distanza, contatti con i propri dipendenti portando avanti il lavoro quotidiano, nel rispetto dei limiti fissati dallo Statuto dei Lavoratori. L’articolo 4 ha una particolare rilevanza quando si parla di lavoro agile, perché fissa un principio cardine: sono vietati l’installazione e l’uso di strumenti tecnologici e sistemi in grado di controllare a distanza lo svolgimento dell’attività lavorativa del dipendente, a meno che il ricorso a questi non sia stato prima siglato con un accordo sindacale o sia autorizzato dall’Ispettorato Territoriale del Lavoro.
Lo Statuto, nato nel 1970, è stato interpretato in maniera evolutiva dalla giurisprudenza e dagli orientamenti del Garante della Privacy e ha finito per comprendere anche un controllo sugli strumenti digitali dei lavoratori: dai sistemi di rilevazione della posizione fino ai software che monitorano in maniera costante l’uso che viene fatto di internet. La riforma del 2015 (Jobs Act) ha poi aggiunto che, anche se lo strumento di controllo a distanza è lecitamente installato, il datore di lavoro deve preventivamente informare il lavoratore agile sulla possibilità di eseguire controlli sulla sua prestazione.
Non c’è, comunque, un divieto “assoluto” di controllo sul lavoratore da parte del datore; se quest’ultimo ha il fondato sospetto che il dipendente stia commettendo degli illeciti, può svolgere controlli mirati, anche a distanza, a patto che siano proporzionati e non invasivi, e che riguardino beni aziendali (il PC fornito dal datore, la casella di posta aziendale, etc.) rispetto ai quali il dipendente non ha alcuna “aspettativa di segretezza”, dal momento che gli strumenti aziendali non possono essere usati per motivi personali.
Tuttavia, il datore di lavoro deve anche occuparsi della sicurezza dei dati e delle reti aziendali, a tutela dei propri dipendenti, clienti e fornitori (rispettando adeguati standard di sicurezza di data protection e cyber security). I dipendenti e i collaboratori, dovrebbero avere precise istruzioni, impartite dal titolare, per la salvaguardia dei dati personali che sono autorizzati a trattare nello svolgimento della propria mansione lavorativa. Non tutte le aziende, però, hanno direttive e procedure di sicurezza precise per lo smart working, soprattutto quando questo non è stato mai previsto prima d’ora.
L’errore più frequente nell’usufruire delle modalità di lavoro agile, utilizzando dispositivi personali e non forniti dall’azienda, è quello di trascurare le misure di sicurezza, non adottando sistemi antivirus e sottovalutando i rischi connessi alla navigazione in rete (accesso a siti pericolosi, download, etc.): uno scenario potenzialmente pericoloso se si accede, in questo modo, ai sistemi e ai server aziendali da remoto.
Anche in questo periodo di emergenza sanitaria, le misure di sicurezza adeguate che il titolare del trattamento dovrebbe attuare per garantire la tutela dei dati personali, dovranno rispettare il Regolamento UE 2016/679 (GDPR). Perciò il datore di lavoro dovrà attuare tutte le procedure per l’attività lavorativa dello smart working, seppur non precedentemente previste, in modo da limitare il rischio per i diritti e le libertà fondamentali degli interessati.
Una risposta concreta a tali problemi, seppur non obbligatoria, è rappresentata dalla compilazione e dall’aggiornamento della Valutazione d’Impatto (la “DPIA” — art. 35 GDPR), ovvero un’analisi delle necessità, della proporzionalità, nonché dei relativi rischi, allo scopo di approntare misure idonee ad affrontarli.
In questa forma di lavoro agile non si può non far riferimento alla cyber security, poiché innumerevoli informazioni vengono scambiate e condivise online. I dati particolari, le proprietà intellettuali e i documenti riservati potrebbero subire furti, perdite accidentali, accessi abusivi, diffusioni dolose o colpose ed essere quindi oggetto di “data breach”.
Oltre ad affidarsi a VPN (Virtual Private Network) sicure e a provider affidabili, anche in questo caso, la formazione dello smart worker costituirebbe un’efficace misura di sicurezza, poiché come prescritto dall’art. 32 del GDPR:
“Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri”.
Occorrerà considerare questa diffusione epidemica come un evento che ha interrotto l’abituale continuità lavorativa e, conseguentemente, ha minacciato i sistemi informativi. È auspicabile trarne un insegnamento per implementare sistemi efficaci al fine di rendere maggiormente operativa l’azienda già a partire dalla “Fase 2”, attivando una corretta progettazione e una maggiore cultura della sicurezza fra i dipendenti.
Come ben sappiamo stiamo passando un periodo particolare nel quale sempre più organizzazioni e aziende fanno lavorare i propri dipendenti da casa. Sebbene questo “nuovo”, per così dire, metodo sia vantaggioso, apre molteplici porte agli attacchi informatici creando così nuove sfide di Cyber-security.
