Il settore dell’e-commerce è in costante crescita e sta assumendo un peso sempre più preponderante nel mercato, oltre a modificare le abitudini dei consumatori. Col tempo si è quindi assistito a un vero e proprio boom dei siti e-commerce, una crescita che ha però portato anche a interrogarsi sul parallelo sviluppo del diritto per la regolamentazione di questo comparto chiave. Quali sono, dunque, le norme che regolano questo settore e quali le note legali di un e-commerce realmente “in regola”?

L’apertura di un negozio online può ampliare notevolmente il proprio business e la platea dei propri clienti, ma è indispensabile ricordarsi di adempiere a tutte le disposizioni previste per legge, al fine di evitare sanzioni anche molto pesanti.

Per rendersi conto di quanto potrebbe costare non prestare la dovuta attenzione alle note legali di un sito e-commerce, basta dare uno sguardo alle multe previste in caso di infrazioni.

La mancata pubblicazione della partita IVA in home page, ad esempio, può essere sanzionata con una multa che va da un minimo di 258 euro sino ad un massimo di 2.065 euro, mentre l’omissione dell’informativa sulla privacy o il suo non idoneo inserimento può essere punito con una sanzione che va da un minimo di 6.000 euro a un massimo di 36.000 euro.

Multe ancora più salate sono invece previste per il non rispetto della normativa sui cookies.

Si va da una sanzione dai 6.000 ai 36.000 euro nel caso di informativa omessa o non idonea, mentre l’installazione di cookies senza consenso comporta una multa dai 10.000 ai 120.000 euro. Ancora più pesanti le sanzioni per l’omessa o incompleta notifica al Garante, punite con importi dai 20.000 ai 120.000 euro.

Note legali di un e-commerce. Quali pagine inserire per essere in regola

L’e-commerce è una specifica forma di commercio di beni e servizi effettuata per via elettronica attraverso delle piattaforme web sulle quali il venditore carica il proprio catalogo di prodotti o servizi per consentirne la consultazione da parte del compratore.

L’e-commerce può essere di due diverse tipologie tenendo conto del profilo del cliente; si parla quindi di “Business to Consumer” (B2C) per le aziende che vendono ai privati e di “Business to Business” (B2B) per le aziende che vendono ad altre aziende.

La normativa che regola i siti e-commerce è abbastanza complessa in quanto coinvolge discipline diverse come ad esempio la tutela dei consumatori, il trattamento e la protezione dei dati personali, oltre alle disposizioni specifiche per il commercio elettronico.

Gli obblighi per la gestione di un sito e-commerce, infatti, fanno riferimento al codice civile, alla normativa sul commercio elettronico (D.Lgs.70/2003), alle disposizioni relative ai contratti stipulati al di fuori di esercizi commerciali e al recesso (cd. Codice del Consumo D.Lgs 206/2005 e successive modifiche), alla normativa in materia di privacy (Codice in materia di protezione dei dati personali), senza dimenticare la direttiva europea 2009/136 (Cookie Law), che fornisce dei chiarimenti relativamente all’utilizzo dei cookie e alle informazioni che è necessario fornire ai consumatori.

Quali sono, dunque, le norme che un sito e-commerce deve rispettare sia relativamente alla legge italiana che a quella europea?Quali le note legali di un e-commerce che devono necessariamente comparire sulle piattaforme web?

Note legali di un e-commerce. I dati e le informazioni principali

La normativa e-commerce stabilisce una serie di adempimenti informativi che hanno al centro la trasparenza e, quindi, la tutela degli utenti.

La prima pagina da predisporre all’interno di un e-commerce riguarda proprio questo tipo di dati e di informazioni, ritenute fondamentali per consentire l’identificazione della società.

I dati obbligatori sono:

• Nome, denominazione o ragione sociale
• Domicilio e sede legale
• Numero di iscrizione al RAE(Repertorio Attività Economiche) o al registro delle imprese
• Numero Partita IVA

E’ bene ricordare che la partita IVA deve necessariamente essere riportata nella home page, mentre le altre informazioni, come la sede o il numero di iscrizione, possono comparire anche in altre pagine del sito (solitamente si inseriscono tutte queste informazioni nel footer così che compaiano in ogni pagina del portale).

In aggiunta, la Corte di Giustizia Europea ha stabilito con la sentenza C-298/07 del 2008 che chi opera nel commercio elettronico deve sempre predisporre una comunicazione efficace con il consumatore, il quale, quindi, deve avere facoltà di contattare il venditore anche prima della stipula di un contratto.

Note legali di un e-commerce: la Privacy Policy e il trattamento dei dati

Chi gestisce un sito e-commerce si trova, ovviamente, ad acquisire e a trattare i dati personali dei propri clienti e deve, quindi, sapere in che modo gestire tali dati e conoscere dettagliatamente le disposizioni di legge in merito.

Il Codice in materia di protezione dei dati personali (D.Lgs n.196/2003) dispone che tutti coloro che sono titolari di un sito web devono pubblicare sullo stesso l’informativa sulla privacy dei dati personali, dedicando a questa una intera pagina che sia facilmente rintracciabile dall’utente.

Questo significa che la seconda pagina da inserire nel vostro e-commerce dovrà riguardare il trattamento dei dati dei clienti, specificando non solo le norme che regolano la gestione dei dati raccolti attraverso il sito ma anche una serie di informazioni attinenti all’azienda e al responsabile del trattamento degli stessi.

In primo luogo è bene precisare che per dati personali si devono intendere tutti quei dati che consentono, anche in associazione ad altri, di risalire all’identità di una persona, ricomprendendo quindi non solo quei dati acquisiti automaticamente (come l’indirizzo IP) ma anche tutti quei dati che vengono forniti direttamente dall’utente in fase di acquisto o di conclusione di un contratto.

Cosa deve contenere la pagina dedicata alla Privacy Policy?

In linea di massima una Privacy Policy deve sempre contenere:

• Titolarità del trattamento
• Conferimento dei dati obbligatorio o facoltativo
• Trattamento dei dati personali
• Modalità di cancellazione dei dati
• Eventuale trasferimento dei dati a terzi

Ricordiamo che il titolare del trattamento dei dati viene solitamente identificato con il titolare del sito e che la pagina della Privacy Policy deve essere richiamata tramite un link anche nelle sezioni in cui i dati vengono raccolti, come ad esempio la pagina dell’ordine.

