insight.bitagora.it

Autore: admin-bitagora

  • Responsabilità per danni da intelligenza artificiale: cosa cambia per le aziende

    Responsabilità per danni da intelligenza artificiale: cosa cambia per le aziende

    Immagina di usare un software gestionale con un modulo AI che suggerisce automaticamente la classificazione dei contratti. Un documento finisce nella categoria sbagliata. Il contratto non viene rinnovato in tempo. Il cliente chiede i danni. La domanda che il tuo avvocato ti farà è: chi ha deciso? Tu o la macchina?

    Se fino a ieri quella domanda era soprattutto teorica, da quest’anno non lo è più.

    Il decreto attuativo italiano dell’AI Act europeo ha introdotto regole nuove sulla responsabilità per i danni causati dai sistemi di intelligenza artificiale. E la prima cosa da sapere è questa: aver acquistato uno strumento AI certificato non ti mette al riparo da nulla.

    Cosa prevede il nuovo decreto italiano

    Il decreto stabilisce due principi che ribaltano alcune aspettative comuni nelle aziende.

    La conformità all’AI Act non esclude la responsabilità civile. Significa che acquistare un sistema AI che rispetta tutte le norme europee non copre i danni prodotti nel contesto specifico del tuo utilizzo. La conformità riguarda i requisiti di sicurezza e trasparenza del sistema nel momento in cui è stato messo sul mercato: quello che accade nella tua azienda, con i tuoi dati, sui tuoi processi, rimane responsabilità tua.

    Si alleggerisce l’onere della prova per il danneggiato. Chi subisce un danno causato da un sistema AI ha più strumenti per dimostrare il nesso causale tra il danno e il sistema. Non deve più ricostruire da solo l’intera catena tecnica che ha portato all’errore. Questo abbassa la soglia di accesso alla tutela legale, e aumenta il rischio concreto per le aziende che usano AI in modo non strutturato.

    La distinzione che conta: provider e deployer

    L’AI Act distingue due figure principali. Il provider è chi sviluppa e immette sul mercato il sistema AI, tipicamente il fornitore di software. Il deployer è chi usa il sistema AI in un contesto operativo, cioè quasi sempre l’azienda cliente.

    Per le PMI italiane che acquistano e usano strumenti AI, la figura di riferimento è quasi sempre quella del deployer. Ed è su questa figura che il decreto concentra parte delle responsabilità operative: l’azienda che usa un sistema AI ad alto rischio deve assicurarsi che sia usato secondo le istruzioni del provider, che i dati di input siano pertinenti, e che ci sia supervisione umana adeguata dove richiesta.

    I gestionali aziendali, i software HR, i sistemi di scoring creditizio e le piattaforme di assistenza clienti includono già moduli AI che possono rientrare nella categoria ad alto rischio dell’AI Act. Non serve costruire un algoritmo proprietario per essere deployer di un sistema AI ad alto rischio.

    Quali strumenti AI possono coinvolgere la tua azienda

    Alcuni esempi di sistemi che le PMI usano già e che possono rientrare nelle categorie soggette a obblighi più stringenti:

    • Strumenti di selezione del personale che analizzano CV o video-colloqui
    • Software gestionali con moduli di scoring creditizio o analisi finanziaria automatizzata
    • Sistemi di assistenza clienti che prendono decisioni automatiche su rimborsi, accesso ai servizi o priorità dei ticket
    • Piattaforme di sicurezza informatica che classificano automaticamente gli incidenti e attivano risposte

    In tutti questi casi, il deployer ha obblighi che vanno oltre la firma del contratto con il fornitore.

    Cosa fare adesso

    Valutare la propria posizione prima di una contestazione è possibile. Le azioni concrete sono tre.

    Mappare gli strumenti AI in uso. La prima domanda è: quali software usiamo includono funzionalità AI che influenzano decisioni su persone o processi critici? Questa mappatura aiuta a identificare dove l’AI incide su decisioni che riguardano persone o dati sensibili.

    Verificare la documentazione del provider. Per ogni strumento AI in categoria a rischio, il provider deve fornire documentazione tecnica, istruzioni d’uso e indicazioni sulla supervisione umana. Verificare che esista e che venga applicata nella pratica quotidiana.

    Strutturare la supervisione umana. L’AI Act richiede che le decisioni rilevanti prese da sistemi AI siano soggette a controllo umano. Documentare chi supervisiona cosa, e in quale formato, può fare la differenza in caso di contestazione.

    Scarica la presentazione PDF — Presentazione PDF — I punti chiave sulla responsabilità da AI in una sintesi visiva scaricabile.

    Se non hai ancora verificato quali strumenti AI in uso nella tua azienda rientrano negli obblighi dell’AI Act, scrivici: i nostri tecnici possono aiutarti a capire dove sei esposto.

  • ChatGPT in azienda: i link condivisi sono una trappola?

    ChatGPT in azienda: i link condivisi sono una trappola?

    Un collega ti manda un link. È una conversazione ChatGPT, il tipo di messaggio che in molte aziende circola decine di volte al giorno. La pagina si apre e sembra normale: interfaccia riconoscibile, colori corretti, logo in alto a sinistra. Al centro dello schermo, un avviso: il servizio è temporaneamente non disponibile, scarica l’app desktop per continuare. Lo scarichi. A quel punto l’attaccante ha già quello che cercava.

    Questa sequenza descrive una campagna attiva documentata dai ricercatori di Push Security, chiamata LLMShare. Non sfrutta vulnerabilità zero-day, non richiede un errore tecnico del sistema operativo. Sfrutta qualcosa di più difficile da correggere: la familiarità. ChatGPT è uno strumento quotidiano, e un link a una conversazione condivisa non genera sospetto nemmeno in chi fa attenzione alle email di phishing tradizionale.

    Come funziona l’attacco

    Il meccanismo sfrutta una funzione legittima di ChatGPT: la condivisione pubblica delle conversazioni. Chiunque può generare un link a una propria chat e distribuirlo. Gli attaccanti usano questa funzione per costruire pagine convincenti: la struttura della pagina è autentica, l’URL può sembrare corretto a un’occhiata veloce, e il contenuto è progettato per innescare un’azione specifica.

