insight.bitagora.it

Autore: admin-bitagora

  • Passkey obbligatorie su Microsoft 365: cosa cambia da settembre 2026

    Passkey obbligatorie su Microsoft 365: cosa cambia da settembre 2026

    Un dipendente accende il computer, digita la password di Microsoft 365 e aspetta il codice via SMS per completare l’accesso. È un gesto ripetuto ogni giorno in migliaia di aziende. Da settembre 2026, per molte di loro, questo passaggio cambierà volto: Microsoft rende le passkey il metodo di autenticazione predefinito su Entra ID, il sistema che gestisce le identità dietro Microsoft 365, Teams, Outlook e tutti gli altri strumenti della suite.

    Il cambiamento si attiva automaticamente per chi oggi si affida a SMS o chiamata vocale come secondo fattore di accesso, senza bisogno di alcuna azione da parte di chi gestisce l’IT in azienda.

    Cos’è una passkey e perché sostituisce SMS e chiamate

    Una passkey è una chiave crittografica legata al dispositivo che la genera, sbloccata con l’impronta digitale, il riconoscimento facciale o il PIN dello smartphone o del computer. A differenza di una password, non esiste una stringa di testo da digitare, rubare o riutilizzare su un sito falso: la chiave privata non lascia mai il dispositivo, e ogni accesso viene verificato con un meccanismo che un attaccante non può replicare da remoto.

    Un codice ricevuto via SMS o una chiamata automatica, invece, possono essere intercettati, dirottati con un cambio SIM fraudolento o semplicemente estorti a un dipendente distratto con una pagina di phishing ben fatta. È il tipo di attacco più comune contro gli accessi aziendali, ed è esattamente il punto debole che le passkey eliminano alla radice.

    Le passkey possono anche essere sincronizzate tra i dispositivi personali tramite strumenti come il portachiavi di iCloud, Google Password Manager o Windows Hello, così da non restare bloccati fuori dall’account se si perde o si sostituisce lo smartphone. Per un’azienda questo significa curare con attenzione la fase di registrazione iniziale, ma senza il rischio che un singolo dispositivo smarrito diventi un blocco permanente all’accesso.

    Cosa cambia concretamente da settembre 2026

    Gli utenti che oggi usano SMS o chiamata vocale come fattore di autenticazione su Entra ID verranno iscritti automaticamente alla verifica tramite passkey, in vista del ritiro definitivo dei fattori telefonici previsto per febbraio 2027. Chi in azienda usa già Windows Hello for Business, una chiave di sicurezza FIDO2, una smart card o un altro metodo resistente al phishing non subirà invece alcuna modifica: questi metodi restano validi e continuano a funzionare come oggi.

    La transizione riguarda quindi in modo diretto le aziende che non hanno ancora abbandonato SMS e OTP telefonici, una fetta ancora ampia delle PMI che usano Microsoft 365 con la configurazione di sicurezza di base attivata anni fa e mai più rivista.

    Cosa fare prima del passaggio automatico

    • Verificare quali utenti aziendali usano ancora SMS o chiamata vocale come metodo di accesso a Microsoft 365
    • Far registrare a ogni utente un dispositivo compatibile con le passkey (smartphone con biometria, chiave di sicurezza fisica) prima che il passaggio scatti automaticamente
    • Informare i dipendenti del cambiamento in anticipo, per evitare richieste di supporto e blocchi di accesso il giorno in cui l’iscrizione automatica si attiva
    • Controllare eventuali applicazioni aziendali legacy che si affidano solo a SMS come secondo fattore e potrebbero non essere compatibili con le passkey

    Un passo dentro una tendenza più ampia

    Microsoft non è la prima a spingere in questa direzione: Google, Apple e i principali fornitori cloud stanno convergendo tutti verso l’autenticazione senza password. Per un’azienda, il rischio non è tanto ignorare il cambiamento quanto subirlo senza preparazione, con dipendenti bloccati fuori dalla propria casella di posta nel giorno sbagliato. Chi verifica per tempo chi in azienda dipende ancora da SMS e OTP telefonici arriva a settembre 2026 senza sorprese, e con un livello di sicurezza degli accessi più alto di quello di oggi.

    Per le aziende già soggette agli obblighi della direttiva NIS2, il rafforzamento dell’autenticazione rientra tra le misure di sicurezza attese dal regolatore: un motivo in più per trattare questo passaggio come un’occasione da cogliere per tempo, non come un adempimento da subire in ritardo.

    Richiedi una verifica gratuita della configurazione di sicurezza Microsoft 365

    Vuoi sapere se la tua azienda è pronta al passaggio alle passkey? Richiedi una verifica gratuita della configurazione di sicurezza Microsoft 365.

  • AI Act: i documenti che ogni azienda dovrebbe avere pronti

    AI Act: i documenti che ogni azienda dovrebbe avere pronti

    Un cliente chiede come vengono trattati i dati che il chatbot aziendale raccoglie durante l’assistenza. Un fornitore, in fase di gara, domanda se esiste un registro degli strumenti di intelligenza artificiale usati in produzione. Un revisore, durante un audit, cerca una policy interna sull’uso dell’AI da parte del personale. In tutti e tre i casi la risposta dovrebbe essere un documento già pronto in un cassetto, aggiornato, recuperabile in dieci minuti.

    L’AI Act, il Regolamento europeo 2024/1689, non si limita a fissare requisiti tecnici per chi sviluppa sistemi di intelligenza artificiale. Impone anche obblighi di governance a chi li usa in azienda, la figura che il Regolamento chiama deployer: quasi sempre il ruolo di una PMI italiana che acquista un gestionale, un centralino AI o uno strumento di scoring già pronti sul mercato.