Per quanto riguarda il consenso da parte dell’utente questo si esprime in due modalità:

• Modalità diretta, tramite cioè un “check” di accettazione esplicita
• Modalità indiretta, solitamente con una dicitura del tipo “con l’invio del form si accetta l’informativa sulla privacy”

Per i siti e-commerce la finalità del trattamento è volta solitamente alla conclusione del contratto o dell’acquisto, il che significa che nel caso di finalità differenti, come l’invio di e-mail pubblicitarie o la profilazione, sarà necessario richiedere all’utente un consenso separato ( o un consenso unico per la cosiddetta finalità di marketing diretto).

Note legali di un e-commerce: la normativa sui cookie

Tra gli aspetti di maggiore attualità relativamente agli obblighi dei siti web, vi è certamente la legge sui Cookie, divenuta obbligatoria dal maggio 2015 con la direttiva UE n.136/2009, recepita dal provvedimento del Garante per la Privacy n.229/2014.

Si tratta di una normativa che in pratica stabilisce che tutti i titolari di un sito web devono inserire all’interno del sito una specifica pagina che chiarisca l’utilizzo dei cookie sul sito stesso.

La normativa sui cookies prevede la predisposizione di due diverse informative, la prima da inserire come banner in home (riproposto anche nelle altre pagine del sito), la seconda da inserire in una pagina dedicata. La terza pagina del vostro e-commerce, quindi, dovrà prevedere la presenza dell’informativa estesa sui cookie nella quale è necessario inserire:

• Elementi previsti dal codice
• Finalità e tipologia di cookies
• Moduli di consenso per delle parti terze
• Richiamare la possibilità per gli utenti di manifestare le diverse opzioni sui cookies anche attraverso le impostazioni del browser utilizzato per la navigazione

L’informativa breve sarà presente, come detto, come banner in home nel quale bisogna precisare che il sito utilizza i cookie e che l’utente ha la possibilità di negarne l’installazione. Nel banner, inoltre, deve essere presente anche un link all’informativa completa.

Note legali di un e-commerce: come impostare il banner sui cookie

Il Garante della Privacy è intervenuto con una serie di precisazioni in merito all’utilizzo dei cookies all’interno di un sito. La prima fondamentale distinzione individuata dal Garante attiene alla tipologia dei cookies utilizzati, classificati in tre diverse tipologie:

• Cookie tecnici
• Cookie di profilazione
• Cookie di parte terze

prescrivendo per ognuno di essi regole informative e usi diversi da parte degli editori.

Per i cookie tecnici, indispensabili per il funzionamento del sito, il Garante ha disposto che bisogna solo darne informazione nella Privacy Policy (senza banner quindi), anche nel caso in cui si tratti di cookie analitycs (usati per le statistiche), che non coinvolgono terze parti. Il provvedimento del Garante ha anche precisato che il banner e il blocco dei cookies non sono previsti anche nel caso di cookie analitycs che coinvolgano le terze parti, a patto però che i dati siano privati da elementi identificativi e che la terza parte non incroci i dati.

Questo significa che in presenza di cookie analitici di terze parti di carattere identificativo, il sito deve necessariamente utilizzare sia il banner che il blocco preventivo dei cookie. Stesso discorso vale per i cookie di profilazione appartenenti alle terze parti, mentre per i cookie profilanti usati direttamente dal sito è indispensabile non solo esporre il banner e bloccare preventivamente i cookie ma anche dare notifica del trattamento al Garante.

Per quanto riguarda il consenso dato dall’utente, il Garante chiarisce che la prosecuzione della navigazione (con click sul banner, al di fuori di esso o con il semplice scroll) è da considerarsi come assenso all’uso dei cookie.

I proprietari di siti hanno l’obbligo di conformarsi alla normativa sui cookies, incorrendo in pesanti sanzioni nel caso di mancato adeguamento.

In particolare, nel caso di informativa omessa o non idonea la sanzione amministrativa può andare da 6.000 a 36.000 euro, mentre l’installazione di cookies senza consenso comporta una sanzione dai 10.000 ai 120.000 euro. La omessa o incompleta notifica al Garante viene invece sanzionata con una somma che va dai 20.000 ai 120.000 euro.

Note legali di un e-commerce: obblighi informativi prima dell’acquisto

Il nuovo codice del consumo, che ha armonizzato la normativa italiana con quella europea, ha cercato di porre al centro delle disposizioni la necessità di informare il cliente in maniera dettagliata.

Per tale ragione sono stati fissati una serie di obblighi informativi sia pre-contrattuali che in fase di ordine, i primi da inserire in pagine informative generali ( una pagina del tipo “Condizioni di vendita generali”), i secondi da visualizzare all’interno della pagina dell’ordine.

Gli obblighi informativi pre-contrattuali devono includere:

• Informazioni sul venditore
• informazioni e descrizione dettagliata del prodotto
• Informazioni sui prezzi e costi aggiuntivi (comprensivi di imposte e spese di spedizione)

Oltre a questi, esistono poi altri obblighi a carico del venditore, da rispettare prima e immediatamente dopo l’inoltro di un ordine.

Tutte queste informazioni non possono essere inserite in una pagina specifica, ma devono essere presenti nella pagina che descrive il prodotto, e nel percorso dedicato all’ordine nella quale si ricorda che deve essere presente anche un pulsante che specifichi che si tratta di un ordine con pagamento, poiché in caso contrario l’utente non è vincolato al contratto di acquisto.

Nel dettaglio, nella fase immediatamente precedente all’acquisto di un bene o di un servizio è indispensabile fornire al consumatore:

• Informazioni esaustive sul prodotto o servizio
• Prezzo, comprensivo di imposte e altri costi aggiuntivi
• Costi totali ed eventuale periodo di fatturazione
• Modalità di correzione di eventuali errori in fase di ordine

Conclusa la fase di acquisto il venditore è tenuto a inviare al consumatore una conferma della conclusione del contratto o dell’acquisto, generalmente via e-mail ma anche con documenti cartacei, nella quale indicare:

• I dettagli e i dati relativi alle condizioni generali del contratto
• Caratteristiche del bene o del servizio, prezzo, modalità di pagamento
• Diritto di recesso

Note legali di un e-commerce: pagamenti e consegne

In un sito e-commerce è poi necessario inserire un’altra pagina, generalmente nel footer, dove si indicano i dati relativi alle modalità di pagamento e alle consegne.