Mentre infatti, le aziende si affrettano a consentire il così detto “smart-working”, i criminali informatici incrementano le loro strategie per trarre vantaggio da coloro che potrebbero avere comportamenti, riguardanti la sicurezza, inadeguati o ingenui. Oltre alle necessità di proteggere la rete aziendale, questo tipo di lavoro aumenta a dismisura la superficie di attacco, ciò a beneficio degli attori delle minacce che si trovano di fronte una opportunità più che interessante.
Siamo di fronte ad una grande ed immediata migrazione di utenti dalle attentamente monitorate e protette reti aziendali, verso reti Wi-Fi domestiche in gran parte non monitorate e spesso non sicure. Un piatto troppo allettante per i Cyber criminali. Questi utenti si ritroveranno fuori dalla portata degli strumenti di sicurezza aziendali basati sul perimetro e con ogni probabilità riceveranno un esponenziale aumento di phishing e attacchi di rete.
Rampa di lancio
I ricercatori affermano che la prima serie di attacchi a lavoratori remoti probabilmente giocherà sulle loro paure e preoccupazioni, su ciò che li ha portati a dover lavorare da casa — il coronavirus stesso.
La preoccupazione è più che teorica. Alcuni Cyber criminali hanno già sfruttato attacchi informatici a tema coronavirus mentre il panico continua attorno alla pandemia globale, compresi vari attacchi di malware che coinvolgono Emotet e altre minacce.
Ad esempio, recentemente è stato individuato un APT che diffonde un trojan di accesso remoto (RAT) unico e personalizzato che acquisisce schermate, scarica file e altro, in una campagna a tema COVID-19. Ovviamente, l’Organizzazione Mondiale della Sanità (OMS) ha emesso avvertimenti sui truffatori che fingono di essere l’organizzazione. Si prevede che tale attività si espanda di pari passo all’espansione della superficie di attacco.
La paura delle persone per il virus è la vulnerabilità che gli aggressori cercheranno di sfruttare. Un individuo stressato e spaventato è di propria natura spinto a dimenticare la propria formazione sulla sicurezza e sarà più probabile che esso faccia clic su un collegamento in una e-mail di phishing o che fornisca le proprie credenziali ad un sito Web dannoso. Adesso è un momento importante per avvertire e dare consapevolezza agli utenti in modo che non eseguano azioni che possano mettere la propria azienda in guai seri.
Le organizzazioni e le aziende non sono immuni a queste problematiche. Anche esse possono agire in maniera distratta e conseguentemente aumentare il rischio. A maggior ragione devono quindi fornire strumenti e buone pratiche per evitare la propria esposizione online.
Ad esempio la Otterbein University di Columbus, nell’Ohio, è stata colpita da un attacco ransomware mentre stava preparando il passaggio alle lezioni online. I funzionari IT dell’università hanno dichiarato che non è ancora chiaro quale fosse il vettore di infezione dell’attacco.
Principali sfide nel lavoro a distanza
La mancanza di risorse IT può danneggiare molte organizzazioni mentre agiscono per abilitare strategie remote. Quando gli utenti vengono inviati al di fuori del normale perimetro, l’applicazione di patch e la protezione di centinaia di migliaia di endpoint diventa una sfida molto più grande.
I Team di sicurezza perdono il controllo dell’ambiente nel quale l’utente lavora. Essi si ritrovano a porsi domande del tipo “hanno protetto la loro rete domestica e il loro Wi-Fi? Se utilizzano un personal computer, quali strumenti ho per garantire che il dispositivo non sia compromesso? ecc…”
In sostanza il perimetro della rete aziendale adesso include tutte le case dei propri dipendenti e mentre alcuni programmi di sicurezza sono preparati a questo, altri non lo sono.
Per quanto riguarda le organizzazioni che non sono pronte, è importante ricordare che esiste un’ampia fascia di aziende che normalmente non consentono il telelavoro. Governo, legale, assicurativo, bancario e sanitario sono tutti ottimi esempi di settori che non sono preparati per questo massiccio afflusso di lavoratori remoti.
Le sfide sono particolarmente evidenti per coloro che lavorano in settori regolamentati e quelli che utilizzano software proprietario o specifico, come gli operatori di borsa. Il software proprietario o specifico è solitamente anche un software legacy. È difficile da correggere e mantenere e raramente è possibile accedervi da remoto.
Spesso queste organizzazioni, tra le quali molte scuole, sono in possesso di un software proprietario on-premise(in sede) che richiede configurazioni speciali per essere reso accessibile da remoto.
Le aziende regolamentate rappresentano una problematica in quanto utilizzano sistemi, dispositivi o utenti ancora non appropriate per lo smart working. Esse devono disporre di ambienti e dispositivi sicuri per soddisfare le normative e spesso non è possibile garantire un lavoro a distanza sicuro a causa di problemi di sicurezza e di accesso di persone non autorizzate.
In un mondo nel quale l’adozione di SaaS e cloud è in crescita, garantire la sicurezza del lavoro a distanza può essere semplice se i sistemi sono tutti in una rete interna, la vera sfida è quella di fornire agli utenti un modo sicuro di accedere a tali sistemi tramite una VPN(Virtual Private Network) o altra soluzione di rete.