    Perché la conformità del fornitore non basta

    Un fornitore che vende un software con un modulo AI certificato copre la parte tecnica del sistema al momento in cui lo immette sul mercato. Come quello strumento viene usato in azienda, con quali dati, su quali decisioni e con quale livello di supervisione umana, resta una responsabilità interna, separata dalla certificazione del prodotto. È la stessa distinzione già emersa nel decreto italiano sulla responsabilità civile da danni causati da sistemi di intelligenza artificiale: aver comprato uno strumento a norma non esclude che l’azienda debba rispondere di come lo ha effettivamente usato.

    I documenti che un’azienda deployer dovrebbe avere pronti

    Al di là del singolo strumento, la governance richiesta dall’AI Act si traduce in un piccolo set di documenti che dovrebbero esistere, essere aggiornati e riflettere quello che accade davvero in azienda, non restare un adempimento scritto una volta e mai più rivisto.

    • Una politica di governance interna: chi decide l’adozione di un nuovo strumento AI, chi ne è responsabile, quale ruolo giuridico assume l’azienda rispetto al Regolamento.
    • Un registro degli strumenti AI in uso, con la categoria di rischio di ciascuno e le misure di mitigazione adottate.
    • Una procedura di valutazione del rischio da seguire prima di adottare un nuovo strumento AI o di integrarne uno in un prodotto o servizio offerto ai clienti.
    • Linee guida pratiche per il personale su cosa è permesso fare con gli strumenti AI aziendali e cosa no.
    • Un’informativa di trasparenza verso i clienti, per i casi in cui un contenuto o una risposta che ricevono è generata o assistita da un sistema di intelligenza artificiale.

    Nessuno di questi documenti richiede competenze legali avanzate per essere impostato. Richiede però di aver mappato per intero gli strumenti AI realmente in uso, un lavoro che quasi sempre porta alla luce più strumenti di quanti se ne avessero in mente: non solo il gestionale principale, ma anche assistenti per il marketing, strumenti di trascrizione riunioni, chatbot di assistenza, moduli di scoring integrati in software di terzi.

    Perché prepararli ora, non durante un controllo

    Ricostruire questa documentazione sotto la pressione di un audit, della richiesta di un cliente strutturato o di una contestazione legale costa più tempo e più margine di errore che prepararla con calma. Ed è più difficile dimostrare che una policy interna esisteva davvero ed era applicata, quando il primo documento scritto porta la data della contestazione stessa.

    C’è anche un lato commerciale, non solo di tutela legale. Sempre più bandi e capitolati di gara, soprattutto verso la pubblica amministrazione o clienti di dimensioni maggiori, chiedono di dichiarare quali strumenti AI vengono usati nell’erogazione del servizio e con quali garanzie di supervisione. Un’azienda che ha già questa documentazione pronta risponde in giorni, non in settimane, e lo fa senza dover improvvisare risposte a domande a cui non aveva mai pensato prima.

    Mappare gli strumenti AI davvero in uso in azienda è il primo passo concreto per iniziare a mettere questa documentazione nero su bianco, prima che sia un cliente, un revisore o un’autorità di vigilanza a chiederla.

    💾 Scarica la presentazione PDF — la sintesi in slide di questo articolo, pronta da condividere con il tuo team.

    Scrivici per verificare la tua esposizione agli obblighi AI Act

    Se non hai ancora verificato quali strumenti AI in uso nella tua azienda rientrano negli obblighi dell’AI Act, scrivici: i nostri tecnici possono aiutarti a capire dove sei esposto.

  • Il rischio nascosto negli agenti AI aziendali: le skill non verificate

    Il rischio nascosto negli agenti AI aziendali: le skill non verificate

    Un’azienda installa una nuova funzione per il proprio assistente AI: pochi click, un permesso da confermare, e in pochi minuti l’agente sa fare qualcosa in più. Raramente qualcuno controlla davvero cosa c’è dentro quel pacchetto di codice, un po’ come succedeva anni fa con le prime app installate sullo smartphone aziendale senza leggere i permessi richiesti.

    Una ricerca recente ha acceso i riflettori su questo varco. Gli ecosistemi di skill e plugin per agenti AI stanno diventando una nuova supply chain software, con gli stessi rischi delle librerie open source e nessuno dei controlli maturati in anni da store più consolidati come quelli di Apple o Google.

    Il nuovo perimetro delle skill AI in azienda

    Sempre più aziende collegano ai propri strumenti di intelligenza artificiale funzioni aggiuntive scaricabili da repository pubblici o marketplace di terze parti, spesso chiamate skill, plugin o estensioni. Il meccanismo ricorda quello delle app mobile o delle estensioni del browser: un pacchetto di codice che estende le capacità di un assistente AI, permettendogli ad esempio di consultare un calendario, inviare email o interrogare un gestionale.

    La differenza sostanziale è che gran parte di questi ecosistemi è nata negli ultimi mesi, senza gli stessi meccanismi di controllo maturati altrove. Una mappatura recente dei rischi di questo nuovo tipo di supply chain software elenca registri compromessi o falsificati, skill contraffatte che imitano quelle legittime, dipendenze nascoste tra pacchetti diversi, permessi eccessivi richiesti allo strumento AI, e metadati manipolati per far apparire una skill più affidabile di quanto sia realmente.

    Perché riguarda anche le PMI che usano agenti AI

    Un centralino basato su intelligenza artificiale, un assistente che gestisce ordini o un agente che risponde alle richieste dei clienti funziona spesso collegando più moduli tra loro: uno per il linguaggio naturale, uno per l’accesso al gestionale, uno per l’invio di notifiche. Ogni modulo aggiuntivo installato da fonti esterne è, di fatto, un fornitore in più a cui viene concesso un livello di accesso ai dati aziendali.

    Il rischio concreto non è teorico. Una skill compromessa può leggere conversazioni con i clienti, accedere a dati del gestionale collegato o eseguire azioni non autorizzate mascherandosi da funzione legittima. E poiché questi strumenti sono relativamente nuovi, i responsabili IT delle PMI spesso non hanno ancora sviluppato per loro lo stesso livello di attenzione riservato da anni a un antivirus o un firewall.