Per quanto concerne la consegna generalmente nel footer si indicano solo i nomi dei corrieri utilizzati, dedicando poi una pagina di approfondimento nella quale devono essere fornite informazioni aggiuntive come:

• Modalità di spedizione
• Tempi di consegna
• Corrieri
• Costi
• Copertura territoriale delle consegne
• Opzioni di spedizione
• Informativa su cosa fare nel caso di smarrimento del pacco
• Eventuali modalità per tracciare il pacco

Stesso discorso vale per le modalità di pagamento.

Nel footer è sufficiente inserire i metodi di pagamento accettati, mentre in una pagina dedicata bisognerà fornire informazioni ulteriori relative alle diverse opzioni di pagamento (pagamento alla consegna, carte di credito, pagamenti anticipati, paypal etc.).

Note legali di un e-commerce: la politica di reso

Molto importante è anche fornire tutte le informazioni per i resi dei prodotti, informazioni alle quali è bene dedicare una pagina del sito. Solitamente le disposizioni relative al reso sono richiamate anche nel footer con un link in modo da renderle facilmente accessibili a tutti gli utenti.

Nella pagina relativa al diritto di reso è bene indicare:

• Modalità di reso
• Modalità di cambio
• Servizi di reso disponibili
• Eventuale iter da seguire nel caso in cui non sia possibile effettuare il reso come indicato (a causa ad esempio dello smarrimento della ricevuta del prodotto)

Note legali di un e-commerce: il diritto di recesso

Nelle condizioni di vendita di un sito e-commerce, e in una pagina dedicata, devono sempre essere contenute delle precise informazioni relative alla possibilità per il consumatore di esercitare il diritto di recesso.

A tal proposito si stabilisce che il consumatore abbia diritto a recedere dal contratto entro un tempo di 14 giorni, senza dover sostenere costi aggiuntivi per la restituzione del bene e senza dover indicare alcuna motivazione.

Per esercitare il recesso è necessario che il consumatore informi il venditore della volontà di recedere entro il termine stabilito o utilizzando un apposito modulo presente sul sito o presentando una dichiarazione in merito.

Il venditore è tenuto a rimborsare il consumatore entro il termine di 14 giorni dalla “manifestazione” della volontà di recedere.

E’ bene ricordare che esistono delle eccezioni al diritto di recesso appena illustrato come i beni su misura, i beni deteriorabili o soggetti a veloce scadenza, i beni sigillati che non possono essere restituiti una volta aperti per motivi igienici o sanitari, le riviste e giornali e così via. Nell’ipotesi in cui il diritto di recesso non sia stato chiaramente illustrato o non sia presente, allora il consumatore ha diritto di recedere entro 12 mesi.

Note legali di un e-commerce: conclusioni

Da quanto visto risulta evidente come le note legali di un e-commerce devono essere precise, esaustive e rispettare tutte le disposizioni di legge relativamente a diversi aspetti, dall’informazione generale al trattamento dei dati, dalle condizioni contrattuali all’uso dei cookie. Ricapitolando, le pagine minimamente indispensabili per essere a norma sono:

• Informazioni sulla azienda
• Privacy Policy e trattamento dati
• Gestione dei cookie
• Banner per il consenso a cookie di terze parti
• Ordini sul sito e informazioni sui prodotti
• Pagamenti e consegne
• Resi e rimborsi
• Diritto di recesso

E’ quindi fondamentali per tutti coloro che operano nel commercio elettronico prestare una grande attenzione a ognuno di questi aspetti grazie ai quali si regolamenta il settore e si tutelano i diritti dei consumatori.

Quando i consigli per proteggere la privacy e i trucchi per la protezione dei dati personali vengono da Kevin Mitnick, l’hacker più abile del mondo, inevitabile drizzare le antenne.

Il pirata informatico che ha cominciato la sua carriera da adolescente, e che ha trascorso quasi 5 anni in prigione per violazione di sistemi informatici, è ora dalla parte della legge. Mitnick svolge la sua attività di consulente in giro per il mondo aiutando i clienti a proteggersi dalle vulnerabilità.

L’edizione aggiornata del suo nuovo libro, aiuta chiunque, dagli utenti che utilizzano internet sporadicamente a quelli che ne sono profondi conoscitori, ad essere più preparati quando si tratta di proteggere le proprie informazioni personali.  La nuova edizione de “L’arte dell’invisibilità”, copre una serie di argomenti che alcuni lettori potrebbero trovare addirittura eccessivi. Dal creare una password sicura all’inviare delle mail cifrate e in mezzo decine e decine di altri argomenti per proteggere la privacy. C’è persino la sezione che spiega come proteggere i propri dati alla dogana.

Proteggere la privacy. Quando a dirtelo è Mitnick: il primo hacker al mondo

Ma Mitnick ha spiegato che devono essere i lettori a scegliere una soluzione che funzioni per loro. Non esiste una risposta che vada bene per chiunque, e spesso la soluzione che appare leggermente più facile è anche leggermente meno sicura. “La mia visione dell’intero libro vuole insegnare alle persone come individuare la migliore tecnologia per proteggere la propria privacy, piuttosto che utilizzare quella che viene consigliata da qualcuno”, spiega Mitnick con particolare riferimento ai sistemi di cifratura per lo scambio di messaggi.

Mitnick, che ha partecipato alla conferenza di sicurezza informatica della RSA che si tiene ogni anno per una settimana a San Francisco, ha illustrato le ultime tendenze dell’hacking e le modalità con cui difendere i sistemi informativi e proteggere la privacy. Cnet ha ottenuto una intervista che proponiamo nella sua versione italiana.

La sua capacità di accedere alla vita digitale di qualcuno deriva dalla sua grandissima storia come hacker. Ma il suo libro è rivolto a persone normali. Come crede che una persona normale possa pensare come un hacker, e lei che è un hacker come crede di essere in grado di pensare come una persona normale?

È stato difficile.  Ad esempio, quando ho iniziato a lavorare con il mio co-autore ho dovuto faticare molto per fargli capire che aveva bisogno di un’intero progetto per proteggere la sua privacy, perché lui credeva di non compiere nessun particolare errore. Ho avuto una lunga discussione con lui. Invece, anche se non sembra, è importante proteggere la propria privacy anche perché una volta che perdi i tuoi diritti alla privacy questi non ti vengono restituiti.