Spesso le organizzazioni hanno necessità di aiuto da parte dell’IT che però non sempre si trova in possesso degli strumenti giusti, da qui la necessità di prendere il controllo della macchina, sprecando molto tempo e rischiando di compromettere la sicurezza.
Da non sottovalutare è anche l’aspetto della crescente minaccia alla sfera mobile. Gli utenti che restano a casa o che sono bloccati in ambienti remoti, dipenderanno fortemente dai loro dispositivi mobile. Gli attacchi a questi dispositivi sono particolarmente efficaci perché innescano risposte immediate da parte dei destinatari: alla base di ciò ci sono piattaforme di comunicazione istantanea come SMS, iMessage, WhatsApp, WeChat e altri.
Best practices per il lavoro a distanza
Fortunatamente, le aziende possono pianificare il lavoro a distanza al fine di affrontare alcune delle problematiche di sicurezza.
Il primo passo che i datori di lavoro dovrebbero affrontare adesso è quello di condurre una formazione e concordare una gestione da remoto con i loro responsabili di settore. Una buona pratica è quella di inventariare le applicazioni aziendali e identificare quelle mission-critical. Per le applicazioni SaaS è bene seguire i provider e informarsi sui piani di continuità aziendale. Per le applicazioni locali che richiedono connettività VPN, occorre testare e convalidare tale connettività VPN per un utilizzo più elevato del solito.
Anche la valutazione dei rischi delle configurazioni informatiche dei lavoratori remoti è essenziale, le aziende non devono fare a meno di chiedere ai propri dipendenti come si collegheranno ai sistemi dell’azienda e da quali dispositivi. Sarà poi compito dell’azienda scegliere se ritenere conformi tali metodologie e strumenti e nel caso non lo fossero fornire soluzioni appropriate e sicure per la salvaguardia aziendale.
A favore delle aziende, sono presenti numerosi servizi Cloud che permetto di avere un ambiente Workspace digitale da mettere a disposizione dei propri utenti. I loro vantaggi sono numerosi e vanno dalla riduzione dei costi alla possibilità di avere dati al sicuro in ambienti crittografati. Non va dimenticato però che sistemi sicuri perdono parte della loro affidabilità se l’accesso a tali ambienti viene eseguito da dispositivi o reti compromesse o da utenti mal formati e con una scarsa Cyber igiene.
A tal proposito, dato l’aspetto social-engineering della maggior parte degli attacchi, l’educazione degli utenti è più importante che mai. Occorre assicurarsi che i propri dipendenti siano aggiornati con le ultime tematiche di consapevolezza sulla sicurezza informatica e che non vengano ingannati da attacchi sempre più spesso “ad-hoc”.
Consigli per difendersi dal phishing
Una delle maggiori minacce che possono danneggiare noi e le aziende, come detto precedentemente, è il phishing. Per proteggersi occorre abbracciare il buon senso.
Dati, codici di accesso e password personali non dovrebbero mai essere comunicati a sconosciuti. E’ bene ricordare che, in generale, banche, enti pubblici, aziende e grandi catene di vendita non richiedono informazioni personali attraverso e-mail, sms, social media o chat: quindi, meglio evitare di fornire dati personali, soprattutto di tipo bancario, attraverso tali canali. Se si ricevono messaggi sospetti, è bene non cliccare sui link in essi contenuti e non aprire eventuali allegati, che potrebbero contenere virus o programmi trojan horse capaci di prendere il controllo di pc e smartphone.
Spesso dietro i nomi di siti apparentemente sicuri o le URL abbreviate che si trovano sui social media si nascondono link a contenuti non sicuri. Una piccola accortezza consigliata è quella di posizionare sempre il puntatore del mouse sui link prima di cliccare: in molti casi si potrà così leggere in basso a sinistra nel browser il vero nome del sito cui si verrà indirizzati.
Non da meno è buona pratica stare attenti ad eventuali indizi che una email può contenere.
I messaggi di phishing sono progettati per ingannare e spesso utilizzano imitazioni realistiche dei loghi o addirittura delle pagine web ufficiali di banche, aziende ed enti. Tuttavia, capita spesso che contengano anche grossolani errori grammaticali, di formattazione o di traduzione da altre lingue.
È utile anche prestare attenzione al mittente (che potrebbe avere un nome vistosamente strano o eccentrico) o al suo indirizzo di posta elettronica (che spesso appare come un’evidente imitazione di quelli reali). Meglio diffidare dei messaggi con toni intimidatori, che ad esempio contengono minacce di chiusura del conto bancario o di sanzioni se non si risponde immediatamente: possono essere subdole strategie per spingere il destinatario a fornire informazioni personali.
E’ necessario installare e tenere aggiornato sul pc o sullo smartphone un programma antivirus che protegga anche dal phishing. Programmi e gestori di posta elettronica hanno spesso sistemi di protezione che indirizzano automaticamente nello spam la maggior parte dei messaggi di phishing: è bene controllare che siano attivati e verificarne le impostazioni.