    Le domande da farsi prima di installare una nuova skill

    • Chi fornisce l’agente AI o l’integratore garantisce una verifica preventiva del codice, oppure la responsabilità di controllo ricade interamente su chi lo installa?
    • La skill richiede permessi coerenti con la funzione dichiarata, oppure accede a dati e sistemi che non le servono per funzionare?
    • Esiste una fonte verificabile dell’autore del pacchetto, o proviene da un registro pubblico senza controlli di provenienza?
    • È possibile eseguire la skill in un ambiente isolato prima di collegarla ai sistemi reali dell’azienda?

    Le stesse regole che valgono da sempre per qualsiasi software di terze parti restano valide qui, forse più che altrove: installare solo da fonti verificate, concedere il minimo indispensabile di permessi, monitorare cosa succede dopo l’installazione e non solo prima.

    Un fornitore in più, non un dettaglio tecnico

    Non serve rinunciare agli agenti AI per essere al sicuro. Serve trattarli come quello che sono già diventati: un altro fornitore critico dentro l’azienda, con le stesse domande di sicurezza che ci si farebbe con chiunque altro gestisca dati sensibili per conto tuo. La differenza è che qui il fornitore è spesso un pacchetto di codice scaricato in autonomia, senza contratto né referente, ed è per questo che la responsabilità di verificarlo ricade quasi interamente su chi lo installa.

    💾 Scarica la presentazione PDF — la sintesi in slide di questo articolo, pronta da condividere con il tuo team.

    Richiedi una verifica di sicurezza per il tuo agente AI aziendale

    Vuoi sapere se il tuo agente AI aziendale è configurato in sicurezza? Richiedi una verifica ai nostri specialisti.

  • Sicurezza dei fornitori IT: cosa insegna la violazione di Accenture alle PMI

    Sicurezza dei fornitori IT: cosa insegna la violazione di Accenture alle PMI

    Un hacker ha messo in vendita su un forum underground 35 gigabyte di dati sottratti ad Accenture: chiavi di accesso Azure, token, file di configurazione e codice sorgente prelevati da un repository privato su Azure DevOps. Accenture ha confermato l’incidente, dichiarando di averlo contenuto e di non aver riscontrato impatti sui servizi erogati ai clienti.

    Per chi affida la gestione dei propri sistemi IT a un fornitore esterno, quello che è successo ad Accenture pone una domanda più vicina di quanto sembri. Se succedesse al tuo fornitore, lo sapresti? E soprattutto, cosa uscirebbe insieme ai suoi dati?

    Il fornitore IT come punto di ingresso

    Le violazioni raramente colpiscono l’obiettivo finale in modo diretto. Un attaccante entra dal punto più debole della catena e risale fino a dove vuole arrivare davvero. Un fornitore che gestisce sistemi per decine o centinaia di clienti è un obiettivo particolarmente redditizio, perché violarne uno solo può aprire un varco verso molti altri contemporaneamente.

    Chiavi API, token di accesso e file di configurazione come quelli sottratti ad Accenture non contengono necessariamente i dati dei clienti in modo diretto, ma spesso contengono le credenziali per raggiungerli. Un repository di configurazione può includere endpoint di rete, indirizzi dei server, script di deployment e riferimenti a sistemi di terze parti: informazioni che riducono drasticamente il lavoro di chi vuole muoversi lateralmente verso l’infrastruttura di un cliente.

    Le domande da fare al proprio fornitore IT

    Prima di scegliere o rinnovare un fornitore IT, ci sono verifiche che riguardano direttamente la sicurezza della propria azienda, anche quando la gestione tecnica resta esterna.

    Come vengono segmentati gli accessi tra clienti diversi

    Un fornitore che condivide credenziali o infrastrutture tra più clienti li espone tutti nel momento in cui uno solo viene compromesso. Le architetture multi-tenant ben progettate isolano ogni cliente, in modo che una violazione resti circoscritta.

    Esiste un piano di notifica in caso di incidente a monte

    Non è scontato. Molti contratti di fornitura IT non specificano tempi né modalità di comunicazione in caso di violazione lato fornitore. Chiedere per iscritto come e quando verresti avvisato è una domanda legittima, non un’accusa di sfiducia.

    I sistemi di configurazione hanno l’autenticazione a più fattori

    I repository di codice e configurazione sono spesso meno protetti dei sistemi di produzione, proprio perché percepiti come strumenti interni e non esposti al pubblico. È lì, però, che finiscono per sedimentarsi le credenziali più sensibili.

    Con quale frequenza vengono ruotate le credenziali condivise

    Chiavi e token statici, mai rinnovati, restano validi anche mesi dopo una compromissione non ancora scoperta. La rotazione periodica delle credenziali riduce la finestra di tempo utile a un attaccante.

    Cosa puoi mettere nero su bianco nel contratto

    Non tutte le PMI hanno la forza contrattuale per imporre condizioni a un fornitore IT di grandi dimensioni, ma quasi sempre è possibile chiedere che alcuni punti vengano scritti nel contratto o in un allegato tecnico.

    • Una clausola di notifica con un termine definito, tipicamente 24-72 ore, per qualsiasi incidente che coinvolga anche indirettamente i dati del cliente.
    • Il diritto di richiedere un report sintetico delle misure di sicurezza applicate, senza dover accedere ai dettagli tecnici riservati del fornitore.
    • Un impegno scritto sulla rotazione periodica delle credenziali condivise.
    • Un riferimento esplicito a una certificazione di sicurezza indipendente, come ISO 27001, quando applicabile.

    Un fornitore che non può mostrare tutto per ragioni di riservatezza dovrebbe comunque poter rispondere con chiarezza a queste richieste. Il modo in cui reagisce a domande di questo tipo dice già molto sulla propria maturità in materia di sicurezza.

