AUSED e SIS: Statistica e Big Data al servizio dell’azienda

Come gestire il business con le informazioni e la data science

AUSED e la Società Italiana di Statistica si sono incontrare durante il webinar “Statistica e Big Data al servizio dell’azienda” del 20 ottobre scorso per approfondire le tematiche che vedono coinvolti gli specialisti e le tecnologie ICT con la sfida della gestione dei dati. Si è trattato di un confronto coordinato da Giuseppe Ingletti, Consigliere AUSED, Board Leader DUGIT, Senior Advisor e CIO-T, su come applicare la statistica e le sue logiche nella pratica. Un evento che ha ottenuto un ottimo successo se si considerano i 123 registrati/confermati e 91 partecipanti, con un picco di 81 di questi contemporanei.

Come ricordato da Corrado Crocetta, presidente della SIS (Società Italiana di Statistica), l’attenzione a questo contesto nasce per la sempre maggiore importanza che la qualità dei dati e la loro corretta elaborazione rivestono in qualsiasi rappresentazione coerente, e ancor più per le decisioni che su di essi vengono basate.

L’incontro si è aperto con il benvenuto da parte di Stefano Lombardi, consigliere AUSED, ed è proseguito con un intervento di Andrea Provini (presidente AUSED) e Corrado Crocetta (SIS, e professore presso l’Università Bari) sul valore delle associazioni e su come la collaborazione tra esse ne moltiplichi il valore. Provini ha sottolineato l’attuale valore dei gruppi di lavoro AUSED, in particolare quello degli User Group (DUGIT, GUPS e USFIT) così come quello del team BeTheChange quale motore e genesi delle iniziative dell’associazione. Ha poi sostanziato come questa cooperazione con SIS sia nata per portare all’ordine del giorno un tema di stretta attualità, approfondendolo con chi l’argomento lo affronta verticalmente. Per questa ragione si è scelto di organizzare questo primo evento con la SIS, una Società scientifica senza fine di lucro, costituita nel 1939 come ente morale e attualmente inclusa fra gli enti di particolare rilevanza scientifica. Scopo principale della Società Italiana di Statistica è quello di promuovere l’attività scientifica per lo sviluppo delle scienze statistiche. La Società svolge questo compito, assegnatole dallo Statuto, attraverso l’organizzazione di riunioni e convegni scientifici, pubblicazioni, collaborazioni con organismi affini sul piano nazionale e internazionale. Attualmente consta di 900 soci ordinari e molteplici enti aderenti. Crocetta ha illustrato che all’interno della società sono istituiti alcuni Gruppi di lavoro con l’incarico di svolgere compiti e attività specifici, o di promuovere particolari settori di studio quali metodologie per le indagini campionarie, statistica per le valutazioni e la qualità nei servizi e la valorizzazione delle Statistiche Pubbliche, oltre a molto ancora.

Il focus dell’evento è stato posto sulle competenze che chi tratta i dati dovrebbe avere; si è parlato di Data Scientist e della carenza di tali figure in azienda, e si è cercato di rispondere a come “aumentare le competenze statistiche all’interno delle organizzazioni che utilizzano sistemi e tecnologie dell’informazione per trasformare i dati in valore”.

Luca Malinverno, Data Scientist & Trainer di DGS Porini, si è soffermato sui modelli di gestione del dato e messa in qualità dello stesso. Il punto chiave per il data scientist è riuscire a trasformare il dato grezzo in conoscenza. Per trasformare il dato in informazione, qualsiasi esso sia all’interno dell’intero processo produttivo aziendale, è possibile utilizzare diversi strumenti.

Fondamentale nell’attività di analisi dei dati è avere una sensibilità statistica e un pensiero critico che, come ricordato da Malinverno, si devono tradurre in capacità di analisi e capacità di sintesi.

Oggi ogni azienda produce terabite di dati all’anno, e questi dati devono essere trasformati in informazione per diventare un asset aziendale. Per gestire questa espansione continua ed esponenziale, servono strumenti innovativi e dinamici, come il cloud. I dati sui quali applicare l’attività di analisi possono arrivare sia da fonti interne, come ad esempio dati di produzione, gestionali aziendali, CRM, Sales report, ecc., sia da fonti esterne (disponibilità della supply chain, eventi geo-politici, Social & recensioni web, gestionali di fornitori e clienti).

La vera sfida sta nel salvare ogni dato prodotto, mettere in corrispondenza dati strutturati e non strutturati, e trasformali per dare la giusta informazione alla giusta persona. In questo senso occorre fare una pulizia del dato attraverso un processo deduttivo (Top down) e/o induttivo (Bottom up). La combinazione vincente è quando l’analisi ci porta a rispondere non tanto a cosa è accaduto e perché è accaduto, ma quanto cosa potrebbe accadere e perché accadrebbe.