Meglio non memorizzare dati personali e codici di accesso nei browser utilizzati per navigare online. In ogni caso, è buona prassi impostare password alfanumeriche complesse, cambiandole spesso e scegliendo credenziali diverse per ogni servizio utilizzato: banca online, e-mail, social network, ecc.
Scelta di un metodo di accesso remoto
Ci sono due migliori metodi per connettere i lavoratori remoti all’azienda: gateway VPN e accesso remoto:
VPN Gateway
Questo è il metodo più sicuro di lavoro remoto se configurato correttamente con una macchina di proprietà dell’azienda. Non è raccomandato per dispositivi personali. I gateway VPN estendono i protocolli di sicurezza informatica a livello aziendale attraverso un tunnel crittografato sicuro tra la rete interna dell’azienda e il computer remoto. Sebbene questa sia un’opzione relativamente sicura, i dati infetti possono raggiungere la rete interna se il computer in connessione è compromesso su una rete domestica.
Servizio di accesso al computer remoto
Attraverso l’uso di un servizio software di terze parti, gli utenti remoti possono connettersi direttamente a un computer dell’ufficio. Il software consente loro di controllare le azioni sul proprio computer all’interno di una finestra sul proprio computer di casa. Questa offerta è una valida alternativa a una VPN quando i dipendenti devono lavorare da dispositivi personali poiché conserva tutti i dati e le applicazioni contenuti in ufficio. Sebbene conveniente, una corretta configurazione dell’hardware remoto è fondamentale per una connessione sicura. Tutti i dati inviati dal computer dell’ufficio al computer remoto sono crittografati, ma tale crittografia nasconde anche i dati dai firewall aziendali e dal software di rilevamento delle minacce. Se i computer dei dipendenti non sono sicuri, i dati infetti possono entrare nella rete interna senza essere soggetti ad alcun rilevamento.
In conclusione
Considerati questi “tips” non resta che stare attenti sotto ogni aspetto. Sappiamo che l’emergenza di oggi non è quella digitale ma una volta superato questo periodo potrebbe esserlo.
Occorre farsi trovare preparati. La consapevolezza e la formazione sono adesso più che mai il punto chiave di una corretta igiene informatica.
Per citare un personaggio di una serie tv
“Le persone fanno sempre i migliori exploit. Non ho mai trovato difficile da hackerare la maggior parte delle persone. Se si ascoltano, se le osserviamo, le loro vulnerabilità sono come un’insegna al neon avvitata nelle loro teste.”
Una serie di strade aperte su cui riflettere e orientare le future scelte strategiche.
L’impatto sociale e il ruolo della tecnologia
E finalmente quasi tutti conobbero lo “Smart Working”….
Non è una storiella ma la realtà che abbiamo o stiamo vivendo tutti.
In realtà è già da tempo che questo modo di lavorare viene praticato in molte aziende italiane.
Quelle che hanno potuto applicare questo modello non necessariamente avevano acquisito capacità tecnologiche particolari, ma hanno sicuramente sviluppato e acquisito un modello organizzativo e manageriale adatto all’applicazione di questa modalità lavorativa.
Certo che l’emergenza attuale data dalla diffusione dell’epidemia da COVID-19 ha allarmato molte Aziende sul fronte dell’infrastruttura e degli strumenti necessari ad organizzare, o meglio, riorganizzare il lavoro dei propri dipendenti.
E su questo aspetto c’è poco da fare. Se non ci sono gli strumenti è inutile già affrontare il problema.
Questo però non è il problema, per fortuna.
La tecnologia così pervasiva nelle nostre vite, ormai da diverso tempo, non è stata però ancora capace di convincere molte imprese a rivedere il modo di pensare il “rapporto di lavoro”.
In effetti pensare che la tecnologia ci inviti a ripensare e riflettere su alcuni nostri modelli di vita può sembrare presuntuoso se non addirittura minaccioso.
Bisogna pensare invece a come la situazione sconvolgente che stiamo vivendo oggi, ci impone di riflettere sulle sfide che ci vengono dettate dalle crisi.
Come diceva infatti Einstein
È nella crisi che nasce l’inventiva, le scoperte e le grandi strategie.
Ed è proprio la tecnologia stessa che ci sfida. Ci sfida a confutare le sue supposizioni. E questa è una capacità umana e non tecnologica.
In questi giorni non sono infatti mancante polemiche, discussioni e scetticismi attorno a questo tema. Abbiamo visto le difficoltà delle persone che hanno dovuto stravolgere da un giorno all’altro la propria abitudine lavorativa, molte imprese strutturalmente impreparate a giocare la partita su questo nuovo campo, le sollevazioni politico-sociali sulle modalità di “controllo” del lavoro remoto.
Anche lo stesso termine “Smart Working”, ennesima anglosassonizzazione dei concetti, viene messo sotto accusa per l’inesattezza, inappropriatezza o addirittura incoerenza, con il quale viene usato, forse a voler spostare il focus “dal” problema perché affrontarlo è molto più difficile.
“La vera crisi è l’incompetenza. Il più grande difetto delle persone e delle nazioni è la pigrizia nel trovare soluzioni.”, come appunto ci ricorda ancora Einstein.