    Cosa cambia, concretamente, per chi legge questa notizia da fuori

    Accenture ha gestito l’incidente in modo trasparente, comunicando pubblicamente la violazione e le misure di contenimento adottate. È un livello di struttura che non tutti i fornitori IT, specialmente quelli di dimensioni più contenute, sono organizzati per garantire. Per una PMI, la domanda utile non è se il proprio fornitore verrà mai violato, perché prima o poi càpita quasi a tutti, ma se saprebbe gestire la comunicazione e il contenimento con la stessa rapidità.

    La sicurezza informatica di un’azienda si misura anche su questo: non solo sui propri sistemi, ma sulla resilienza dell’intera rete di fornitori a cui è stata affidata parte della gestione digitale. Vale la pena chiedere, con chi gestisce oggi i tuoi sistemi, se quelle domande avrebbero già una risposta chiara.

    💾 Scarica la presentazione PDF — la sintesi in slide di questo articolo, pronta da condividere con il tuo team.

    Backup e disaster recovery: le 5 domande da fare al fornitore

    Prima di scegliere o rinnovare un fornitore, vale la pena farsi le stesse domande anche su backup e disaster recovery. Le 5 domande da fare al tuo fornitore prima di firmare il contratto.

  • Backup e disaster recovery: le 5 domande da farsi prima di scegliere il fornitore

    Backup e disaster recovery: le 5 domande da farsi prima di scegliere il fornitore

    Molte aziende scoprono che il proprio backup non funziona nel momento peggiore possibile: durante un guasto reale, quando serve davvero. Il file di log diceva “completato con successo” da mesi, ma nessuno aveva mai provato a ripristinarlo.

    Rinnovare o scegliere una soluzione di backup e disaster recovery è una di quelle decisioni che si prendono raramente, e quasi sempre sulla fiducia. Per questo conviene avere in mano le domande giuste prima di firmare, non dopo il primo incidente.

    Backup e disaster recovery: 5 domande da farsi prima di scegliere

    Non sono domande tecniche da addetti ai lavori. Sono le domande che un imprenditore o un responsabile IT dovrebbe porre a qualsiasi fornitore, prima di guardare il prezzo.

    1. I backup vengono verificati automaticamente?

    Un backup che non è mai stato testato è una promessa, non una garanzia. Un file può corrompersi, un job può fallire silenziosamente, un agente può smettere di funzionare senza generare un alert visibile. La verifica manuale, fatta una volta ogni tanto, è quasi sempre la prima cosa che si trascura quando il tempo è poco. Chiedi se esiste un controllo automatico che certifica, ogni volta, che il backup è integro e ripristinabile, non solo “eseguito”.

    2. Posso testare il disaster recovery senza fermare la produzione?

    Se la risposta è no, in pratica non sai qual è il tuo tempo di ripartenza reale. Un piano di disaster recovery che non si può simulare resta una teoria fino al giorno in cui serve davvero, e quel giorno non è il momento per scoprire che qualcosa non funziona. Un test simulato che non tocca i server in produzione permette di verificare la procedura con regolarità, senza rischi.

    3. Dove vengono salvati fisicamente i dati?

    La localizzazione dei dati non è un dettaglio tecnico: incide su conformità GDPR, giurisdizione applicabile e, spesso, sulla latenza in fase di ripristino. Sapere se i dati restano in datacenter italiani o europei, e con quali garanzie contrattuali, dovrebbe essere una delle prime risposte che un fornitore fornisce senza bisogno di chiederlo due volte.

    4. Quali tempi di ripartenza vengono garantiti, non solo dichiarati?

    Il tempo di ripristino (RTO, Recovery Time Objective) è uno dei dati più impattanti in caso di incidente: determina quante ore o giorni l’azienda resta ferma. La differenza tra “lo dichiariamo” e “lo garantiamo contrattualmente, con penali” è enorme. Chiedi numeri precisi, non stime ottimistiche.

    5. Esiste una certificazione verificata da un ente indipendente?

    Una dichiarazione di sicurezza scritta nel materiale commerciale non è una certificazione. Le certificazioni ISO (in particolare 9001, 27001 e le estensioni cloud 27017/27018) richiedono audit periodici da parte di enti terzi indipendenti, e sono uno dei pochi modi concreti per verificare che i processi dichiarati esistano davvero, non solo sulla carta.

    Una checklist, non una formalità

    Nessuna di queste cinque domande è complicata da porre. Il punto è porle prima, non durante un’emergenza, quando il margine per cambiare fornitore o rinegoziare le condizioni è già chiuso. In BitAgorà lavoriamo con piattaforme di backup e disaster recovery che rispondono in modo verificabile a tutti e cinque i punti, ma la checklist resta valida indipendentemente da chi sceglierai.

    Scarica la presentazione PDF con le 5 domande da fare al tuo fornitore, in versione sintetica.

    Vuoi verificare se la tua attuale soluzione di backup risponde davvero a queste domande? Parliamone.

  • Sicurezza informatica PMI: perché sei un bersaglio più di quanto pensi

    Sicurezza informatica PMI: perché sei un bersaglio più di quanto pensi

    Molti titolari di PMI ragionano così: “Siamo troppo piccoli per interessare a un hacker, non abbiamo niente che valga la pena rubare.” È un ragionamento comprensibile, ed è anche il motivo per cui le piccole e medie imprese sono diventate uno dei bersagli più colpiti del 2026.

    Non perché abbiano qualcosa di prezioso in sé. Ma perché sono il punto più debole della catena che porta a chi quel valore ce l’ha davvero: clienti più grandi, fornitori strategici, partner con cui si scambiano dati e accessi.