Io fornisco alle persone una piccola lista di cose per innalzare il livello di sicurezza e rendere sempre più difficile per gli altri ottenere i dati. Ad esempio, se usiamo un password manager come LastPass, possiamo farlo in maniera semplice. Se usiamo Lastpass possono ancora colpirci? Sì, utilizzando sistemi complessi. Ma comunque il livello della difficoltà è superiore alla media. Nonostante non ci sia una protezione al 100%.

Che cosa dice alle persone che affermano di non avere nulla da nascondere?

Gli risponderei di sbloccare lo smartphone e di consegnarmelo. “Posso controllare le tue mail i tuoi messaggi?” “No” “Perché? Non hai nulla da nascondere. Allora fallo!” “No, non ho alcuna intenzione di darti il mio smartphone.”. Lo vede?

Quando stai facendo una telefonata a casa, vorresti che qualcuno ti possa ascoltare? È fastidioso, cambia il tuo comportamento, perché viola le regole fondamentali e il tuo diritto alla riservatezza. Tu hai il diritto di parlare come vuoi, pensare come vuoi pensare, e socializzare con le persone con cui vuoi socializzare in maniera riservata.

Lei stesso è obiettivo di hacker, e un tempo si è dovuto nascondere dal governo degli Stati Uniti. Ma perché il resto di noi dovrebbe essere preoccupato da una eventuale invasione della privacy?

Forse i tuoi bambini vogliono leggere il tuo cellulare, o forse i tuoi genitori. Forse il tuo insegnante. Magari il tuo datore di lavoro. I datori di lavoro molto spesso possono controllare legalmente molti dati dei dipendenti, e le persone non sanno che possono farlo. E poi i criminali, quelli che vogliono rubarti l’identità, quelli che vogliono le informazioni della tua carta di credito, quelli che vogliono diventare te.

La questione sulla polizia di dogana, che può avere accesso agli account e ai dispositivi è forse una delle parti più interessanti del  libro. Che cosa vuole dire alle persone interessate a questo?

C’è stato un ingegnere della NASA, Sidd Bikkannavar,  che fu costretto a consegnare la password del suo cellulare alla dogana. Io non l’avrei mai fatto perché sono un cittadino americano. Loro non possono chiederlo quindi se la dogana vuole prendere il mio computer può farlo. Ma io non sono assolutamente tenuto a fornire le mie credenziali, mai e per nessun motivo.

Se io porto alla dogana un iPhone, e ho attivato la funzione Touch ID, una corte federale potrebbe obbligarti a posizionare il pollice sul device per aprirlo. Ma loro non possono obbligarti a rivelare la tua password secondo le leggi vigenti. Quindi che cosa bisogna fare?

Provate a portare i minimi dati personali quando superate la dogana. Iniziate da un servizio cloud che possa cifrare i dati. Questo è quello che faccio normalmente. Io cifro sempre tutto il mio sistema realizzandone un backup su USB e lo mando tramite un corriere a un amico e non torno a casa finché questo non lo ha ricevuto. L’unica cosa che possono fare alla dogana è requisire i miei dispositivi.

Ma questo implica che bisogna rifiutarsi di consegnare la propria password alla polizia.

Normalmente una persona non vuole essere fermata e lo fa. Ma io sono differente, io sono più di un ribelle. Io semplicemente non lo faccio. Non ho fatto niente di male. Tu non hai il diritto di chiedermi la password. La legge è dalla mia parte.

Quale sarebbe un sistema ideale per difendere la privacy di una persona?

Il sistema dove tutto è sicuro, e non hai bisogno di saperlo. Dove non hai bisogno di abilitare niente. Magari quando compri qualcosa, se è un prodotto di sicurezza, schiacci un bottone. Ho pagato per proteggere la privacy e funziona. Fatto

Che cosa serve per rendere tutto questo realtà?

L’innovazione, la domanda del mercato, e che produttori come Apple, dell, HP e Samsung inizino a costruire questi prodotti. E fare in modo che tutto ciò sia parte di loro dispositivi in modo tale che gli utenti non ci debbano nemmeno pensare.

Conoscere le minacce della rete e riuscire a contrastarle in maniera adeguata è oggi una priorità, specialmente per tutte quelle aziende che operano online. Quando si parla di sicurezza, generalmente si pensa a proteggere con un software adeguato il proprio sito web, i propri computer e gli altri device, ma spesso ci si dimentica del server che, al contrario, necessita di una protezione dedicata. I server, infatti,”ospitano” dati sensibili e sono, al pari dei siti web, soggetti a cyber-attacchi altrettanto insidiosi per tutti quelli che gestiscono un business online. Anche per i server, quindi, è indispensabile prendere le opportune misure di sicurezza facendo ricorso a software per la sicurezza dei server, appositamente studiati per proteggere queste macchine da una vasta gamma di pericoli.

Il concetto “chiave”, dunque, è pensare alla sicurezza in maniera globale, senza dimenticare che rendere sicuri pc e device senza “blindare” il proprio server potrebbe ugualmente esporre a pericoli.

Software per la sicurezza dei server: Sophos Server Protection

Sophos Server Protection è un software per la sicurezza dei server pensato per offrire una protezione globale contro le principali minacce senza impattare sulla velocità della macchina e senza interferire con le quotidiani attività aziendali.

Ideale per server Windows, Linux (inclusi CentOS e Ubuntu) e per server virtuali, Sophos Server Protection offre una gestione sia cloud (Sophos Central) che on-premise (Sophos Enterprise Console) coniugando in entrambi i casi la semplicità di configurazione e utilizzo con una interfaccia abbastanza chiara e user-friendly.

La gestione cloud da immediatamente accesso a tutte le  funzioni del software (comprese quelle relative a endpoint, device mobile, email e web), al pari di quella on-premise, permettendo quindi un uso unificato da una sola interfaccia.

L’utilizzo del software è piuttosto intuitivo visto che tutto è gestibile da una singola schermata mentre le funzioni sono avanzate e garantiscono una protezione abbastanza completa anche in relazione agli attacchi 0-day.

Ma quali sono le funzioni messe in campo da questo software per la sicurezza dei server?