Inutile incrementare il sospetto che lo smart working (continuiamo a chiamarlo così) sia una misura inapplicabile perché non si può facilmente controllare l’attività lavorativa, perché lavorare senza essere suscettibili di una verifica visiva real time comporti una inevitabile perdita di efficienza o peggio una falsa rendicontazione di attività.
Non è importante quanto tempo viene dedicato al lavoro, ma gli obiettivi che si riesce a raggiungere impiegando possibilmente meno tempo e risorse di quelle che si potrebbe prevedere.
L’aiuto della tecnologia dovrebbe essere questo. O almeno quello che noi dovremmo tirar fuori dalla tecnologia.
Applicare questo nuovo modello di lavoro significa adottare nuovi modelli organizzativi, essere capaci di individuare quei processi e quelle attività che effettivamente possono adattarsi a questo modello, sviluppare una cultura lavorativa ben lontana dalla classica visione ore/salario.
Una visione che deve essere acquisita sia dai lavoratori che dai datori di lavoro.
E’ bene ricordare poi che il nostro ordinamento disciplina il LAVORO AGILE , come modello adottato per incrementare la competitività e agevolare la conciliazione dei tempi di vita e di lavoro
Un lavoro che può essere organizzato per fasi, cicli e obiettivi e senza precisi vincoli di orario o di luogo di lavoro, con il possibile utilizzo di strumenti tecnologici
Le tutele contrattuali non sono modificate rispetto all’attività svolta tradizionalmente e sono espressamente previste modalità di tutela della salute e della sicurezza dei lavoratori oltre alla messa a disposizione di eventuali strumenti tecnologici previsti per lo svolgimento dell’attività. Secondo la Legge 81/2017 il datore di lavoro è responsabile della sicurezza e del buon funzionamento degli strumenti tecnologici assegnati al lavoratore.
Le cosiddette modalità di controllo, sono definite necessariamente con accordo tra le parti (dipendenti e datore di lavoro) con indicazione delle fasce orarie di disconnessione.
E’ chiaro allora come l’improvvisa applicazione di una modalità non precedentemente concordata, determini perplessità e interrogativi, soprattutto perché si è chiamati a svolgere un processo di lavoro e un’organizzazione delle fasi operative ben diverse da come venivano svolte un giorno prima.
Non sappiamo ancora se la terapia d’urto condurrà alla scoperta o alla realizzazione di grandi strategie di cui parlava Einstein, ma sicuramente potremmo vedere presto un nuovo modo di approcciare il rapporto di lavoro, dove responsabilizzazione, motivazione e autonomia saranno sicuramente più rilevanti.
La Legge 81 del 2017 – Misure per la tutela del lavoro autonomo non imprenditoriale e misure volte a favorire l’articolazione flessibile nei tempi e nei luoghi del lavoro subordinato
Le opportunità e le strategie da cogliere tra sicurezza e professionalità
Gli aspetti da considerare sui quali riflettere sono però molteplici e senza dubbio uno dei principali è quello legato alla Sicurezza dei Dati.
Penso che questo sia l’aspetto più interessante e più aderente all’attuale realtà, collegato all’applicazione del lavoro agile in maniera sempre più ampia e diversificata.
Le aziende travolte dall’emergenza in atto, potrebbero non aver prestato la dovuta attenzione agli aspetti legati alla cyber security e protezione dati personali.
Questo ovviamente è legato ad un fatto contingente e imprevisto.
Ma il problema esiste e anzi deve essere sicuramente gestito in un contesto di normale applicazione, come probabilmente si potrebbe verificare in un imminente futuro.
Non basta quindi la realizzazione dell’infrastruttura tecnologica ma serve anche un investimento aziendale legato alle misure di sicurezza, sia sul alto organizzativo che delle responsabilità.
In sintesi sarà necessario considerare almeno:
Le misure relative alla sicurezza dei sistemi utilizzati da remoto;
Le politiche delle organizzazioni per l’applicazione del lavoro agile;
Le misure a carico del lavoratore agile.
Le Aziende che già erano organizzate con questa modalità lavorativa, hanno dotato i dipendenti di applicativi pronti per l’applicazione remota, in una logica perfettamente integrata con l’intera gestione aziendale, messo a punto dispositivi telefonici virtuali (software) adeguati allo scopo, o utilizzato portali per la gestione del tempo lavorativo (rilevazione presenze, ecc.), in un contesto gestito in modo formalmente ineccepibile.
Tuttavia sarà inevitabile mettere a punto un sistema organizzativo che oltre alla creazione della struttura sia in grado di mantenerne l’operatività e garantirne al continuità.
Solo così possono poi essere migliorati e messi a punto tutti gli altri aspetti di monitoraggio anche sul fronte della sicurezza.
E’ quindi un problema non indifferente, quello che si è venuto a creare in questi giorni con la spinta ad utilizzare l’attività in smart working senza però avere idea di come affrontare in modo serio la questione nel suo complesso, mettendo di fatto a rischio i dati aziendali.