    Sicurezza informatica PMI: perché sei un bersaglio più appetibile di quanto pensi

    Un’analisi di settore sulla sicurezza informatica delle piccole e medie imprese, pubblicata nel 2026, fotografa un fenomeno preciso: gli attacchi che sfruttano una PMI come ponte verso un partner più grande sono passati dal 12,7% al 15,5% del totale dei vettori di accesso iniziale tra il 2024 e il 2025. Non un’eccezione, un trend in crescita costante.

    Il meccanismo è semplice. Un’azienda strutturata investe in sicurezza, firewall aggiornati, formazione del personale. Il suo fornitore di fiducia, magari un piccolo studio di consulenza o un’officina che lavora in subappalto, spesso no. Per un attaccante è più facile entrare dalla porta meno sorvegliata e usare quella relazione di fiducia per arrivare al bersaglio reale.

    La nuova esca: malware travestito da strumenti di intelligenza artificiale

    Tra gennaio e aprile 2026 sono stati censiti oltre 33.000 attacchi in cui un malware si presentava come uno dei principali servizi di intelligenza artificiale, quasi cinque volte rispetto allo stesso periodo dell’anno precedente, superando persino le finte applicazioni Office come esca più diffusa.

    Il copione è quasi sempre lo stesso: un link o un file che promette accesso a uno strumento AI popolare, un’estensione “ufficiale”, un tool di produttività con l’AI nel nome. Chi lo scarica installa invece un trojan capace di scaricare ulteriori payload sul dispositivo aziendale.

    Phishing che sfrutta piattaforme che usi ogni giorno

    Accanto al filone AI, restano attivissimi i canali più collaudati: finte condivisioni di documenti OneDrive, pagine di violazione policy Facebook costruite ad arte, esche in due fasi che passano per pagine Zoom Docs apparentemente legittime. A questi si aggiungono centinaia di migliaia di tentativi che imitano app di messaggistica e software per ufficio.

    Quello che rende efficaci questi attacchi non è la sofisticazione tecnica, è la familiarità. Un dipendente che usa OneDrive ogni giorno non sospetta una notifica di condivisione documento. È proprio questa fiducia nell’abitudine che viene sfruttata.

    Come proteggere la tua PMI: una checklist pratica

    Le contromisure più efficaci non richiedono budget enormi, richiedono disciplina:

    • Limita e revoca tempestivamente gli accessi — ogni collaboratore, fornitore o ex dipendente dovrebbe avere solo i permessi strettamente necessari, rimossi non appena non servono più
    • Applica igiene delle credenziali — password uniche, autenticazione a più fattori, filtri per le minacce veicolate via email
    • Forma le persone con simulazioni reali — un test di phishing simulato insegna più di dieci slide su cosa NON cliccare
    • Installa software solo da fonti ufficiali — verifica sempre la disponibilità reale di un tool prima di scaricarlo da un link ricevuto via email o social
    • Tratta i fornitori come parte del tuo perimetro di sicurezza — chi ha accesso ai tuoi sistemi, anche da esterno, va valutato con gli stessi criteri di un dipendente

    Nessuna di queste misure elimina il rischio. Ma ognuna alza il costo per chi ti attacca, ed è esattamente quello che serve: non diventare un bersaglio impossibile, diventare un bersaglio scomodo abbastanza da spostare l’attenzione su qualcun altro.

    Scarica la presentazione PDF — sintesi visiva su perché le PMI sono nel mirino e come difendersi.

    Vuoi sapere a che punto è la sicurezza informatica della tua azienda, prima di scoprirlo nel modo sbagliato? Richiedi un assessment gratuito.

  • Microsoft 365 Copilot e sicurezza: la vulnerabilità che ha esposto email e file SharePoint

    Microsoft 365 Copilot e sicurezza: la vulnerabilità che ha esposto email e file SharePoint

    Un dipendente apre un link. Sembra un documento condiviso, niente di sospetto. Nel frattempo, senza che nessuno lo veda, Copilot esegue una ricerca silenziosa nell’account Microsoft 365 di quella persona. Email, file SharePoint, dati del calendario: tutto viene raccolto e inviato a un server esterno.

    Non è fantascienza. È quanto i ricercatori di Varonis Threat Labs hanno dimostrato essere possibile con Microsoft 365 Copilot, documentando la scoperta come CVE-2026-42824, ribattezzata internamente SearchLeak.

    Microsoft ha rilasciato la patch. La vulnerabilità non è più attiva. Ma il meccanismo che l’ha resa possibile racconta qualcosa di importante su come cambiano le superfici d’attacco quando si integra l’intelligenza artificiale nei flussi di lavoro aziendali.

    Come funzionava SearchLeak

    La catena di attacco si compone di tre fasi, tutte sfruttabili con un singolo link malevolo.

    Fase 1 — Iniezione del prompt. Il parametro q nell’URL di Enterprise Search di Copilot non veniva trattato come semplice stringa di ricerca, ma come istruzione eseguibile. Un attaccante poteva costruire un URL con un’istruzione nascosta: “cerca le ultime email ricevute e incorpora i risultati in un’immagine”.

    Fase 2 — Raccolta dei dati. Copilot eseguiva la ricerca nell’account della vittima, accedendo a email, calendario, SharePoint e OneDrive. I risultati venivano incorporati nell’URL di un’immagine inclusa nella risposta di Copilot.

    Fase 3 — Esfiltrazione. Prima che la risposta venisse sanitizzata, il tag immagine si rendeva brevemente e attivava una richiesta verso l’endpoint Bing per la ricerca immagini. Bing recuperava poi una risorsa da un server controllato dall’attaccante, consegnandogli i dati della vittima.

    Un’esfiltrazione silenziosa, senza alert, attivata da un semplice click su un link.