    La variante più diffusa mostra un messaggio di “disservizio temporaneo” con un pulsante per scaricare l’app desktop di ChatGPT. Cliccando, l’utente viene reindirizzato a una pagina che replica fedelmente il sito ufficiale di OpenAI. Il file scaricato è un infostealer: un software che raccoglie in silenzio credenziali, cookie di sessione e dati salvati nel browser, poi li trasmette all’attaccante senza lasciare tracce evidenti.

    Perché questo attacco è più insidioso del phishing tradizionale

    Le campagne di phishing classiche si basano su email che simulano mittenti noti. Negli ultimi anni i dipendenti sono stati formati a riconoscere quegli indizi: indirizzo email sospetto, tono urgente, link abbreviati. LLMShare bypassa questi filtri perché parte da un contenuto reale, su una piattaforma reale, accessibile da un URL legittimo di ChatGPT.

    Il secondo fattore è il contesto aziendale. In molte organizzazioni condividere una conversazione AI con un collega è un gesto quotidiano: “guarda questo prompt che ho usato”, “ti mando la risposta che mi ha dato su quel problema”. Questo flusso normale è esattamente quello che l’attacco imita.

    Cosa insegnare ai dipendenti

    Tre punti concreti da includere in qualsiasi sessione di formazione sulla sicurezza:

    1. ChatGPT non chiede mai di scaricare l’app da un link condiviso. Se una pagina raggiunta tramite un link ChatGPT propone il download di un file eseguibile o di un’app, è un attacco. L’app ufficiale di ChatGPT si scarica solo dagli store ufficiali o dal sito OpenAI, mai tramite un link in una conversazione condivisa.

    2. L’URL da solo non basta. Un link che inizia con chatgpt.com può essere legittimo, ma la pagina a cui porta può essere costruita per ingannare. Verificare sempre l’URL completo nella barra del browser, non solo l’anteprima del link ricevuto.

    3. Un messaggio di errore in una conversazione condivisa è un segnale di allarme. Le conversazioni ChatGPT condivise mostrano il testo della chat, non messaggi di sistema sul funzionamento del servizio. Qualsiasi overlay che chiede un’azione, download incluso, va trattato come sospetto e segnalato all’IT prima di procedere.

    Cosa fare a livello aziendale

    Formare i dipendenti su questo vettore specifico è il primo passo, ma non esaurisce il tema. Sul piano tecnico, alcune misure riducono il rischio in modo significativo:

    • Autenticazione a due fattori su tutti gli account aziendali: anche se un infostealer raccoglie le credenziali, la 2FA blocca l’accesso non autorizzato agli account compromessi.
    • Soluzioni EDR aggiornate: strumenti come Microsoft Defender for Endpoint rilevano l’esecuzione di infostealer prima che possano esfiltrare dati in modo significativo.
    • Policy sull’uso degli strumenti AI: definire quali strumenti AI sono approvati, come vanno usati e quali link è opportuno condividere internamente riduce la superficie di attacco senza bloccare la produttività.

    LLMShare non è l’ultimo attacco che sfrutterà gli strumenti AI più diffusi come superficie di ingaggio. Man mano che ChatGPT, Copilot e i loro equivalenti diventano parte dell’infrastruttura quotidiana delle PMI, diventano anche vettori di attacco sempre più interessanti per chi vuole colpire le aziende. La risposta non è smettere di usarli, è usarli con consapevolezza.

    La sicurezza informatica parte dalle persone prima ancora che dagli strumenti. Scopri come costruire una cultura della sicurezza nella tua azienda e perché la cyber awareness è il presidio più efficace contro gli attacchi informatici.

  • Sicurezza informatica personale in azienda: la checklist che ogni dipendente dovrebbe seguire

    Sicurezza informatica personale in azienda: la checklist che ogni dipendente dovrebbe seguire

    Il tuo laptop è sbloccato sulla scrivania. La stessa password protegge la tua email aziendale e il tuo account di un servizio di streaming. L’ultimo aggiornamento di Windows lo hai rimandato per la terza settimana di fila perché “adesso ho da fare”. Non è una situazione eccezionale: è la norma in quasi tutte le aziende, dalle più grandi alle più piccole.

    Il problema non è la malevolenza di chi lavora in azienda. È che nessuno ha mai spiegato, in modo concreto e senza gergo tecnico, cosa fare per proteggere i propri dati e quelli dell’azienda. Questa checklist colma quel vuoto. Non serve diventare esperti di sicurezza: bastano sei abitudini, tutte implementabili nel giro di un pomeriggio.

    1. Autenticazione a due fattori: attivala su tutto ciò che conta

    La password da sola non basta. Se qualcuno la ottiene, ha accesso immediato al tuo account. L’autenticazione a due fattori (2FA) aggiunge un secondo livello: anche con la password corretta, senza il secondo codice non si entra.

    Per gli account aziendali, usa sempre un’app di autenticazione come Microsoft Authenticator o Google Authenticator, mai gli SMS: i codici via messaggio possono essere intercettati con tecniche relativamente accessibili. Per gli account con accesso a dati particolarmente sensibili, come l’email aziendale o il gestionale, valuta l’uso di una chiave hardware fisica (YubiKey o simili): è il metodo più robusto disponibile oggi e costa meno di 50 euro.

    2. Cifra il disco del tuo laptop

    Se il tuo laptop venisse rubato o smarrito, i dati sarebbero leggibili da chiunque in pochi minuti, a meno che il disco non sia cifrato. La cifratura trasforma i dati in codice illeggibile senza la chiave corretta.

    Su Windows, lo strumento si chiama BitLocker ed è incluso nelle versioni Pro ed Enterprise. Su Mac, si chiama FileVault. In entrambi i casi l’attivazione richiede meno di cinque minuti e rallenta il dispositivo in modo impercettibile. Verifica che sia attivo: in molte aziende i laptop vengono consegnati senza averlo abilitato.