Se i dipendenti si trovano ad utilizzare i loro dispositivi personali per accedere ai Sistemi aziendali si apre un rischio che potrebbe essere molto più oneroso della momentanea interruzione delle attività lavorative.
Banalmente, l’accesso ai sistemi aziendali, include le connessioni di rete (ADSL, WiFi, ecc.) che magari restano impostate dagli utenti privati, sui parametri standard (incluse le password amministrative, disponibili con una semplice ricerca su Google).Inoltre può succedere che non si adottano (o non in maniera adeguata) sistemi antivirus/antimalaware e si sottovalutano i piccoli rischi normalmente connessi alla navigazione in rete e accettati con ingenuità (accesso a siti pericolosi, download, ecc.).
Per evitare quindi questi primi evidenti rischi di sicurezza, l’attivazione di una connessione VPN è il primo protocollo da adottare per realizzare quel canale di comunicazione “sicuro” tra il dispositivo remoto e l’azienda, attraverso il quale si accede direttamente agli applicativi ed ai dati aziendali.
Ciò richiede competenza e attenzione e non può essere improvvisato. Mettere in collegamento diretto il dispositivo remoto col sistema informativo aziendale significa anche minimizzare o tenere sotto controllo il rischio ad esempio che un software malevolo infetti il dispositivo remoto e da qui l’intero sistema aziendale.
Primo passo essenziale è quindi quello di definire e condividere un regolamento/procedura aziendale sull’applicazione del lavoro agile nel rispetto dei principi collegati con le normative di riferimento (lavoro e privacy).
E’ evidente poi che tutte le risorse umane coinvolte nell’applicabilità di questa forma di lavoro, siano dotati di mezzi e dispositivi a uso aziendale opportunamente configurati e gestiti secondo norme di sicurezza idonee e coerenti con le diverse responsabilità identificate in maniera chiara e regolamentata a priori.
Sarà quindi opportuno attivare un piano di lavoro condivisoper sapere “chi fa, che cosa” alla luce di un cronoprogramma comune, facilitato magari dall’uso di strumenti (es. Microsoft Outlook, o Google Calendar, ecc) tali da consentire da un lato la pianificazione del lavoro, e dall’altro la visibilità di ciascuno, coinvolto da remoto.
Ciò che infine è fondamentale è la presenza di figure essenziali di coordinamento delle attività dei gruppi che lavoro in modalità “smart working”. In questo contesto il lavoro di gruppo e le capacità di gestire e organizzare il gruppo è la chiave di volta per il suo funzionamento.
Organizzare un processo di lavoro efficace e produttivo a distanza richiede una capacità specifica per alcuni aspetti molto diversa da quella applicabile in un ambito tradizionale in presenza.
Anche questo aspetto sarà sicuramente uno degli skills professionali che probabilmente nel prossimo futuro verrà richiesto da molte imprese.
Hai mai pensato a quanto potrebbe costare la perdita anche solo di una parte dei tuoi dati aziendali?
La salvaguardia dei tuoi dati è il primo investimentio strategico a cui pensare.
Nel 2018 il 20% delle aziende italiane ha dovuto affrontare questo “imprevisto” con un costo complessivo di circa 1,5 milioni.
Aumentano i dati, aumentano i rischi
Poichè l’utilizzo e il trattamento dei dati sarà sempre più importante e significativo – nel 2018 a crescita dei dati gestiti dalle aziende italiane ha subito un incremento del 622% – diventa quindi essenziale costruire una infrastruttura IT in grado di contrastare l’aumento del rischio.
Esseti ha scelto le partnership giuste, per offrire un servizio completo nella realizzazione delle infrastrutturaIT aziendale, proponendo prodotti innovativi, con la garanzia di massima affidabilità e sicurezza.
Il nostro obiettivo è quello di guidare le nostre Aziende dalla fase di acquisto alla installazione e manutenzione.
un anno dalla sua applicazione, il gdpr impegna ad una "funzione sociale"
Il CNR di Pisa ha ospitato l’ottava edizione del forum annuale di Fedeprivacy. Oltre 50 gli interventi da parte di esperti della materia e oltre mille prenotati tra il pubblico per scoprire le ultime novità sul Gdpr approvato appena un anno fa dall’Ue.
Un pericoloso calo di attenzione sui temi della privacy”: il Segretario generale del Garante Privacy, Giuseppe Busia, lancia l’allarme dal palco dell’ottava edizione del Privacy Day al Cnr di Pisa evidenziando che nonostante l’entrata in vigore, ormai un anno fa, del GDPR, la situazione che si sta creando in Italia “non è nella logica del nuovo Regolamento Ue, che non prevede un adempimento una tantum, ma richiede una manutenzione continua in un cammino che si fa di giorno in giorno, e quindi c’è qualcosa da recuperare sotto questo profilo”.
Allarme che suona più forte dopo la recente scadenza del 20 maggio u.s. del periodo di «prima applicazione» in relazione all’applicazione delle sanzioni per violazioni del Regolamento UE 2016/679 (GDPR) e del nuovo Codice della privacy (come modificato dal d. lgs 101/2018).