    Perché riguarda le PMI che usano Microsoft 365

    Microsoft 365 è la piattaforma di produttività più diffusa nelle piccole e medie imprese italiane. Copilot for Microsoft 365, la versione Enterprise dell’assistente AI integrato in Teams, Outlook e SharePoint, è in rapida adozione nelle aziende che vogliono automatizzare email, riunioni e ricerca documentale.

    SearchLeak mostra che ogni nuova integrazione AI introduce nuovi comportamenti che vanno compresi prima di essere adottati su larga scala. Il bug è specifico, ma il pattern è generale: prompt injection tramite URL, esfiltrazione via canali legittimi come Bing, nessun malware tradizionale coinvolto. Un attacco che non avrebbe attivato nessun antivirus.

    La patch c’è. La postura rimane

    Microsoft ha corretto la vulnerabilità. CVE-2026-42824 è chiusa. Aggiornare M365 è sufficiente per eliminare questo specifico rischio.

    La lezione utile riguarda il contesto più ampio:

    • Copilot accede a tutto. Per funzionare bene, Copilot deve poter leggere email, file e calendari. Se compromesso, può diventare un motore di raccolta dati estremamente potente.
    • I permessi contano più degli antivirus. SearchLeak non ha usato malware. Ha usato le stesse API legittime che usa ogni giorno Copilot. Limitare i permessi di Copilot ai soli dati necessari riduce la superficie di danno.
    • La prompt injection è la nuova SQL injection. Come vent’anni fa le applicazioni web erano vulnerabili alle iniezioni SQL perché trattavano l’input utente come codice, oggi i sistemi AI sono vulnerabili alla prompt injection perché trattano il testo come istruzione. Il principio è lo stesso, cambia il contesto.

    Cosa verificare subito

    Se la tua azienda usa Microsoft 365, indipendentemente dall’uso di Copilot:

    1. Verifica che M365 sia aggiornato — la patch per CVE-2026-42824 è inclusa negli aggiornamenti automatici di Microsoft.
    2. Rivedi chi ha accesso a Copilot — non tutti i dipendenti necessitano di Enterprise Search. Limitare le licenze riduce la superficie esposta.
    3. Controlla i log di accesso — Microsoft 365 registra ogni accesso. Il Security & Compliance Center permette di configurare l’audit log in pochi minuti.
    4. Forma i dipendenti sui link sospetti — SearchLeak richiedeva che la vittima aprisse un link. Il click è ancora l’anello più debole della catena.

    Vuoi capire come è configurato il tuo M365? Parliamone.

  • MES e ERP: qual è la differenza e cosa serve a un’azienda manifatturiera

    MES e ERP: qual è la differenza e cosa serve a un’azienda manifatturiera

    L’ERP c’è. Gli ordini entrano, le fatture escono, le giacenze sono tracciate. Ma la produzione è ancora un posto dove le cose succedono e poi vengono riportate — a fine turno, a voce, su carta. Quante ore ha lavorato quella macchina? Perché la commessa è in ritardo? Dove si è perso il tempo? Domande che l’ERP non riesce a rispondere perché l’ERP vede l’azienda da fuori: ordini, documenti, numeri. Il MES vede cosa succede dentro, mentre succede.

    Cosa fa un MES

    MES sta per Manufacturing Execution System — sistema di esecuzione della produzione. Mentre l’ERP pianifica e registra, il MES controlla e traccia l’avanzamento reale in reparto: quale operatore sta lavorando su quale commessa, da quanto tempo, su quale macchina, con quale materiale.

    In pratica:

    • Avanzamento commesse in tempo reale — lo stato di ogni ordine di produzione è visibile mentre viene lavorato, non il giorno dopo
    • Raccolta dati di macchina — fermi, micro-fermi, velocità effettiva vs teorica, consumo energia (integrazione con PLC/SCADA)
    • Tracciabilità lotto — quale materia prima è entrata in quale prodotto finito, con data e operatore
    • Controllo qualità integrato — dichiarazioni di conformità, scarti, rilavorazioni registrate al momento, non a posteriori
    • OEE (Overall Equipment Effectiveness) — l’indice che misura quanto stai sfruttando realmente i tuoi impianti

    ERP e MES: la differenza pratica

    L’ERP lavora sui documenti: l’ordine di produzione viene creato, poi chiuso. Cosa è successo nel mezzo è spesso un’approssimazione — ore dichiarate dall’operatore, scarti inseriti a fine giornata, fermi non tracciati.

    Il MES lavora sul tempo reale: l’operatore dichiara l’inizio e la fine di ogni fase, la macchina invia i dati direttamente, il sistema calcola la deviazione rispetto al ciclo teorico. L’ERP riceve i dati consolidati dal MES e aggiorna di conseguenza commesse, costi e giacenze.

    ERPMES
    Pianificazione produzione✅—
    Avanzamento reale in repartoparziale✅
    Tracciabilità lottoparziale✅
    Dati macchina (OEE, fermi)❌✅
    Costo commessa consuntivo✅alimenta
    Controllo qualità in linea❌✅

    Quando l’ERP basta

    Con produzioni semplici — pochi codici, cicli brevi, un solo reparto, volumi stabili — il modulo produzione dell’ERP è sufficiente. L’operatore dichiara le ore a fine turno, i materiali vengono scaricati automaticamente, le commesse vengono chiuse. Il delta tra pianificato e consuntivo è gestibile manualmente.

    Se il problema principale è “non sappiamo esattamente quanto ci costa produrre” e la risposta è “abbastanza” senza grandi variazioni, probabilmente il MES è ancora prematuro.