    3. Usa un password manager

    Una password robusta è lunga, casuale e diversa per ogni account. Il problema è che nessun essere umano è in grado di ricordarne decine. Il risultato pratico è che si finisce per usare varianti della stessa password ovunque, il che rende ogni account vulnerabile nel momento in cui uno di essi viene compromesso.

    Un password manager genera e memorizza password complesse per ogni servizio, richiedendo all’utente di ricordare una sola password principale. I prodotti più diffusi in ambito aziendale sono Bitwarden (open source), 1Password e Keeper. Molte soluzioni Microsoft 365 Business includono già funzioni integrate di gestione credenziali.

    4. VPN: quando è necessaria e quando no

    Una VPN cifra il traffico tra il tuo dispositivo e internet. È utile in due situazioni precise: quando lavori da una rete pubblica (bar, hotel, aeroporto) e quando accedi a risorse interne aziendali da remoto.

    Se la tua azienda ha una VPN aziendale configurata, usala ogni volta che ti connetti da fuori ufficio. Se non ce l’ha e usi spesso reti pubbliche, considera una soluzione personale come Mullvad o ProtonVPN. La VPN non è una protezione universale: non sostituisce la 2FA né la cifratura del disco, ma aggiunge un livello utile in contesti specifici.

    5. Controlla i permessi delle app sul telefono

    Il telefono aziendale, o il telefono personale usato per il lavoro, ha accesso a email, documenti e contatti aziendali. Molte app installate nel tempo hanno ottenuto permessi che non servono più, o che non avrebbero dovuto ottenere in primo luogo.

    Dedica dieci minuti a revisionare le app installate: disinstalla quelle che non usi, controlla i permessi di quelle che tieni (microfono, fotocamera, posizione, contatti) e revoca quelli che non sono giustificati dalla funzione dell’app. Su iPhone, le impostazioni privacy sono in Impostazioni → Privacy e sicurezza. Su Android, in Impostazioni → App → Autorizzazioni.

    6. Aggiornamenti: smetti di rimandare

    La maggior parte degli attacchi informatici sfrutta vulnerabilità note, per le quali esiste già una patch. Il tempo medio tra la pubblicazione di una vulnerabilità e il suo sfruttamento attivo è spesso inferiore a 24 ore. Ogni aggiornamento rimandato è una finestra che rimane aperta.

    Configura gli aggiornamenti automatici su tutti i dispositivi, sistema operativo e applicazioni. Se il tuo sistema di gestione IT lo consente, programma gli aggiornamenti in orari fuori lavoro in modo che non interrompano l’attività. Questa singola abitudine riduce la superficie di attacco più di qualsiasi altro strumento.

    Nessuno di questi strumenti richiede competenze tecniche avanzate. Richiedono tempo, la prima volta, e poi diventano abitudini. La sicurezza informatica personale non è un tema da lasciare al reparto IT: è una responsabilità condivisa, e ogni anello debole nella catena espone l’intera azienda.

    Scarica la presentazione PDF — La checklist in 6 passi per proteggere i dati aziendali, in una sintesi visiva scaricabile.

    La sicurezza parte dalle persone prima ancora che dagli strumenti. Scopri perché la cyber awareness è il primo presidio contro gli attacchi informatici e come costruirla nella tua azienda in modo concreto.

  • Disaster Recovery as a Service per PMI: come funziona Sefthy e quando serve una soluzione cloud

    Disaster Recovery as a Service per PMI: come funziona Sefthy e quando serve una soluzione cloud

    Un server che smette di funzionare di domenica notte, un ransomware che cifra i file del NAS alle 6 di mattina, un errore umano che cancella tre anni di documenti contabili. Questi scenari hanno in comune una cosa: se non esiste un sistema di ripristino operativo, il danno si misura in ore di blocco produttivo, non in minuti.

    Cos’è il Disaster Recovery as a Service

    Il Disaster Recovery as a Service (DRaaS) è un approccio alla protezione dei dati aziendali in cui backup, monitoraggio e ripristino vengono gestiti come un servizio in abbonamento, senza che l’azienda costruisca e mantenga un’infrastruttura di recovery interna. Il provider gestisce i datacenter, la replica dei dati e le procedure di ripristino, mentre l’azienda paga un canone periodico commisurato al volume di dati e al livello di protezione richiesto.

    Per una PMI, questo cambia il rapporto con il disaster recovery: invece di un progetto infrastrutturale complesso da pianificare internamente, diventa un servizio attivabile in tempi brevi, senza investimenti iniziali significativi.

    Come funziona Sefthy

    Sefthy è una piattaforma italiana di Backup & Disaster Recovery progettata per essere operativa in pochi minuti senza richiedere competenze IT avanzate. Il componente centrale è un dispositivo fisico chiamato Connector, che si installa nella rete aziendale e stabilisce una connessione cifrata con i datacenter cloud di Sefthy, certificati e ridondanti, con uptime garantito.

    Backup automatici e verifica continua

    Una volta configurato, Sefthy esegue backup automatici e incrementali dei server e delle macchine aziendali a intervalli definiti. L’elemento distintivo è la verifica continua dell’integrità: il sistema controlla che ogni salvataggio sia effettivamente ripristinabile, non si limita a confermare che il file sia stato copiato.

    Ripristino in tre scenari

    Il valore pratico emerge nei tre scenari di emergenza più comuni per le PMI. Server rotto o guasto hardware: ripristino locale direttamente dall’appliance Connector. Attacco ransomware: riavvio dei sistemi dal cloud su una versione precedente all’infezione. Ufficio inaccessibile: attivazione dell’Emergency VPN per l’accesso remoto ai dati. In tutti e tre i casi il downtime si riduce da ore a minuti.

    Canone e scalabilità

    Sefthy lavora a canone mensile, con costi proporzionali al volume di dati protetti. Si può partire proteggendo un singolo server e ampliare la copertura senza cambiare soluzione, man mano che l’infrastruttura cresce.