Software per la sicurezza dei server: le funzionalità di Sophos Server Protection

In primo luogo, Saphos Server Protection dispone della funzionalità di lockdown grazie alla quale è possibile non solo eseguire una scansione automatica del sistema e  includere le applicazione nella withelist (senza bisogno di crearla manualmente), ma anche di effettuare il lockdown del server con un solo click.

Il lockdown è in grado di riconoscere le applicazioni del server e consente, quindi, solo l’esecuzione di quelle conosciute o di fonti attendibili, riuscendo anche, grazie a Saphos Server Authority, di gestire in maniera del tutto automatica le modifiche provenienti dalle fonti attendibili.

Grazie a questa funzione è dunque possibile proteggere il server da diverse tipologie di minaccia, sia conosciute che sconosciute, negando l’esecuzione di tutte le applicazioni non autorizzate.

Quando si effettua il lockdown del server, infatti, l’antimalware e l’analisi di Host Intrusion Prevention System (HIPS) sono in grado di individuare e di bloccare ogni contenuto sospetto e potenzialmente infetto, come i file PDF o Word, che potrebbero sfruttare le vulnerabilità delle applicazioni ricomprese nella lista bianca per diffondere minacce.

Oltre a controllare file e applicazioni, questo software per la sicurezza dei server monitora anche le periferiche grazie alla funzione Device Control, particolarmente utile per prevenire il furto dei dati tramite device come chiavi USB.

Sophos Server Protection è inoltre in grado di individuare tutti i comportamenti sospetti grazie alla funzionalità antiransomware CryptoGuard che identifica le cifrature avviate da un rensomware attivo su un endpoint connesso al server.

Grazie alla funzione Malicious Traffic Detection è possibile controllare tutto il traffico potenzialmente pericoloso e quindi rimuovere in maniera tempestiva eventuali minacce (in associazione alle funzionalità Security Heartbeat).

Per quanto concerne l’impatto del software sulle performance del server, si è detto come Sophos Server Protection limiti al massimo il proprio “carico” sulla macchina; gli aggiornamenti del prodotto sono piccoli e utilizzano poche risorse del server, mentre grazie alle funzioni di esclusione automatica di tutte le applicazioni fondamentali per le normali attività aziendali è possibile non “sovraccaricare” il software, limitando sia le scansioni superflue (cioè effettuate su applicazioni già “bollate” come sicure) sia ridurre i casi di “falsi positivi”.

Sophos Server Protection può essere provato gratuitamente per 30 giorni, mentre i prezzi variano in base al tipo di gestione scelta (cloud o on-premise) e alle opzioni di licenza (Protezione Server, Server Protection Enterprise, Central Server Protection Standard, Central Server Protection Advanced). E’ possibile richiedere un preventivo, senza obbligo di acquisto, e ottenere una offerta personalizzata oltre a informazioni su sconti disponibili.

Software per la sicurezza dei server: Comodo Anti-virus for server

Comodo Anti-virus for server è un software per la sicurezza dei server che si propone di offrire una soluzione completa di protezione, integrando un potente antivirus con un altrettanto efficace sistema di prevenzione delle intrusioni basate sull’Host (HIPS), denominato Defence+.

Grazie a questo software è possibile prevenire ogni tipo di attacco, sia interno che esterno, e individuare in maniera tempestiva le più comuni minacce come trojans, virus e worms, riuscendo a preservare l’integrità e la privacy di tutti i dati presenti sul server.

Defence+ include la funzione Sandboxing, grazie alla quale è possibile autenticare tutti i processi in esecuzione sul server e individuare eventuali azioni che potrebbero arrecare danni al sistema. Tutti i processi non riconosciuti, infatti, sono “inviati” in un ambiente sicuro ed eseguiti sotto una serie di restrizioni che impediscono di danneggiare il server (Run Virtual).

In aggiunta, per monitorare i programmi sospetti in sicurezza nella Sandbox, è possibile creare un collegamento desktop per tutti quei programmi da eseguire sempre nella Sandbox.

Nella interfaccia della Sandbox si trovano una serie di tasks; oltre alla “Run Virtual”, tramite “Reset Sandbox” è possibile eliminare tutti i contenuti dalla sandbox stessa, mentre la funzione “Views Active Processes” permette di visualizzare i dettagli di tutti i processi attivi. L’interfaccia Sandbox permette anche di configurare opzioni avanzate (Open Advanced Settings) mentre il tasto “Open Shared Space” consente di aprire lo spazio di archiviazione condiviso tra le applicazioni reali e quelle virtuali.

Le funzioni HIPS hanno invece il compito di monitorare tutte le attività dei device e tutti i processi sul server, intervenendo nel caso in cui vengano rilevati dei programmi pericolosi che potrebbero compromettere la sicurezza del sistema operativo, dei dati o della memoria.

La Virtual Desktop è invece un ambiente operativo in modalità sendbox dove è possibile eseguire i programmi e testare le versioni beta dei software senza correre il rischio di compromettere la stabilità del sistema. Questo ambiente è dotato anche di una tastiera virtuale grazie alla quale si possono prevenire eventuali attacchi key-loggers.

Software per la sicurezza dei server: Comodo Anti-virus for server le configurazioni di base e avanzate

Dall’interfaccia “General Tasks” è possibile gestire le diverse funzionalità del software e quindi avviare scansioni del sistema (Scan), eseguire il programma di aggiornamento per verificare gli aggiornamenti di programmi e virus nel database (Update), gestire i file in quarantena (View Quarantine) e visualizzare un rapporto di tutte le attività e degli alerts (View Logs).

Dalla schermata “Advanced Settings” si possono configurare tutte le funzionalità del software, personalizzandone anche l’aspetto. Da qui si può, ad esempio, personalizzare l’interfaccia utente, configurare gli aggiornamenti di programmi e database, definire le regole di log (General Setting), mentre dalle impostazioni di sicurezza (Security Settings) è possibile impostare delle scansioni personalizzate per virus o definire le regole HIPS.

Comodo Anti-virus for server, che include anche le funzioni di lockdown in un click e di withelist, è stato pensato per garantirne un facile utilizzo a ogni tipologia di utente. Il software sembra, infatti, di semplice gestione e l’installazione può avvenire o tramite le “command line” o attraverso una procedura guidata.

Per quanto concerne i prezzi questi variano dal tipo di prodotto selezionato e dalla durata dell’acquisto (da 1 a 3 anni), con prezzi che vanno da 24 a 214 euro.