“Il nuovo Regolamento Ue in materia di privacy – come dichiarato recentemente dal Garante Privacy Antonello Soro – ha valorizzato in maniera determinante la “funzione sociale” della protezione dei dati personali, attribuendo un ruolo chiave e una più marcata responsabilità ad aziende e pubbliche amministrazioni”
Dati alla mano il presidente di Federprivacy Nicola Bernardi ha evidenziato che “i professionisti che si informano regolarmente sulla materia risultano circa 18mila, numero di gran lunga inferiore rispetto alle oltre 48.500 comunicazioni di nomine di Data Protection Officer (DPO) ricevute dal Garante. E se il 62% degli addetti ai lavori non si tiene aggiornato rispetto a temi che sono in continua evoluzione come quelli della protezione dei dati, questo si traduce inevitabilmente in una scarsa preparazione da parte delle aziende che mette a rischio la tutela della privacy degli utenti
Dopo il termine del supporto "Extended" per Windows Server 2003 a partire dal 14 luglio 2015, Microsoft annuncia altre due importanti scadenze per i servizi di supporto aggiornamento.
Il primo termine è quello del 9 luglio 2019 con il quale terminerà il supporto per SQL Server 2008 e il secondo quello del 14 gennaio 2020 dal quale terminerà definitivamente il supporto sugli ormai obsoleti S.O. della famiglia Windows server 2008.
La fine dei programmi di rilascio degli aggiornamenti di sicurezza rendono questi sistemi, se ancora presenti in alcune strutture, esposti ad alto richio di attacco alla sicurezza.
Problema non da poco, visto che questo significa non rispettare l’adeguamento alle normative del settore e in particolar modo l’adeguamento alla normativa il GDPR.
Pertanto tutte le Aziende che ancora utilizzassero sistemi Windows Server 2008 , o addirittura ancora la versione 2003, dovranno valutare attentamente la necessità di aggiornare il proprio sistema di protezione, adeguando i servizi alle opzioni disponibili sul mercato.
Nel pieno fervore della Digital Transformation ed in linea diretta con le misure tecnico organizzative che ci impone il GDPR, Microsoft si mantiene quindi in prima linea nell’implementazione delle soluzioni tecnologie innovative necessarie a migliorare le performace della gestione dei sistemi operativi esistenti nelle realtà aziendali .
L’esecuzione degli aggiornamenti sugli attuali Sistemi Operativi può essere effettuata, entro la scadenza indicata al 2020 in modalità cloud o locale, sfruttando le licenze esistenti per acquisire un servizio di abbonamento esteso fino a tre anni e avere quindi la possibilità gestire la tempistica di adeguamento in maniera programmata.
Le soluzioni ufficiali proposte da Microsoft sono implementate su infrastrutture ON-PREMISE e sulla piattaforma CLOUD di AZURE.
L’esecuzione degli aggiornamenti sugli attuali Sistemi Operativi può essere effettuata, entro la scadenza indicata al 2020 in modalità cloud o locale, sfruttando le licenze esistenti per acquisire un servizio di abbonamento esteso fino a tre anni e avere quindi la possibilità gestire la tempistica di adeguamento in maniera programmata.
E’ ormai un dato di fatto che il tema della sicurezza delle risorse e degli asset ICT è prioritario non solo per i responsabili ICT aziendali, ma per gli stessi top manager.
La spinta normativa e la sempre più diffusa “globalizzazione” dei sistemi IT a indotto l’economia aziendale a dirottare l’attenzione sempre più verso questo tipo di investimento strutturale.
Stiamo entrando insomma nell’era della “cybersecurity trasversale e pervasiva” .
Il mercato italiano sta sviluppando una tendenza di constante crescita dell’investimento in sicurezza IT, indicando questo tipo di investimento come prerequisito essenziale per ogni tipo di attività produttiva o di servizio.
La spesa in Cybersecurity nel 2017 è cresciuta del 10,8%, sfiorando i 900 milioni di euro , distribuendosi su tutte le principali aree di attività coinvolte: Hardware, Software, Consulenza specialistica, System Integration, Security Managed Services, Cloud
Il ruolo del Nuovo Regolamento Europeo (GDPR) e del NIS
Con l’entrata in vigore nel maggio di quest’anno del General Data Protection Regulation (GDPR) e con il recepimento della direttiva NIS (Network Information Security), si è ormai definitivamente inserito il concetto di cybersecurity nelle strategie di investimento di tutte le aziende e organizzazioni pubbliche e private.
Da un lato quindi l’aumento delle minacce sull’acquisizione dei dati, dall’altro l’evoluzione del quadro regolatorio a livello europeo.
E’ entro questi confini che si viene quindi a delimitare il nuovo campo d’intervento del management aziendale.
Il GDPR uniforma la legislazione dei paesi membri in materia di protezione dei dati personali e pone in capo alle aziende nuovi obblighi.
Il NIS, volto a rafforzare la capacità di gestione della sicurezza di reti e sistemi a livello europeo, è stato recepito nel Piano Nazionale per la Protezione Cibernetica e la Sicurezza Informatica in Italia (2017) ed anche dal Piano Triennale per l’Informatica nella Pubblica Amministrazione 2017-2019.