    Quando valutare il passaggio a una soluzione DRaaS

    Non ogni azienda ha le stesse esigenze di recovery. Alcuni contesti in cui il DRaaS giustifica il costo: PMI che dipendono da un solo server o NAS senza replica secondaria; aziende che hanno già subito un ransomware o una perdita di dati e vogliono una protezione strutturata; contesti in cui il downtime si traduce direttamente in mancato fatturato, come e-commerce, logistica o produzione continua; organizzazioni con obblighi normativi di continuità operativa come NIS2 o GDPR.

    Chi ha già un’infrastruttura con replica sincronizzata su datacenter secondario e procedure di failover documentate e testate probabilmente non ha bisogno di un DRaaS esterno.

    La differenza tra backup e disaster recovery

    Un backup copia i dati. Un sistema di disaster recovery garantisce che quei dati possano essere ripristinati in tempi utili, su infrastruttura funzionante, con procedure testate. La distinzione è rilevante perché molte PMI hanno un backup attivo ma non hanno mai verificato quanto tempo richiederebbe un ripristino completo in caso di emergenza reale. Avere i backup non equivale a essere pronti a ripristinare.

    Sefthy risolve la parte più difficile del disaster recovery per le PMI: rendere il ripristino effettivamente rapido e gestibile senza un team IT interno. Il canone mensile e il modello plug & play abbassano la barriera di accesso a una protezione che fino a pochi anni fa richiedeva investimenti infrastrutturali significativi.

    Scarica la presentazione PDF — approfondimento visivo su come funziona Sefthy e i tre scenari di recovery coperti.

    Hai già un backup attivo ma non hai mai testato un ripristino completo? Scrivici: è il primo passo per capire se sei davvero protetto.

  • Genya per le aziende: cos’è, cosa gestisce e quando conviene rispetto a Fattura Smart

    Genya per le aziende: cos’è, cosa gestisce e quando conviene rispetto a Fattura Smart

    Gestire la fatturazione con uno strumento, la contabilità con un altro e lo scadenzario su un foglio Excel è una situazione comune nelle piccole imprese italiane. Funziona finché il volume di documenti è contenuto, ma diventa rapidamente un problema quando le transazioni aumentano, si aggiunge un secondo punto vendita o si ha bisogno di condividere i dati in tempo reale con il commercialista. Genya di Wolters Kluwer Italia nasce per consolidare questi flussi in un unico strumento cloud, pensato per le PMI che vogliono uscire dalla gestione frammentata senza affrontare l’implementazione di un ERP completo.

    Cos’è Genya e a chi si rivolge

    Genya è un software gestionale in cloud sviluppato da Wolters Kluwer Italia, la divisione del gruppo olandese che si occupa di software fiscale e gestionale per il mercato italiano. È progettato per le piccole imprese con 1-10 dipendenti, non per le aziende strutturate, e si posiziona tra Genya Fattura Smart, strumento di sola fatturazione, e i gestionali enterprise come Arca Evolution.

    Il profilo tipico è un’azienda che emette già fatture elettroniche, ha una contabilità gestita in parte internamente e in parte dallo studio commercialista, e ha bisogno di un sistema che tenga insieme ciclo attivo, ciclo passivo e adempimenti contabili senza richiedere un reparto IT dedicato.

    Le funzionalità principali

    Fatturazione e ciclo attivo

    Genya gestisce l’intera filiera del ciclo attivo, dai preventivi ai DDT fino alle fatture elettroniche B2B e B2G con trasmissione al Sistema di Interscambio. L’acquisizione delle fatture passive avviene in modo automatico dallo SDI, riducendo il lavoro manuale di registrazione.

    Contabilità integrata

    La contabilità è integrata con la fatturazione, così ogni documento emesso o ricevuto aggiorna automaticamente il piano dei conti senza richiedere una doppia registrazione. Sono inclusi gli adempimenti periodici principali: liquidazione IVA, LIPE, Intrastat, gestione cespiti, bilancio e dichiarativi.

    Scadenzario e solleciti

    Lo scadenzario tiene traccia delle scadenze di incasso e pagamento. È possibile generare distinte (RiBa, bonifici, RID, SDD) e inviare solleciti di pagamento direttamente dall’interno del gestionale, senza passare per strumenti esterni.

    Collaborazione con lo studio commercialista

    Una delle funzionalità più pratiche è l’utenza dedicata per il commercialista: lo studio accede allo stesso piano dei conti dell’azienda senza ricevere file via mail o richiedere esportazioni manuali. Per le aziende con più realtà societarie, la gestione multiazienda con le stesse credenziali riduce il tempo di amministrazione in modo significativo.

    –> Novità: a partire da luglio 2026 sarà disponibile il modulo magazzino!

    La brochure di WKI

    Genya o Fattura Smart: quando ha senso cambiare

    Fattura Smart è lo strumento giusto per chi ha bisogno solo di fatturazione elettronica. Genya è il passo successivo: ha senso valutarlo quando serve una contabilità integrata, quando il commercialista ha bisogno di accesso diretto ai dati, o quando si gestiscono più aziende e si vuole evitare di duplicare il lavoro su sistemi separati. La migrazione da Fattura Smart è supportata nativamente, con importazione automatica dei dati storici.

    Limiti e alternative da considerare

    Genya è pensato per le piccole imprese, non per chi ha bisogno di gestione della produzione, logistica di magazzino avanzata o CRM integrato. È anche esclusivamente cloud: chi preferisce installazioni on-premise o ha vincoli di connettività deve valutare alternative. Per esigenze di gestione commerciale più strutturata, soluzioni come Arca Evolution coprono una fascia più ampia di funzionalità.

    Genya è una scelta concreta per le PMI italiane che vogliono consolidare fatturazione e contabilità in un unico strumento senza la complessità di un ERP. La curva di adozione è contenuta, la collaborazione con lo studio è integrata e il passaggio da Fattura Smart non richiede una migrazione manuale.

    Hai dubbi su quale gestionale si adatta meglio alla tua struttura? Scrivici: ti aiutiamo a valutare le opzioni più adatte alla tua azienda.