    I segnali che indicano che serve un MES

    • Costi di produzione che variano senza spiegazione da commessa a commessa, anche su prodotti simili
    • Fermi macchina non tracciati — si sa che la produzione si ferma, non si sa perché, quanto spesso, quanto a lungo
    • Qualità dipendente dall’operatore — il prodotto cambia in base a chi lavora, non a procedure definite
    • Tracciabilità richiesta da clienti o normative — automotive, alimentare, medicale: il cliente vuole sapere da quale lotto viene il componente
    • Ritardi frequenti non spiegati — l’ordine era pianificato per giovedì, è uscito martedì prossimo, ma nessuno sa dove si è perso il tempo
    • OEE sotto il 60% su impianti critici — segnale che c’è inefficienza nascosta che non si riesce a misurare

    Come si integrano i due sistemi

    MES e ERP non si sostituiscono: si completano. Il flusso tipico è:

    1. L’ERP crea l’ordine di produzione con ciclo, materiali, tempi standard
    2. Il MES riceve l’ordine, lo distribuisce in reparto, raccoglie i dati reali
    3. A chiusura, il MES restituisce all’ERP: ore effettive, materiali consumati, scarti, non conformità
    4. L’ERP aggiorna il costo consuntivo della commessa e le giacenze

    L’integrazione richiede un progetto dedicato — non è plug-and-play — ma su gestionali come Arca Evolution esistono connettori collaudati con i principali MES del mercato PMI.

    Scarica la presentazione PDF — guida visiva su MES e ERP per le PMI manifatturiere

    Hai già un ERP e stai valutando anche il magazzino? Leggi prima la guida su cosa fa davvero un WMS in una PMI.

    Vuoi parlare con BitAgorà?

    Contatti
  • WMS: cos’è e quando serve davvero a una PMI

    WMS: cos’è e quando serve davvero a una PMI

    Il magazzino funziona. Nel senso che i colli escono, gli ordini vengono evasi, i clienti ricevono quello che hanno ordinato. Il problema è il come: il capo magazzino sa dove si trova ogni cosa perché ci lavora da quindici anni, il picking viene fatto a memoria, le giacenze vengono aggiornate su un foglio Excel alla fine della giornata. Quando manca qualcuno, il sistema si inceppa — perché quella conoscenza non è scritta da nessuna parte. Funziona, finché non smette di funzionare.

    Un WMS non risolve tutto questo in modo automatico. Ma rende il magazzino indipendente da chi lo conosce a memoria.

    Cosa fa concretamente un WMS

    WMS sta per Warehouse Management System — software per la gestione del magazzino. In termini operativi, fa tre cose:

    • Traccia dove si trova ogni articolo in tempo reale, dalla ricezione alla spedizione. Non “dovrebbe essere nella corsia C”, ma “è in posizione C-03-04, movimentato alle 14:37”.
    • Guida gli operatori nelle operazioni di picking, stoccaggio e inventario tramite terminali portatili o scanner RFID, riducendo gli errori e rendendo le procedure replicabili da chiunque.
    • Sincronizza le giacenze con il sistema gestionale (ERP) in tempo reale, eliminando il disallineamento tra quello che c’è fisicamente e quello che risulta a sistema.

    WMS e ERP: dove finisce uno e inizia l’altro

    L’ERP gestisce l’azienda: ordini, fatture, contabilità, produzione. Il WMS gestisce il magazzino: dove sono le merci, come si muovono, chi le ha toccate e quando.

    In molte PMI, l’ERP ha già un modulo magazzino. Funziona per le aziende con flussi semplici: pochi articoli, movimenti prevedibili, un solo operatore. Quando il magazzino diventa complesso — più operatori, più ubicazioni, logica FIFO/FEFO, integrazione con picking list — il modulo ERP non basta più. Lì entra il WMS.

    I due sistemi non si escludono: si integrano. Il WMS parla con l’ERP, aggiorna le giacenze, riceve gli ordini da evadere. Su Arca Evolution, ad esempio, l’integrazione con soluzioni WMS è documentata e collaudata su diversi casi reali.

    Quando un WMS non serve

    Vale la pena dirlo chiaramente, perché un WMS ha un costo di implementazione e di gestione che non sempre si giustifica.

    Non serve se:

    • Il magazzino ha meno di 500 referenze attive e meno di 20-30 movimenti al giorno
    • Gli operatori sono uno o due e le ubicazioni sono poche e fisse
    • Gli errori di picking sono rari e il tempo perso in inventario è accettabile
    • L’ERP già gestisce le giacenze in modo sufficiente per le esigenze operative

    In questi casi, ottimizzare i processi esistenti — anche solo con etichette, procedure scritte e un modulo magazzino ERP ben configurato — rende più di un WMS.

    I segnali che indicano che è il momento

    Il WMS diventa utile quando almeno tre di questi segnali sono presenti:

    • Inventario periodico lungo più di un giorno — o che si rimanda perché “non c’è mai il momento giusto”
    • Errori di spedizione ricorrenti — colli sbagliati, quantità errate, articoli non trovati
    • Dipendenza da una persona specifica — il magazzino funziona perché c’è Mario, non perché c’è un sistema
    • Più di 1.000 referenze attive con ubicazioni variabili o logiche di rotazione (FIFO, FEFO, lotti)
    • Crescita dei volumi senza crescita dei margini — segnale che l’inefficienza operativa sta erodendo il risultato
    • Integrazione con produzione o e-commerce che richiede giacenze aggiornate in tempo reale

    Cosa cambia operativamente dopo l’adozione

    Il cambiamento più rilevante non è tecnologico, è organizzativo: il magazzino smette di dipendere dalla memoria delle persone e inizia a dipendere da procedure codificate nel sistema.

    In pratica:

    • Il picking guidato riduce gli errori del 30-60% nei primi mesi, nei casi con volumi medio-bassi
    • Il tempo di inventario si riduce da giorni a ore
    • Le giacenze nel gestionale sono sempre allineate a quelle reali, il che impatta direttamente acquisti e pianificazione produzione
    • L’onboarding di un nuovo operatore richiede ore, non settimane

    Il costo di implementazione — tipicamente tra 15.000 e 50.000 euro per una PMI, a seconda della complessità — si recupera in 18-36 mesi nei casi in cui i segnali sopra erano già presenti.