Il trend di crescita è appena iniziato
In una prima fase la richiesta di supporto al percorso di adeguamento al GDPR, ha coinvolteo le aziende principalmente nell’analizzare i propri processi di flussi informativi per una attenta valutazione dei rischi a cui potevano essere esposte in caso di eventi dannosi (perdita oa cquisizione estrna) .
A rafforzare il trend di crescita del mercato della cybersecurity, attivato dalla messa in sicurezza dei processi nei quali è stata verificata la necessità di intervento, contribuirà quindi anche l’applicazione delle attività di manutenzione dei sistei implementati e che proseguiranno almeno nel medio termine. Basti pensare che esso impone attività continue riguardanti:
la mappatura di tutti i dati trattati, la valutazione e il conseguente adeguamento delle misure di protezione, inclusi i sistemi di crittografia;
la possibilità dell’interessato di esercitare il diritto d’accesso ai dati trattati e il diritto all’oblio;
il diritto alla portabilità dei dati, ovvero di ricevere e trasferire liberamente a un altro titolare i propri dati personali;
la notifica all’authority e agli interessati eventuali incidenti o data breach.
Approfondisci l’argomento alle nostre pagine dedicate.
Con l’entrata in vigore delle nuove norme per la protezione dei dati (GDPR) ormai alle porte, tutte le imprese non possono più ignorare l’importanza della valutazione d’impatto sulla vulnerabilità dei dati gestiti e custoditi.
Si tratta quindi di un’intervento non più prorogabile, una misura preventiva inerente il risk assessment che ciascun titolare del trattamento è tenuto ad effettuare.
Non tanto per essere in “regola” con le norme, ma ormai anche per evitare ripercussioni economiche significativi, in caso di attacchi o perdite inaspettate di dati.
Il Regolamento europeo in materia di protezione dei dati personali, il Reg. (UE) 2016/679 del Parlamento europeo (GDPR), è stato emanato dal Consiglio il 27 aprile 2016.
Le Imprese quindi hanno avuto ben due anni di tempo per prepararsi, verificando la rispondenza dei propri processi agli adeguamenti richiesti e ponendo misure idonee a garantire un livello di protezione dei dati a tutela delle persone fisiche con riguardo sia al trattamento dei dati personali che alla libera circolazione degli stessi.
In questo periodo quindi si sono moltiplicate informative, guide, servizi e consulenze per accompagnare le Aziende nella gestione di questa nuova
Ma quanto realmente le imprese hanno preso coscienza del problema?
Dove e come possono realmente essere protetti i dati nell’era della digitalizzazione, dei sistemi virtuali del cloud?
Non è strano infatti vedere come da un pò di tempo sia tornata una tendenza sempre più condivisa alla copia “fisica”.
O almeno a combinare più soluzioni diverse per gestire al eglio i rischi di perdita o interferenze.
L’articolo 5 della GDPR espone i principi chiave per la protezione dati e definisce come le aziende processano le informazioni personali, come possono essere conservate e come dovrebbero essere protette.
Per rispondere ai principi indicati nel GDPR, qualsiasi azienda che si trova nella posizione di gestire i dati delle persone e quindi a salvaguardarli, deve dotarsi di un software di backup e configurarlo in base alle proprie strategie di conservazione dei dati.
Per chiarire la significatività di questo aspetto, basti guardare alle numerose discussioni emerse tra gli esperti, sulla valutazione d’impatto sulla protezione dei dati.
E’ bene sottolineare che l’applicazione di un’adeguata policy di back up, costituisce suprattutto una misura preventiva inerente il risk assessment che ciascun titolare del trattamento è tenuto ad effettuare sulla base della natura, dell’oggetto, del contesto e delle finalità del trattamento.
GDPR e Backup, come adeguarsi alla normativa
Le aziende che devono adeguare o addirittura implementare un sistema di Backup rispondente alla nuova normativa dovranno quindi interfacciarsi con i produttori software che offrono strumenti di backup e cifratura dei dati, oltreché gli apparati necessari per proteggere reti e sistemi operativi, come antivirus e firewall.
Dovranno quindi definire un sistema Software e Hardware coerente alla propria dimensione, carattaeristiche e natura dei dati da gestire.
Molte piattaforme cloud stanno diventando il repository per eccellenza ma la garanzia di un’archiviazione anche “fisica” viene ormai considerata da molti come una “nuova rinascita”.
La tendenza quindi sembra essere quella di diversificare le modalità di gestione delle policy di Backup, evitando quindi di essere vulnerabili sul fronte di un unico sistema di archiviazione.
Nella scelta quindi degli strumenti da mettere in campo per gestire un efficace Backup aziendale, entrano in campo ovviamente i costi e le modalità di gestione e monitoraggio.
Le Aziende devono quindi valutare attentamente questo aspetto tenendo conto ovviamente delle priorità economiche, che non sono solo quelle dell’invetimento iniziale, ma anche e soprattutto quelle delle perdite causate dalla perdita dei dati, nonchè dalle operazioni di ripristino in mancanza di copie.