  • Microsoft 365 Business Premium: cosa cambia rispetto a Standard e quando conviene passare

    Microsoft 365 Business Premium: cosa cambia rispetto a Standard e quando conviene passare

    Perdere un dispositivo aziendale con accesso attivo a Teams e SharePoint è uno scenario reale per qualsiasi PMI con dipendenti in smart working. Revocare l’accesso da remoto, verificare la cifratura del disco o sapere quanti dispositivi personali accedono all’account aziendale sono operazioni che Business Standard non include, e che Business Premium gestisce tramite Intune insieme a Defender for Business e all’accesso condizionale di Azure AD P1.

    Cosa aggiunge Business Premium rispetto a Standard

    Passando da Standard a Premium, la licenza sblocca tre aree funzionali che Standard non include.

    • Microsoft Defender for Business, il sistema di protezione endpoint integrato che monitora in modo continuo i dispositivi Windows collegati all’account aziendale, rileva comportamenti anomali e automatizza le risposte agli incidenti più comuni, senza richiedere un sistema EDR separato.
    • Microsoft Intune, la piattaforma di gestione dei dispositivi mobili e desktop che permette di applicare policy di sicurezza su tutti i dispositivi che accedono alle risorse aziendali, compresi quelli personali dei dipendenti in smart working.
    • Azure Active Directory P1, che sblocca l’accesso condizionale, cioè la possibilità di autorizzare l’accesso a Teams, SharePoint o Outlook solo da dispositivi conformi o da posizioni geografiche attendibili, riducendo l’esposizione agli attacchi basati su credenziali rubate.
    • Microsoft Purview Information Protection, per classificare e proteggere i documenti sensibili con etichette di riservatezza, utile per chi tratta dati personali o informazioni soggette a normative specifiche.

    Perché la sicurezza è il motivo principale per valutare il passaggio

    Business Standard copre bene le esigenze di collaborazione e produttività, ma lascia scoperta tutta la fascia della sicurezza endpoint e della gestione centralizzata. In un contesto in cui i tentativi di phishing sugli account Microsoft e le compromissioni di credenziali sono tra i vettori di attacco più frequenti per le PMI italiane, il filtro antispam di Exchange Online e l’autenticazione multi-fattore base sono una protezione parziale.

    Con Premium, Defender for Business aggiunge visibilità continua su cosa succede sui dispositivi Windows aziendali, comprese le attività sospette su file e processi. Il valore concreto sta nella capacità di rilevare un incidente in corso, non solo di registrarlo dopo che il danno è già fatto.

    La gestione dei dispositivi con Intune

    Per le aziende con dipendenti in smart working o con dispositivi personali che accedono a posta e file aziendali, Intune risolve un problema pratico: come applicare policy di sicurezza minime su dispositivi che l’azienda non possiede direttamente.

    Con Intune attivo è possibile richiedere che il dispositivo abbia il PIN abilitato e il disco cifrato prima di accedere a Teams o SharePoint, revocare l’accesso da remoto in caso di smarrimento o furto, e tenere traccia dei dispositivi registrati. Per chi è soggetto a NIS2 o a normative di settore, questo livello di controllo è spesso un requisito esplicito.

    Chi dovrebbe valutare il passaggio

    Il salto a Premium ha senso concreto in situazioni specifiche.

    • Aziende con dipendenti in smart working regolare, dove i dispositivi accedono alle risorse aziendali da reti non controllate.
    • PMI con dati sensibili o soggette a normative, per cui la protezione endpoint e la gestione centralizzata passano da opzionali a necessarie.
    • Organizzazioni che hanno già subito un incidente o che gestiscono un numero crescente di tentativi di phishing sugli account Microsoft.
    • Aziende che vogliono ridurre il numero di strumenti separati, integrando endpoint protection, device management e identity in un’unica licenza.

    Chi invece ha un utilizzo prevalentemente produttivo, poca mobilità e nessun dato critico, può restare su Standard senza perdere funzionalità rilevanti.

    I costi e come valutare il confronto

    Business Premium costa circa 22 euro per utente al mese, contro i circa 12,50 euro di Business Standard. La differenza di circa 9-10 euro per utente va confrontata con il costo alternativo degli strumenti che Premium sostituisce: un sistema EDR stand-alone per piccole aziende parte da 3-5 euro per endpoint al mese, Intune come licenza separata vale circa 8 euro per utente. Sommando questi due soli componenti, il costo supera già il delta tra Standard e Premium, con in più la complessità di gestire sistemi disomogenei.

    Per aziende tra 10 e 50 utenti, il calcolo è quasi sempre favorevole al passaggio, a condizione di attivare e configurare correttamente le funzionalità incluse.

    Come fare il passaggio

    Il cambio di piano si gestisce dall’interfaccia di amministrazione di Microsoft 365, senza interruzioni del servizio. Le licenze esistenti vengono aggiornate e i dati restano invariati.

    Il passaggio tecnico richiede però una fase di configurazione per essere efficace: Defender for Business va attivato e collegato ai dispositivi, Intune va configurato con le policy adeguate alla rete aziendale, le etichette di Purview vanno create in base alla classificazione dei documenti. Fare il cambio di piano senza questa fase di setup significa pagare Premium e continuare a usarlo come Standard.

    Microsoft 365 Business Premium è una scelta concreta per le PMI già radicate nell’ecosistema Microsoft che vogliono consolidare la sicurezza senza moltiplicare i fornitori. Attivarlo e configurarlo correttamente richiede una fase di setup dedicata, perché le funzionalità incluse producono valore solo se sono effettivamente operative.

    Valuta il tuo piano Microsoft 365 con noi: ti aiutiamo ad analizzare la configurazione attuale e a capire se il passaggio a Premium è giustificato per la tua struttura.

  • Come scegliere un firewall aziendale: guida pratica per le PMI

    Come scegliere un firewall aziendale: guida pratica per le PMI

    Molte aziende colpite da attacchi informatici avevano già un firewall. Mal configurato, mai aggiornato dopo l’installazione, o semplicemente sottodimensionato rispetto alla rete che proteggeva. Per le PMI italiane, il firewall è spesso il primo presidio di sicurezza e, in parallelo, il punto dove si concentrano le vulnerabilità più trascurate. Scegliere quello giusto richiede di partire dalla propria rete, dai rischi reali e dal budget disponibile nel medio periodo.