Software per la sicurezza dei server: McAfee Server Security Suite Advanced

McAfee Security Suite Advanced è un software per la sicurezza dei server di Intel che ha come obiettivo quello di offrire un adeguato livello di protezione a server fisici, virtuali e cloud da una sola schermata di gestione.

Grazie a questa suite di sicurezza è infatti possibile adottare delle misure di protezione contro i più comuni attacchi; i server fisici godono di una tutela anti-malware e anti-virus con la possibilità di individuare anche le minacce 0-day, mentre per i server virtuali e cloud la protezione anti-virus è ottimizzata sia contro le minacce note che sconosciute.

La gestione di McAfee Server Security Advanced è semplificata non solo tramite la schermata unica ma anche grazie ai report di analisi che permettono di individuare facilmente tutti gli endpoint non protetti e di visualizzare lo stato di sicurezza della memoria del sistema operativo.

Particolarmente interessanti le funzioni di whitelisting (McAfee Application Control for Servers) che consentono l’esecuzione solo delle applicazioni autorizzate, bloccando tutte le applicazioni “sconosciute” senza la necessità di configurare degli appositi elenchi e senza andare a impattare sulle performance dell’host. Il withelisting è inoltre dinamico e richiede quindi un minore impiego di risorse operative.

Tra le funzioni di sicurezza sono ovviamente ricomprese anche le classiche opzioni anti-malware (sia per server Windows che Linux), in grado di individuare ogni tipo di minaccia, mentre per gli ambienti virtuali sono disponibili delle impostazioni dedicate (McAfee Management for Optimized Virtual Environments-MOVE) che vanno ad ottimizzare le soluzioni di sicurezza per gli ambienti virtualizzati garantendo un supporto anche per i principali hypervisior.

Molto interessante anche l’opzione McAfee Host Intrusion Prevention che permette di proteggere il server da minacce complesse o involontariamente autorizzate nel sistema.

La suite include anche McAfee Data Center Connector for VMware, vSphere, Amazon AWS, OpenStack e Microsoft Azure, grazie alla quale è possibile avere una panoramica chiara dello stato di sicurezza di tutti i computer virtuali e di applicare le opportune policy di sicurezza.

In ultimo, sono da segnalare le funzioni di controllo delle modifiche grazie alle quali la suite è in grado di prevenire eventuali manomissioni andando a bloccare modifiche non autorizzate a file di sistema o configurazioni. Il software segue tutti gli interventi di modifica in tempo reale e convalida le modifiche (autorizzate) in relazione all’origine e ai ticket approvati.

Relativamente ai costi questi variano in base alle “instances” del sistema operativo; da 1 a 25 il prezzo è di circa $1,299.00, da 26 a 50 di $1,100.85 e da 51 a 100 di $982.90.

Software per la sicurezza dei server: Quick Heal Anti-Virus for server

Quick Heal Anti-Virus for server prodotto dall’indiana Quick Heal Technologies Limited, è un software per la sicurezza dei server Windows (2000, 2003, 2008, 2012) appositamente pensato per offrire una protezione abbastanza completa relativamente a una vasta gamma di minacce, senza compromettere le prestazioni del server.

Questo software di sicurezza include, infatti, una serie di funzioni di protezione che vanno ad integrarsi con una buona semplicità di gestione.

Le opzioni di sicurezza sono piuttosto ampie, a partire dalla capacità del software di individuare i virus prima che questi infettino il sistema grazie a un monitoraggio e a una scansione continua del server. La scansione anti-virus è capace di individuare sia le minacce note che sconosciute, ha un impatto minimo sulle performance del server e delle applicazioni comunemente utilizzate.

Il firewall dispone di molte opzioni che possono essere configurate in base al livello di protezione desiderata. E’ possibile scegliere tra tre livelli diversi (High, Medium e Low) e definire le protezioni relativamente al traffico web e alle applicazioni che cercano di collegarsi al server. Il firewall, dunque, contribuisce a individuare ed eliminare possibili attacchi ancor prima che raggiungano il sistema, mentre grazie alla funzione “Stealth Mode” è possibile impedire ai cyber-criminali di “rintracciare” il sistema in rete.   

Alla funzione anti-virus si associano, poi, quella anti-malware, anti-spyware e anti-rootkit, che proteggono il sistema da infezioni e da sottrazioni di dati, mentre la capacità di eseguire una scansione su i device USB permette di individuare eventuali infezioni che potrebbero essere trasmesse al sistema.

Degna di nota anche la funzione “Data Theft Protection” che blocca l’accesso a tutti i drive rimovibili (chiavi USB, pen driver, memory cards) non autorizzati, impedendo in questo modo il trasferimento dei dati del server su questi supporti.

Interessante anche l’opzione anti-spam che consente di filtrare le email in entrata e di individuare quelle indesiderate e che potrebbero contenere dei malware pericolosi, mentre un apposito “filtro web” permette di controllare e di bloccare tutti i virus capaci di infettare il traffico web (questa funzione opera automaticamente e ha un impatto minimo sulla velocità di navigazione).

Il monitoraggio del traffico web comprende anche una efficace protezione anti-phishing grazie alla quale tutti i siti fasulli e appositamente costruiti per rubare dati sensibili (come credenziali di accesso, numeri di carte di credito etc.) vengono bloccati. A questa funzione si associa quella anti-keylogger che previene e impedisce la sottrazione dei dati digitati sulla tastiera dagli utenti da parte degli ormai diffusissimi programmi keyloggers.

Quick Heal Anti-virus for server può essere provato gratuitamente per un mese, mentre il prezzo di acquisto è di circa 69 dollari per una anno.

Software per la sicurezza dei server: AVG File Server Edition

AVG File Server Edition è un software per la sicurezza dei server Windows, ideato per garantire una efficace protezione contro spyware, worm, virus e trojan.

Il software comprende una serie di funzionalità molto utili per proteggere il server da diversi tipi di intrusione.

La funzione anti-virus permette di salvaguardare la riservatezza dei dati ospitati sul server  e di proteggerli da eventuali “infezioni” grazie a un sistema di scansione ottimizzato che non va a interferire con le normali attività aziendali.

Lo SmartScanner analizza continuamente il sistema ma impatta minimamente sulle sue performance grazie a una tecnologia che permette, ad esempio, di escludere dal processo di scansione tutti i file e le applicazioni già analizzate e considerate sicure o di “bloccare” le notifiche non necessarie (gli avvisi sono inviati solo se necessario).