Con l’intervento di Paolo Mariani, Consigliere SIS e Prof. Università degli Studi di Milano-Bicocca, si è poi introdotto il tema dei desiderata d’impresa e della valorizzazione delle competenze. L’importanza di trasformare dati in informazione si è evoluta in una applicazione dedicata al recruitment che, relativamente alle competenze, attribuisse una valorizzazione economica alle stesse. Competenze che vengono richieste dalle aziende nel momento in cui è necessario assumere una persona. Per esempio si è cercato di capire quanto vale lavorare in gruppo per una persona che opera nell’IT. Per raggiungere l’obiettivo preposto sono stati utilizzati dati da fonti formative interne messe a disposizione da Adecco (anagrafica ed esperienza lavorativa del candidato, i requisiti richiesti e i soft skill) e da fonti esterne, come la classificazione delle attività economiche europee (ESCO), i dati retributivi da fonte INAIL e il Job Pricing. In altre parole si è voluto valorizzare in termini monetari le competenze desiderate dalle imprese operanti in Italia e le differenze tra le diverse industry.  Per esempio, in ambito IT e Digital al primo posto figura la voce Orientamento alla qualità e al secondo l’autocontrollo, mentre se guardiamo al settore commerciale, al primo posto figura la capacità di lavorare in team e al secondo il coinvolgimento e la responsabilità. Queste evidenze mostrano come un’attenta analisi del dato possa fornire precise risposte alle aziende che sono alla ricerca di nuovi collaboratori.

L’argomento si è poi spostato su come poter presentare un’analisi dei dati in modo efficace, dove la capacità di sintesi gioca un ruolo chiave. Una volta che i nostri dati epurati li abbiamo posizionati all’interno di un database siamo pronti per analizzarli ottenendo benefici per tutte le operations (per esempio applicando le analisi sui KPI, sulle vendite, sulla produzione, sulle tecnologie abilitanti).

Il modo più semplice per fare una sintesi è fare una tabella e degli elenchi. Qui però, sebbene l’informazione sia disponibile, lo è in modo poco fruibile. Una seconda modalità è quella di costruire dei grafici per rendere più “visual” l’informazione. Così facendo basta un colpo d’occhio per capire ciò che sta accadendo. Questa opzione è però statica e si perde la possibilità di interagire col dato, per cui esiste un terzo modello di diffusione dei dati che riguarda le visualizzazioni di tipo interattivo attraverso delle dashboard dove è possibile effettuare dei drill down, filtrare i risultati e moltissimo altro.

Sul tema degli strumenti da utilizzare è intervenuto Andrea Benedetti, Senior Cloud Architect, Data & AI Engineer di Microsoft. Egli ha sottolineato che per partire da un flusso informativo e arrivare a un risultato di analisi esiste uno strumento che permette di collegarsi alle fonti di dati, analizzarle e trasformarle, visualizzarle, pubblicarle e metterle a disposizione di chi può e deve utilizzarle. Si tratta di una tecnologia gratuita che si chiama Power BI Desktop. È una soluzione Microsoft installabile su qualsiasi PC e decktop. Benedetti ha mostrato come funziona questo strumento partendo dallo scaricare degli open data dal sito ISTAT ottenendone un flusso di lavoro relativo alla ricerca e sviluppo. Sono stati scaricati i dati sugli stanziamenti delle amministrazioni centrali e locali per poi effettuale un’analisi su questi dati mettendo in luce tutte le caratteristiche del Power BI Desktop.