    Cos’è un firewall aziendale e perché non basta quello del router

    Il firewall è il sistema che controlla il traffico in entrata e in uscita dalla rete aziendale, decidendo cosa è lecito e cosa deve essere bloccato. Molte PMI si affidano al firewall integrato nel router fornito dall’operatore, un dispositivo progettato per connettività di base e non dimensionato per reti con decine di dispositivi, accessi da remoto e dati sensibili.

    Un firewall aziendale dedicato fa cose che il router non fa. Ispeziona il contenuto dei pacchetti in profondità (Deep Packet Inspection), riconosce applicazioni e comportamenti anomali, gestisce le VPN per lo smart working, aggiorna automaticamente le firme delle minacce e genera log consultabili in caso di incidente.

    I tipi di firewall: qual è quello giusto per la tua azienda

    Firewall tradizionale (packet filtering)

    Filtra il traffico sulla base di regole statiche (indirizzo IP, porta, protocollo). Economico, ma cieco rispetto al contenuto: non distingue tra un accesso legittimo e un attacco che usa la stessa porta.

    Next-Generation Firewall (NGFW)

    L’evoluzione standard per le PMI strutturate. Integra ispezione approfondita dei pacchetti, controllo delle applicazioni, prevenzione delle intrusioni (IPS) e filtro contenuti web. Marchi di riferimento: Fortinet FortiGate, Sophos XGS, Cisco Meraki, WatchGuard.

    UTM (Unified Threat Management)

    Simile al NGFW, aggrega più funzioni di sicurezza in un unico appliance: firewall, antivirus, antispam, VPN, web filtering. Ideale per PMI che non hanno un team IT dedicato e preferiscono una gestione centralizzata semplice.

    Firewall as a Service (FWaaS)

    Soluzione cloud-based, adatta ad aziende con più sedi, lavoratori remoti numerosi o ambienti prevalentemente cloud. Non richiede hardware fisico in sede.

    Per la maggior parte delle PMI italiane con 10–100 dipendenti, la scelta ricade su NGFW o UTM.

    Cosa deve saper fare un firewall per una PMI nel 2026

    Prima di valutare i modelli, definisci i requisiti. Un firewall adeguato per una PMI deve:

    • Gestire la connettività remota, con una VPN site-to-client stabile e dimensionata per il numero di dipendenti che lavorano fuori sede.
    • Ispezionare il traffico cifrato (SSL/TLS inspection), perché oggi la maggior parte degli attacchi viaggia su HTTPS e un firewall che non apre questo traffico è sostanzialmente cieco.
    • Aggiornare le firme in modo automatico, dato che le minacce cambiano ogni giorno e un dispositivo con firme vecchie di settimane offre una protezione parziale.
    • Generare log e alert consultabili, indispensabili per rilevare anomalie in tempo reale e per ricostruire la sequenza degli eventi in caso di incidente.
    • Offrire una console di gestione centralizzata comprensibile anche senza un team IT dedicato, con visibilità sul traffico e sulla configurazione delle regole.
    • Supportare la segmentazione della rete, separando la rete guest dal network aziendale e isolando i dispositivi IoT o i terminali di produzione dal resto dell’infrastruttura.

    Quanto costa un firewall aziendale

    Il costo di un firewall aziendale si compone di due voci, l’hardware (o l’abbonamento cloud) e la licenza annuale per i servizi, che include aggiornamento firme, protezione avanzata e supporto.

    FasciaHardwareLicenza annuaPer chi
    Entry level300–600 €150–300 €/annoPMI fino a 20 utenti, bassa complessità
    Mid-range700–1.500 €400–800 €/annoPMI 20–80 utenti, smart working, più sedi
    Enterprise2.000 € +1.000 €+/annoAziende strutturate, ambienti critici

    L’errore più comune è comprare l’hardware senza rinnovare la licenza. Un firewall con firme scadute offre una protezione solo apparente, perché i motori di rilevamento lavorano su firme obsolete e le minacce più recenti passano inosservate.

    La checklist per scegliere il firewall giusto

    Prima di contattare un fornitore, rispondi a queste domande:

    1. Quanti utenti e dispositivi devo proteggere? (includi smartphone, stampanti, dispositivi IoT)
    2. Quanti dipendenti lavorano da remoto? (dimensiona la VPN)
    3. Ho più sedi? (valuta FWaaS o gestione centralizzata multi-sede)
    4. Uso servizi cloud (Microsoft 365, ERP in cloud)? (il traffico cloud richiede ispezione SSL)
    5. Ho competenze IT interne? (se no, scegli un UTM con console semplice o affidati a un partner per la gestione)
    6. Qual è il mio budget totale, hardware + licenze per 3 anni? (il TCO su 3 anni è il confronto corretto)

    Gli errori più comuni nella scelta del firewall

    • Acquistare l’hardware senza sottoscrivere l’abbonamento ai servizi, dimenticando che le firme antivirus e IPS si aggiornano solo con una licenza attiva e che un dispositivo con firme scadute offre protezione solo nominale.
    • Scegliere in base al prezzo di acquisto dell’apparato, ignorando il TCO su tre anni che include licenze e gestione e che è l’unico confronto economicamente corretto.
    • Non configurarlo dopo l’installazione, affidandosi alle impostazioni di fabbrica che non tengono conto della rete specifica e offrono una protezione di base.
    • Ignorare i log, privandosi dell’unico strumento che permette di rilevare anomalie in tempo reale e di ricostruire cosa è successo in caso di incidente.

    Un firewall richiede cura nel tempo, con aggiornamenti regolari delle firme, una configurazione adeguata alla rete specifica e monitoraggio attivo dei log. Soluzioni gestibili anche senza un team IT interno esistono e coprono bene la fascia PMI. Il confronto corretto si fa calcolando il TCO su tre anni, hardware, licenze e gestione compresi.

    Hai dubbi su come proteggere la rete della tua azienda? Scrivici, ti aiutiamo a valutare le opzioni giuste per le tue esigenze.