Alle funzionalità antivirus, AVG File Server Edition associa anche una funzione anti-spyware, che protegge da programmi dannosi come syware e adware, e anti-rootkit, grazie alla quale è possibile assicurarsi un adeguato livello di sicurezza contro i rischi nascosti.

Adeguate anche le opzioni di sicurezza per la navigazione web, grazie alle funzioni di Web-Shield & Link Scanner, capaci di individuare e bloccare tutti i siti che cercano di infettare il sistema con l’installazione di software pericolosi.

Per quanto concerne la gestione di questo software di sicurezza per server, AVG File Server Protection garantisce una gestione unitaria da remoto, semplificando quindi i processi di installazione e configurazione, mentre gli aggiornamenti automatici consentono di mantenere sempre un adeguato livello di protezione.

AVG File Server Edition include anche  un supporto tecnico (telefonico e via email), attivo 24 ore su 24 e 7 giorni su 7, senza costi aggiuntivi, senza contare che è possibile provare il prodotto gratuitamente per 30 giorni.

Il prezzo di acquisto varia in base al numero delle connessioni; si parte da un prezzo base di 25 euro IVA esclusa (è applicato uno sconto del 20%) per due connessioni e un anno di abbonamento, sino a 1.276 euro IVA esclusa per 200 connessioni con abbonamento annuale (anche qui viene praticato uno sconto del 20%).

E’ possibile ottenere uno sconto del 50% sul secondo anno e beneficiare di una garanzia di rimborso che consente di richiedere il rimborso entro 30 giorni dall’acquisto.

Il fenomeno hacking è stato accompagnato da una serie di “imprese” da parte di individui che, per le azioni compiute, si sono guadagnati un posto nella “classifica” degli hacker più famosi della storia.

Il termine hacker ha subito nel tempo una sostanziale evoluzione, assumendo nelle società odierne una connotazione prettamente negativa. Si è visto, però, come in origine, il termine avesse tutt’altro significato e stesse a indicare tutte quelle persone che amavano “giocare” con i codici sorgenti dei software o spingere al massimo le prestazioni degli hardware.

Si trattava, quindi, di hacker che con le loro azioni non avevano interesse ad arrecare danni o a perpetrare truffe; questi erano, e ancora oggi sono, gli “white hackers”, decisamente lontani dai “black hackers”, vale a dire coloro che utilizzano le proprie competenze per compiere reati di vario tipo.

Scopriamo, quindi, le storie di cinque degli hacker più famosi della storia.

Hacker più famosi della storia: Gary McKinnon

Nato a Glasgow nel 1966, Gary McKinnon, conosciuto con il nickname “Solo”, inizia la sua carriera di hacker molto presto.

Già all’età di 14 anni, McKinnon era in grado di penetrare in reti sicure alla ricerca di informazioni sull’effettiva esistenza degli UFO. Un ricerca, questa, che lo accompagnerà per tutta la sua storia di hacker e che sarà alla base della sua azione più clamorosa, quella che gli ha consentito di guadagnare un posto nell’elenco degli hacker più famosi della storia.

Tra febbraio 2001 e marzo 2002, McKinnon portò a compimento un attacco spettacolare, violando ben 97 network dell’esercito americano (US Army, US Navy, US Air Force), oltre a quelli della NASA e del Pentagono.

Scopo dell’intrusione, secondo le testimonianze rilasciate dallo stesso “Solo”, era quello di trovare delle prove che confermassero l’esistenza degli UFO; durante la violazione dei siti della difesa americana, McKinnon sostiene di aver visionato delle immagini e dei documenti relativi a navi aliene ma di non aver potuto salvare i file in questione a riprova della veridicità delle sue affermazioni.

L’azione di hackeraggio perpetrata da McKinnon è una delle più famose della storia dell’hacking e questo non solo perché sono coinvolti alcuni dei più importanti e protetti siti al mondo, ma anche per la vicenda giudiziaria, ancora oggi in corso, che ne è seguita.

In seguito alla violazione dei network, McKinnon, che era solito lasciare una sorta di firma (“Your security is crap”), venne rintracciato e arrestato dalla National Hi-Tech Crime Unit della Gran Bretagna per poi essere sottoposto nel 2002 a giudizio dagli Stati Uniti che, nel 2005, hanno dato il via formalmente alla procedura d’estradizione, ancora oggi in corso.

McKinnon si è sempre opposto all’estradizione sia facendo appello alle proprie origini scozzesi sia affermando di aver compiuto il reato su suolo inglese e di aver già subito un processo in Gran Bretagna. Altro fattore che ne impedirebbe l’estradizione sarebbe la sindrome di Asperger di cui McKinnon soffre e che gli renderebbe impossibile “sopravvivere” al sistema detentivo americano (posizione ribadita recentemente da McKinnon con una lettera inviata al Governatore relativamente al caso di Lauri Love).

Per il momento, il governo inglese non sembra propenso a concedere l’estradizione, così Mckinnon continua la sua vita e la sua nuova professione, che lo vede nelle vesti di consulente seo per le imprese.

Hacker più famosi della storia: Kevin Mitnick

Kevin Mitnick, conosciuto anche con lo pseudonimo di “Condor”, ha guadagnato un posto di rilievo nella classifica degli hacker più famosi della storia, grazie a una serie di eccezionali intrusioni che gli sono valse l’appellativo, da parte del Dipartimento di Giustizia americano, “the most wanted computer criminal in United States history”.

La carriera di hacker di Mitnick inizia molto presto, ma le operazioni di intrusione più spettacolari risalgono agli anni Novanta, quando Condor riuscì a introdursi nei sistemi informatici di importanti aziende come Nokia, Fujitsu, Motorola, Sun e Apple sfruttando dei bug nei sistemi e impiegando soprattutto la tecnica della “social engineering”, grazie alla quale riusciva a carpire informazioni riservate direttamente dagli interessati semplicemente guadagnando la loro fiducia.

Le aziende interessate dall’attacco sollecitarono l’intervento dell’FBI che diede vita a una vera e propria “caccia all’hacker”, alla quale Mitnick riuscì a sfuggire per ben 14 anni sia spiando le comunicazioni del Federal Bureau of Investigation sia impiegando la tecnica dell’IP spoofing, grazie alla quale era in grado di rendere non rintracciabile il computer dal quale operava.