Per concludere è intervenuto Gabriele Maggioni, Head of Data Science & Research di The Adecco Group. Per Adecco il progetto sulla valorizzazione delle competenze è fondamentale, soprattutto adesso che questa realtà non è più soltanto un’agenzia interinale. Il gruppo oggi è infatti strutturato in tre verticali: Il primo si occupa, attraverso filiali sul territorio, di formazione, somministrazione e orientamento nel mondo del lavoro; il secondo “vertical” si occupa di selezione, ricerca per le aziende e outplacement, con percorsi di uscita dalle aziende per i senior manager; il terzo si occupa di consulenza IT, tecnologia ed engineering. Il progetto sviluppato in Adecco, e in generale l’utilizzo dei numeri all’interno dei ragionamenti business, avvalora la loro value proposition, e ciò avviene sia contribuendo a oggettivare ragionamenti «commerciali», sia fornendo autorevolezza, grazie all’utilizzo di standard europei e americani riconosciuti. (es: ESCO, ONET). Per 2 dei 3 verticali, Adecco partendo dalla competenza e collegandola alla dimensione del settore, del segmento, del luogo e del profilo, ha quantificato l’impatto che le skill hanno sul pricing.  In un secondo caso d’uso, invece, l’obiettivo di Adecco è stato quello di essere a conoscenza dell’importanza delle competenze per ottenere una valorizzazione consapevole dei relativi servizi formativi da loro offerti. L’intervento si è concluso con alcuni spunti che sono partiti dai progetti prospettici di Adecco. Il primo riguarda l’integrazione dei dati relativi alla quantificazione del valore delle skill all’interno del concetto di Employability, che il gruppo utilizza come guida sul mercato del lavoro. Il secondo, sempre grazie a queste analisi, ma questa volta guardando agli aspetti della consulenza su aspetti molto tecnici offerti da Adecco (come nei casi dell’intelligenza artificiale e del machine learning) il gruppo è in grado di proporre al mercato un prezzo congruo al valore stesso di queste importanti competenze. 

AUSED – Ransomware: è solo un problema di cybersecurity?

 L’elevata estensione della superficie di attacco rappresenta un problema crescente

Dopo il grande evento del CIOsumm.it di Lazise, a cavallo tra fine settembre e i primi di ottobre, l’AUSED ha organizzato lo scorso 13 ottobre l’evento virtuale dal titolo “AUSED: Ransomware: è solo un problema di cybersecurity?”. All’incontro hanno partecipato attivamente Stefano Lombardi (consigliere AUSED), Gabriele Faggioli (presidente Clusit e responsabile scientifico dell’Osservatorio Cybersecurity e Data Protection del Politecnico di Milano), Sergio Feliziani (Country Manager Commvault) e Vincenzo Costantino (senior director Sales Engineer Western EMEA & Israel di Commvault). Ha contribuito anche Giovanni Daconto, CIO Ariston Group e consigliere AUSED.

Il webinar ha fatto emergere come all’interno del percorso di Digital Transformation che ogni azienda sta indirizzando, un problema crescente sia rappresentato dall’elevata estensione della superficie di attacco. Le tecnologie di cybersecurity vengono certamente in soccorso, sebbene potrebbero però non essere sufficienti. Infatti l’argomento trattato ha portato alla luce oltre all’attuale scenario anche gli aspetti legali relativi, dando delle indicazioni interessanti su come fare per ridurre l’efficacia dei Ransomware, citando anche esperienze vissute, l’evoluzione dell’infrastruttura Cloud e consigli di tipo pratico.

Per prima cosa, attraverso l’intervento di Gabriele Faggioli, si è affrontato lo scenario attraverso alcuni dati provenienti da una survey dell’Osservatorio Digital Transformation che ha visto coinvolte 116 grandi imprese. Sicuramente l’attenzione al fenomeno della cybersecurity è aumentata nel tempo, vuoi per una attenzione mediatica sempre più elevata, vuoi anche perché l’introduzione del GDPR ha effettivamente fatto la differenza al centro del percorso sulla sicurezza. Tuttavia i dati mostrati fanno molto riflettere così come è stato accennato che la normativa in essere dovrebbe fare ancora un salto di qualità. Ma vediamo un po’ di dati: tra il 2020 e il 2021 le priorità di investimento digitale (anche spinte dall’effetto pandemia) hanno fatto balzare dal secondo al primo posto il tema della sicurezza informatica. Addirittura in ambito PMI, per le 500 aziende intervistate, nel 2020 l’information security non risultava nemmeno tra le prime sei priorità. Nel 2021, invece, l’argomento è divenuto molto caldo e si trova al secondo posto, poco sotto il tema dello smart working, di cui conosciamo bene l’importanza in questi ultimi periodi.

A partire dal 2015 – e finanziate dal 2018 – sono state fondate 254 start up dedicate alla cybersecurity, di cui quasi il 60% in America e il 20% in Asia. L’Europa pesa anch’essa per un 20%, ma l’Italia purtroppo è solo un fanalino di coda col 2%. Sostanzialmente, di 3,83 miliardi di dollari, dal 2018 a oggi, le startup hanno ottenuto in media 15 milioni di dollari a testa, anche se la media italiana risulta essere solo di 1 milione di dollari.

L’Osservatorio negli ultimi dieci anni ha analizzato e classificato circa 100 attacchi gravi al dominio pubblico. Nel quadriennio 2017-2020 gli attacchi gravi sono aumentati del 66% raggiungendo oltre 1800. In Europa sono passati dall’11 al 17%. Sempre basandoci sull’analisi in questione, nel 2020 la categoria Cybercrime ha fatto registrare il numero di attacchi più elevato degli ultimi 10 anni, pesando per l’81% nelle diverse tipologie.