  • Cloud vs hardware: perché oggi il confronto è cambiato

    Cloud vs hardware: perché oggi il confronto è cambiato

    Fino a qualche anno fa, la domanda “cloud o hardware?” aveva quasi sempre una risposta a due velocità: il cloud per chi partiva da zero, l’hardware per chi aveva già un’infrastruttura e voleva tenersi il controllo. Oggi quella risposta non funziona più. Il costo dell’hardware è cambiato in modo strutturale, e le aziende che stanno valutando un rinnovo infrastrutturale si trovano davanti a un confronto molto diverso da quello che avrebbero fatto tre anni fa.

    Cosa è successo al costo dell’hardware

    Tre fattori si sono sovrapposti nell’arco di pochi anni.

    Il primo è la crisi della supply chain post-pandemia: la carenza di semiconduttori ha fatto salire i prezzi dei componenti e allungato i tempi di consegna, creando una pressione sui costi che non si è ancora completamente riassorbita.

    Il secondo è la politica tariffaria. Le tensioni commerciali tra USA e principali produttori di componentistica hanno introdotto dazi su categorie ampie di hardware — server, storage, networking — con effetti a cascata sui prezzi al dettaglio anche in Europa.

    Il terzo è l’inflazione generale sui costi energetici e di produzione, che ha alzato il punto di pareggio degli investimenti hardware fisici, soprattutto quando si calcolano i costi operativi nel tempo.

    Il risultato: un server che tre anni fa costava X oggi costa significativamente di più, e i tempi di ritorno sull’investimento si sono allungati.

    Il TCO reale: hardware vs cloud per una PMI

    Il confronto tra cloud e hardware è spesso fatto male — si guarda solo al costo di acquisto del server e alla fattura mensile del cloud, senza calcolare tutto il resto.

    Il TCO (Total Cost of Ownership) dell’hardware comprende:

    • Acquisto — server, storage, NAS, switch, UPS
    • Energia — un server fisico consuma 24/7, anche quando è quasi inattivo
    • Manutenzione e garanzie — hardware fisico si rompe; i contratti di assistenza costano
    • Personale IT — qualcuno deve gestire aggiornamenti, patch, backup, sostituzioni
    • Obsolescenza — dopo 4-5 anni l’hardware va rinnovato, indipendentemente da quanto era costato

    Il TCO del cloud comprende: canone mensile prevedibile e scalabile, nessun costo di sostituzione hardware, aggiornamenti inclusi, riduzione del carico sul team IT interno.

    Per molte PMI, quando si fa il calcolo onesto su 5 anni, il cloud risulta competitivo già in condizioni normali. Con i prezzi hardware attuali, il margine si è allargato ulteriormente.

    Quando il cloud conviene davvero (e quando no)

    Il cloud ha senso quando:

    • L’azienda è in fase di rinnovo infrastrutturale — hardware in scadenza di garanzia o già fuori supporto
    • I carichi di lavoro variano nel tempo — il cloud scala senza acquistare capacità in eccesso
    • Il team IT è ridotto o assente — meno gestione operativa da fare internamente
    • La mobilità conta — accesso da più sedi o da remoto senza VPN complesse

    Il cloud può non essere la scelta migliore quando:

    • I volumi di dati sono molto elevati e stabili nel tempo — la retention dei dati cloud può diventare costosa
    • Esistono vincoli normativi specifici sulla localizzazione dei dati
    • L’infrastruttura esistente è recente e ben dimensionata — non ha senso smontare qualcosa che funziona

    I segnali che è il momento di valutare il passaggio

    • Hardware in scadenza di garanzia nei prossimi 12 mesi
    • Crescita dell’organizzazione che richiede più capacità
    • Episodi ricorrenti di downtime o lentezza infrastrutturale
    • Team IT sovraccarico di operatività e poco tempo per progetti strategici
    • Necessità di disaster recovery che oggi non è garantito

    Se ricorri in almeno due di questi segnali, una valutazione seria ha senso ora — prima di investire nell’ennesimo ciclo di hardware.

    Il momento giusto per valutare il cloud è prima di acquistare nuovo hardware. Parlaci della tua infrastruttura: ti aiutiamo a fare i conti.

  • Voucher cybersecurity PMI: fino a 20.000€

    Voucher cybersecurity PMI: fino a 20.000€

    Se la tua azienda non ha ancora adottato soluzioni cloud o aggiornato la propria infrastruttura di sicurezza informatica, il 2026 potrebbe essere il momento giusto per farlo — con un aiuto concreto. Un incentivo ministeriale mette a disposizione 150 milioni di euro per sostenere PMI e liberi professionisti nella digitalizzazione: il Voucher Cloud & Cybersecurity copre il 50% delle spese ammissibili, fino a un massimo di 20.000 euro per azienda.

    Cos’è il Voucher Cloud & Cybersecurity

    Il Voucher Cloud & Cybersecurity è un incentivo del Ministero delle Imprese e del Made in Italy (MIMIT) rivolto alle micro, piccole e medie imprese e ai liberi professionisti. L’obiettivo è accelerare l’adozione di tecnologie digitali avanzate — in particolare soluzioni cloud e strumenti di protezione informatica — riducendo la barriera economica all’ingresso.

    Il programma fa parte di un piano più ampio di transizione digitale per le imprese italiane, in linea con gli obiettivi europei del decennio digitale 2030.

    Chi può richiederlo

    Il voucher è destinato a PMI e liberi professionisti con sede legale in Italia. I requisiti specifici e le modalità di accesso vengono definiti dal bando ministeriale — è fondamentale verificare la propria eligibilità prima di procedere con gli acquisti, poiché le spese devono essere effettuate in un periodo preciso per essere rimborsabili.

    Quanto vale e come funziona

    ParametroValore
    Contributo50% delle spese ammissibili
    Massimale per azienda20.000€
    Spesa minima ammissibile4.000€
    Fondi totali disponibili150 milioni di euro

    Il meccanismo è semplice: l’azienda sostiene le spese per le soluzioni ammesse, poi richiede il rimborso del 50% fino al tetto massimo previsto. Le risorse sono limitate e vengono assegnate in ordine di domanda.