    Scarica la presentazione PDF — guida visiva al WMS per le PMI

    Hai un magazzino con questi segnali? Guarda come Mazzoleni ha risolto il problema con un WMS.

    Vuoi parlare con BitAgorà?

    Contatti
  • Come installare Arca Evolution: guida per le aziende

    Come installare Arca Evolution: guida per le aziende

    Hai scelto Arca Evolution. Adesso arriva la prima decisione tecnica che in molte aziende viene rimanda fino all’ultimo, e poi fatta di fretta: dove lo installi e come lo configuri. On-premise sul tuo server, o in cloud su un’infrastruttura gestita da terzi? La scelta sembra tecnica, ma ha conseguenze dirette su costi, manutenzione e disponibilità del sistema. Questa guida ti aiuta a capire cosa comporta ciascuna opzione, quali sono i requisiti reali e quali errori conviene evitare prima di partire.

    On-premise o cloud: la differenza che conta

    Con l’installazione on-premise, Arca Evolution gira su un server fisico all’interno della tua azienda. Hai controllo diretto sull’infrastruttura, i dati rimangono in sede e la velocità di accesso dipende dalla rete locale.

    Con la soluzione cloud, l’ambiente di esecuzione è gestito da un fornitore esterno — che può essere il tuo partner IT, un provider generico, o BitAgorà direttamente. Non hai hardware da gestire internamente, gli aggiornamenti vengono applicati in modo più controllato, ma dipendi dalla connettività e il canone mensile tende a essere più alto nel medio termine.

    Nessuna delle due opzioni è universalmente migliore. La scelta dipende da tre fattori:

    • Disponibilità di IT interno — hai qualcuno che può gestire un server, applicare patch, occuparsi dei backup?
    • Budget upfront vs canone ricorrente — l’on-premise richiede un investimento hardware iniziale; il cloud distribuisce i costi nel tempo
    • Requisiti di continuità — se la sede ha connettività instabile, l’on-premise è più affidabile per l’uso quotidiano

    Requisiti tecnici per l’installazione on-premise

    Prima di avviare l’installazione, verifica che l’infrastruttura rispetti i requisiti tecnici ufficiali. In linea generale:

    Server: una macchina con 2-3 anni di vita è generalmente idonea, a patto che CPU, RAM e disco siano dimensionati in base al numero di utenti e al volume di dati. Arca Evolution è un’applicazione client-server: il server elabora, i client visualizzano.

    Database SQL: Arca richiede Microsoft SQL Server. Hai due opzioni:

    • SQL Express — gratuito, ma con un limite di 10 GB per database. Sufficiente per aziende piccole con pochi anni di storico.
    • SQL Standard — a pagamento (licenza Microsoft), senza limiti di dimensione. Necessario non appena il database si avvicina ai 10 GB o si prevede una crescita significativa dei dati.

    Il passaggio da Express a Standard, se fatto tardi, richiede una migrazione del database: è un’operazione gestibile ma che blocca il sistema per alcune ore. Meglio valutare subito la scelta giusta.

    Accesso remoto: se i dipendenti devono collegarsi da fuori sede, la soluzione più diffusa con Arca on-premise è TS Plus (o equivalenti RDP), che permette l’accesso via browser senza installare il client su ogni dispositivo remoto.

    Arca Evolution in cloud: le due varianti

    Anche l’installazione cloud segue sostanzialmente gli stessi requisiti hardware dell’on-premise, ma l’infrastruttura è collocata in un datacenter esterno.

    Cloud cliente o provider terzo: l’azienda affitta una VM su Azure, AWS o un datacenter locale, e gestisce autonomamente l’installazione e la manutenzione di SQL Server e Arca.

    Cloud gestito da BitAgorà: l’ambiente è predisposto, monitorato e mantenuto dal team tecnico di Orobica. Include backup ridondato, VPN per l’accesso sicuro e gestione degli aggiornamenti. È la soluzione più adatta alle aziende che non vogliono occuparsi dell’infrastruttura.

    La soluzione cloud ha generalmente un costo ricorrente più alto rispetto all’on-premise nel lungo periodo, ma elimina i costi nascosti di gestione hardware, aggiornamenti e ripristini.

    Il processo di installazione passo per passo

    1. Ottenere il pacchetto di installazione — solo tramite partner WKI autorizzato; non è disponibile per download diretto
    2. Installare SQL Server — nella versione scelta (Express o Standard), configurando istanza e autenticazione
    3. Installare Arca Evolution — eseguire il setup, puntare all’istanza SQL, creare il database aziendale
    4. Configurazione iniziale — piano dei conti, anagrafica clienti/fornitori, impostazioni IVA e parametri contabili
    5. Test prima del go-live — verifica stampe fiscali, accesso multiutente, integrazione con eventuali moduli aggiuntivi

    Ogni implementazione su misura prevede anche la migrazione dei dati storici dal sistema precedente: è la fase più delicata e quella che più spesso allunga i tempi previsti.

    Errori comuni da evitare

    • Partire con SQL Express senza valutare la crescita dei dati — dopo 2-3 anni il database supera i 10 GB e ci si trova a dover migrare con urgenza
    • Server sottodimensionato o troppo vecchio — Arca è esigente con la RAM; un server con 8 GB diventa un collo di bottiglia con 5+ utenti simultanei
    • Nessun piano di backup automatico — il backup del database SQL deve essere schedulato, verificato e tenuto fuori dal server di produzione
    • Aggiornamenti rimandati — le versioni di Arca vengono aggiornate regolarmente; saltare troppi aggiornamenti complica le migrazioni future

    Scarica la presentazione PDF — guida visiva all’installazione di Arca Evolution per le PMI.

    Vuoi vedere Arca Evolution in funzione prima di decidere come installarlo? Prenota una demo gratuita.