Nel 1995, Condor venne arrestato (anche grazie alla collaborazione con l’FBI dell’informatico giapponese Tsutomu Shimomura) e dopo aver confessato una serie di crimini che gli venivano imputati giunse a un accordo con le autorità che lo portò a scontare 5 anni di carcere.

Rilasciato sulla parola nel 2000 (con l’obbligo di non utilizzare Internet sino al 2003), Mitnick è oggi amministratore delegato di una società che si occupa di sicurezza informatica, la Mitnick Security Consulting LLC.

La figura e la storia di Mitnick sono certamente particolari e non a caso hanno ispirato ben due film (Hackers 2), un documentario (Freedom Downtime The Story of Kevin Mitnick) e un libro, Takedown, scritto dallo stesso Shimomura con John Markoff.

Relativamente alle accuse che gli sono state rivolte di essere un hacker, Mitnick si è sempre difeso sostenendo che le sue non erano attività di hacking ma di social engineering; nonostante ciò si è certamente guadagnato un posto tra gli hacker più famosi della storia.

Hacker più famosi della storia: Stephen Wozniak

Nella lista degli hacker più famosi della storia, non si può non includere il nome di Stephen Wozniak, informatico statunitense “padre fondatore” insieme a Steve Jobs della Apple.

Wozniak, conosciuto anche con il nome di “Wizard of Woz”, è probabilmente uno degli esempi più significativi dell’hacker “vecchio stampo”, vale a dire di coloro che, nel corso della propria vita, si sono costantemente richiamati all’etica hacking.

“White-hat hacking” per antonomasia, quindi, Wozniak fu il protagonista, insieme a Jobs, del primo “phone-phreaking”, grazie alla realizzazione di un device, la blue box, che in sostanza consentiva di effettuare chiamate telefoniche su lunga distanza in maniera completamente gratuita, bypassando i sistemi telefonici.

Una “scoperta” di certo eccezionale in quanto grazie alla blue box non era solo possibile effettuare chiamate gratuite in ogni parte del mondo ma anche controllare l’intero sistema telefonico, utilizzando una tecnica abbastanza semplice ma altrettanto efficace e resa inutilizzabile solo a seguito delle modifiche del sistema telefonico americano e del resto del mondo (la modifica più importante è stata rappresentata dalla sostituzione dei vecchi sistemi di commutazione elettromeccanici con nuovi centralini elettronici, gli ESS-Eletronic Switching System).

Hacker più famosi della storia: Adrian Lamo

Nato a Boston nel 1982, Adrian Lamo si è guadagnato l’appellativo di “the homeless hacker” per l’abitudine consolidata di utilizzare caffè, internet point e librerie come base dei suoi attacchi informatici.

Sin dall’inizio, Lamo aveva dimostrato una grande capacità nel penetrare sistemi informatici, alla ricerca di vulnerabilità che poi era solito riportare alle stesse compagnie dei network violati.

Esperto di sicurezza informatica e “grey hat”, Lamo si è guadagnato un posto nella lista degli hacker più famosi della storia, grazie all’azione compiuta nel 2002 ai danni del New York Times.

Lamo, infatti, fu in grado di violare la rete intranet del noto giornale americano, avendo così accesso a informazioni riservate relative a soggetti di alto profilo e a informazioni private di ben 3000 persone, per la maggior parte collaboratori esterni del giornale, senza contare che fu addirittura capace di inserire il proprio nome nel database degli esperti del New York Time.

Un’azione certamente spettacolare che costò a Lamo due anni di galera, oltre al pagamento di una multa di circa 65mila dollari.

Oggi Adrian Lamo lavora come giornalista ed è salito nuovamente alla ribalta della cronaca per la vicenda WikiLeaks e per il “tradimento” perpetrato ai danni di Bradley Manning (oggi Chelsea Elizabeth Manning).

Nel 2010, infatti, fu proprio l’hacker Lamo (considerato come uno degli hacker più odiati d’America) a denunciare alle autorità militari Manning che, nel corso di una conversazione via chat, gli avrebbe confessato di aver passato informazioni riservate a Julian Assange.

Hacker più famosi della storia: Jonathan James

Jonathan James merita senza dubbio uno dei primi posti nella classifica degli hacker più famosi della storia e questo non solo per la “spettacolarità” dei suoi attacchi ma anche in virtù di un primato: quello di essere stato il primo a essere imprigionato per un cyber-crimine (era inoltre minorenne).

Conosciuto anche con il nome di “c0mrade”, all’età di appena 15 anni James fu in grado di hackerare un numero elevato di networks, inclusi quelli della Bell South e della scuola Miami-Dade.

Ciò che attirò l’attenzione dei federali fu però la violazione dei computer del Defense Threat Reduction Agency (DTRA), divisione del Dipartimento della Difesa statunitense, e della NASA.

In pratica, il giovanissimo James fu in grado di hackerare il sistema informatico della NASA, riuscendo ad avere accesso a informazioni come il codice sorgente, responsabile delle operazioni della Stazione Spaziale Internazionale.

Il valore complessivo di tutti i beni trasferiti era pari a ben 1.7 milioni di dollari, senza contare che la NASA fu costretta a chiudere la propria rete per ben tre settimane durante l’attività investigativa, sostenendo costi pari a $ 41,000.

In seguito all’intrusione, James venne identificato e incriminato nel 2000, riuscendo poi a giungere a un accordo che lo portò a scontare sei mesi di arresti domiciliari e a rimanere in libertà vigilata (che poi violò) sino alla maggiore età. James dovette anche scrivere delle lettere di scusa alla NASA e al Dipartimento di Difesa Americana e gli venne proibito l’uso del computer.

Una attività di hackeraggio, quella di James, di notevole portata soprattutto se commisurata alla sua giovane età e all’importanza dei soggetti interessati; come non assegnargli un posto tra gli hacker più famosi della storia?

A differenza dei nomi precedenti, la storia di Jonathan James ha avuto un epilogo alquanto triste.

Nel 2007, a seguito di numerosi attacchi malevoli ai network di importanti aziende, James venne sospettato di essere coinvolto. Dichiaratosi da subito innocente, “c0mrade” non fu in grado di sostenere queste nuove accuse e si suicidò nel 2008 con un colpo di pistola.