Tra le categorie più colpite risulta esserci quella “multi target” (20%) che ha superato per il terzo anno consecutivo il settore Government, che deteneva il primo posto tra il 2021 e il 2016. Al terzo posto troviamo il settore “”Healthcare” (12%), poi “Education e Research” (11%), “Online service/Cloud” (10%), “Others” (8%) e “Software e Hardware vendor” (6%).

Una ennesima survey, questa volta su un campione di 151 grandi aziende, ha portato alla luce le azioni di sicurezza svolte per far fronte all’emergenza. In larga parte sono state introdotte nuove policy (63%), sono state adottate soluzioni a protezione della rete (62%), svolte attività di formazione (60%), introdotte soluzioni di sicurezza dei device personali (49%) e introdotte soluzioni per identificare e rispondere agli attacchi (33%). Per un 19% vi è stata anche una riformulazione delle stime di valutazione del rischio cyber e per il 18% si è introdotta una revisione dei rapporti con le terze parti.

Come rischio medio/alto sulla cybersecurity i trend di maggior impatto attuali riguardano i temi Cloud e smart working. Dal punto di vista tecnico i rischi cyber tradizionali (es. phishing, email compromesse, botnet, DDoS) sfruttano l’anello debole della filiera per far breccia a cascata nell’organizzazione. Il 24% delle organizzazioni dichiara di aver subito un incidente di sicurezza legato alle terze parti negli ultimi 12 mesi.

Tra le tecnologie adottate in ambito supply chain security fanno breccia il monitoraggio della postura cyber della terza parte, la mappatura delle relazioni con i fornitori in tutta la catena di approvvigionamento, la verifica del comportamento degli utenti lungo la supply chain, con valutazione dei rischi informatici, e l’utilizzo di strumenti di autentificazione multi fattore e di connessioni sicure. Tuttavia l’utilizzo di soluzioni tecnologiche specifiche avviene solo per il 59% delle 151 grandi imprese intervistate, mentre il 20% è in fase di introduzione. Ciò lascia attualmente scoperto un 21% che ancora non ha previsto di adottare nessun tipo di tecnologia di questo tipo.

Un ulteriore dato che fa pensare è relativo all’attività di valutazione della compliance alla normativa sui dati personali. In un campione di 76 aziende, l’80% ha dichiarato che questa valutazione non avviene mai, il 17% a volte e solo il 3% sempre. Questo dato riguarda la valutazione dei fornitori, mentre per i subfornitori le percentuali cambiano in 49% mai, 46% a volte e 5% sempre. Inoltre l’attività di valutazione del livello di sicurezza viene praticata in maniera minore rispetto all’attività di valutazione della compliance alla normativa sui dati personali, sia sui fornitori, sia sui subfornitori.

La ricerca ha portato in evidenza come in un perimetro di analisi fatto da 3787 imprese con almeno 250 addetti, vi sia un valore che oscilla ogni anno tra 31000 e 34000 giornate/uomo destinate ad attività di valutazione della compliance e della sicurezza di fornitori e subfornitori. La responsabilità della sicurezza informatica è solo nel 41% dei casi delegata al CISO formalizzato, mentre per il 25% troviamo a occuparsi di questa responsabilità la figura del CIO, per il 13% è invece il CSO o Security Manager, per il 19% un’altra figura aziendale e per il 2% non esiste nessuna figura aziendale delegata a questo ruolo.

Gli interventi successivi di Sergio Feliziani e Vincenzo Costantino hanno contribuito a offrire la visione di Commvault, azienda nata a metà degli anni ’90 da una costola dei laboratori AT&T. Una azienda che oggi vanta 3000 addetti in tutto il mondo e tre miliardi di dollari di capitalizzazione. In Italia vi sono oltre 50 professionisti impegnati a perseguire la mission aziendale, che propone soluzioni che permettono di pianificare, proteggere e recuperare i dati ovunque essi si trovino. La solidità tecnologica è sottolineata dal risultare leader da diversi anni per le soluzioni di backup e disaster recovery all’interno del Magic Quadrant di Gartner. La protezione e la gestione dei dati non sono più aspetti da trascurare ma imperativi organizzativi e la tecnologia che propone questa azienda è di tipo sofisticato, che sfrutta automazione e customizzazione e che presenta una security dashboard molto evoluta.