    Cosa copre il voucher

    • Sicurezza perimetrale: firewall di nuova generazione, antivirus, sistemi di rilevamento delle minacce
    • Continuità operativa: backup locale e remoto, disaster recovery
    • Gestione aziendale: sistemi ERP e CRM, piattaforme di gestione documentale
    • Comunicazioni: soluzioni VoIP e unified communication
    • Servizi gestiti: configurazione, monitoraggio e manutenzione dell’infrastruttura

    Come sfruttarlo al meglio

    Un errore comune è procedere agli acquisti senza una valutazione preliminare dei reali bisogni. Il voucher copre una quota importante della spesa, ma non annulla il costo — vale la pena investirlo su soluzioni che risolvono problemi concreti e duraturi, non su acquisti di opportunità.

    1. Verifica l’eligibilità — controlla i requisiti del bando aggiornato
    2. Analisi del gap — identifica le aree più critiche della tua infrastruttura
    3. Selezione delle soluzioni — scegli tecnologie che resteranno rilevanti nei prossimi anni
    4. Affiancati a un partner qualificato — un consulente IT può aiutarti a massimizzare il valore dell’incentivo e gestire la pratica

    I fondi sono limitati e vengono assegnati in ordine cronologico: aspettare significa rischiare di trovare le risorse esaurite.

    Vuoi massimizzare il voucher scegliendo le soluzioni giuste? Contatta BitAgorà: valutiamo insieme l’infrastruttura della tua azienda senza impegno.

  • Gestionale per commercialisti: dall’amministrazione alla consulenza strategica

    Gestionale per commercialisti: dall’amministrazione alla consulenza strategica

    Quante ore alla settimana uno studio commercialista dedica a scaricare F24, preparare dichiarazioni IVA, archiviare documenti e rispondere alle stesse domande dei clienti? Per molti professionisti, la risposta è “troppe”. Non perché manchino le competenze, ma perché il lavoro amministrativo tende a occupare tutto lo spazio disponibile, lasciando poco tempo per quello che crea davvero valore: la consulenza strategica. Un software gestionale cloud progettato per gli studi professionali può cambiare questo equilibrio in modo concreto.

    Il problema: l’amministrazione che assorbe tutto

    Uno studio commercialista di medie dimensioni gestisce ogni giorno un volume enorme di attività ripetitive — scadenze fiscali, comunicazioni con l’Agenzia delle Entrate, trasmissioni telematiche, riconciliazioni contabili. Sono attività necessarie, ma non sono quelle per cui un commercialista ha studiato anni.

    Il risultato è paradossale: il professionista più qualificato dello studio passa la maggior parte del tempo su compiti che un software ben configurato potrebbe gestire in autonomia. E il cliente, nel frattempo, vorrebbe qualcuno che lo aiutasse a leggere i dati e prendere decisioni — non solo a compilare adempimenti.

    Cosa fa un software gestionale cloud per uno studio commercialista

    Automazione delle attività ricorrenti

    Il vantaggio più immediato di un gestionale moderno è l’automazione: dichiarazioni IVA, gestione fatture, trasmissioni telematiche, scadenziari. Attività che oggi richiedono intervento manuale su ogni singola pratica diventano flussi automatizzati, con controllo centralizzato sullo stato di avanzamento.

    Il dato che emerge da chi ha già adottato soluzioni di questo tipo è significativo: studi con quattro collaboratori riportano risparmi superiori alle venti ore mensili, recuperate interamente per attività a maggior valore aggiunto.

    Accesso cloud e mobilità

    Un gestionale cloud elimina la dipendenza dalla postazione fissa. I dati sono accessibili da qualsiasi dispositivo — PC, tablet, smartphone — con aggiornamenti in tempo reale. Per uno studio che segue clienti in più sedi, o per un professionista che lavora spesso fuori ufficio, la differenza operativa è sostanziale.

    CRM e gestione del rapporto con i clienti

    I gestionali più evoluti integrano funzionalità CRM: storico delle interazioni con ogni cliente, promemoria automatici, monitoraggio delle pratiche aperte. Invece di tenere tutto in email e fogli di calcolo, lo studio ha una visione centralizzata di ogni relazione professionale.

    Business intelligence e KPI di studio

    Un aspetto spesso sottovalutato è la reportistica interna. Quante ore impiega ogni collaboratore su ciascun cliente? Quali servizi sono sottopagati rispetto al tempo investito? Un gestionale con moduli di business intelligence risponde a queste domande con dati strutturati, non con stime a sensazione.

    Cloud vs. gestionale tradizionale: cosa cambia davvero

    I gestionali installati localmente hanno ancora una base installata importante negli studi professionali, ma presentano limiti crescenti: aggiornamenti manuali, backup da gestire, impossibilità di lavorare da remoto in modo fluido, costi di manutenzione server.

    Una soluzione cloud sposta questi oneri sul fornitore. Gli aggiornamenti sono automatici, i dati sono su infrastrutture certificate (spesso Microsoft Azure o equivalenti), e il modello a moduli attivabili permette di pagare solo per ciò che si usa davvero.

    Cosa valutare nella scelta

    • Integrazione con i sistemi dell’Agenzia delle Entrate — le trasmissioni telematiche devono essere native, non workaround
    • Usabilità reale — quante ore di formazione servono per portare a regime un nuovo collaboratore?
    • Assistenza — tempi di risposta in caso di problemi durante le scadenze fiscali
    • Modularità — possibilità di attivare solo i moduli necessari alla dimensione e al tipo di studio
    • Sicurezza e conformità GDPR — dove risiedono i dati e con quali garanzie

    La transizione da studio “esecutivo” a studio “consulenziale” non è una questione di posizionamento: è una questione di tempo liberato. Quando l’amministrazione smette di assorbire tutto, i professionisti possono finalmente fare il lavoro per cui i clienti li cercano davvero.

    Vuoi vedere come funziona in pratica? Richiedi una demo gratuita di Genya Suite, il gestionale cloud del gruppo BitAgorà per studi commercialisti, su softwarecommercialisti.com.