Sul tema della vision e delle soluzioni di Commvault il prossimo 28 ottobre, alle ore 15.00 vi sarà un evento internazionale intitolato CONNECTIONS21 a cui è possibile partecipare iscrivendosi a questo link:

https://www.commvaultconnections21.com/?utm_source=social-media&utm_campaign=western

Il gap che l’Italia sconta per problematiche di vario genere è riscontrabile dai dati emersi dalle varie survey sopra menzionate. Oggi la proliferazione dei dati multigenerazionali, con carichi di lavoro ovunque, mette sempre di più al centro la sicurezza. Occorre quindi intervenire e definire come gestire e proteggere i nuovi ambienti. Serve in sostanza definire una serie di punti qualificanti che possano nel loro insieme diminuire l’efficacia dei ransomware. Per prima cosa occorre identificare le problematiche di risk assesment. Successivamente vi è una fase di protezione con un disegno che Commvault definisce “immutabile”. Poi si interviene sulle infrastrutture e sul controllo dei flussi e dei workload. La parte finale riguarda il monitoring, anche da remoto, che può includere meccanismi di automazione).

Il ragionamento di fondo è che il ransomware non potrà mai essere sconfitto completamente ma è fondamentale sapere che in azienda un attacco del genere potrebbe accadere in qualsiasi momento e quindi occorre essere preparati agendo a monte per tempo.

Il ransomware nasce nel 2000 e attualmente lo si può suddividere in tre tipologie: Phishing, Zero-Day Attack e Targeted Account.

L’incontro ha messo in evidenza come un semplice backup non sia sufficiente per essere al sicuro da questi attacchi. Vi sono infatti svariati problemi di Data Management che vanno analizzati. Vi è un impatto anche dal punto di vista del processo, che parte dall’online fino al backup stesso. Negli esempi portati in evidenza da Commvault durante il webinar è emerso che non basta scoprire l’attacco ma è fondamentale capire anche da quado questo è partito. Le soluzioni da loro proposte prevedono la memorizzazione del database anche in un cloud gratuito messo a disposizione dei propri clienti, così come – anche se ci si trova in una situazione di dati cancellati manualmente da figure aziendali compromesse dagli attacchi – in realtà i dati non vengono realmente cancellati in tempo reale ma solo dopo alcune ore. Questo ha permesso in un caso specifico, raccontato durante l’evento, di poter ripristinare quanto causato dall’attacco in tempi brevissimi .

La discussione si è infine spostata su alcune domande che hanno portato ad affermare che nonostante durante gli attacchi ci si senta avviliti e sconfitti il pagare il riscatto non è la risposta giusta. In primis non si ha nessuna garanzia da parte di chi ci attacca, e quindi non è detto che dopo qualche mese si rifaccia vivo chiedendo altri soldi e sferrando altri attacchi. Poi è possibile che i malviventi abbiano visionato i nostri dati di tipo finanziario e li abbiano messi a disposizione del Deep web. Non esistendo nessun tipo di garanzia che pagando, il problema venga definitivamente risolto, non occorre fare nessun tipo di compromesso con i criminali. Anzi, cedendo al ricatto non si fa altro che alimentare le loro attività illegali permettendogli di continuare a svolgerle verso altre aziende.

Tra i punti emersi in conclusione si è accennato a come per ridurre i rischi d’attacco non sia propriamente utile frammentare le soluzioni che si occupano di sicurezza e diversificare quelle di backup: molto meglio un’unica strategia con una dashboard in grado di “vedere” tutta l’azienda; un’unica interfaccia in grado di garantire disponibilità dei dati e continuità di business negli ambienti on-premise e nel cloud.

Anche Aused al Digital Security Festival

 A Udine e online dal 22 al 29 ottobre 2021 la sicurezza informatica spiegata semplice

Ritorna a Udine e online il “Digital Security Festival - La sicurezza informatica spiegata semplice” organizzato da ITClubFVG. Inizia dalla sede di Confindustria Udine nel pregiato Palazzo Torriani e si svolge con la formula Phygital unendo la presenza fisica alle video conferenze e ai webinar online, dal 22 al 29 ottobre 2021, con un ricco parterre di relatori e argomenti.

Il Digital Security Festival è quindi sul trampolino di lancio e saranno decine i relatori che si alterneranno nelle varie sedi fisiche e digitali della manifestazione che, lo ricordiamo, è nata per la divulgazione della cultura digitale e della sicurezza applicata ad aziende, scuole, istituzioni, ragazzi e genitori. L’evento è accreditato nell'European Cybersecurity Month, organizzato dall’agenzia europea ENISA, campagna dell’Unione Europea sicurezza informatica.

Anche AUSED sarà presente alla manifestazione con un intervento del suo Presidente Andrea Provini.