Siamo esposti a cyberattacchi quando inviamo e-fatture? Il sistema è sicuro, c'è crittografia?

il sistema e-fatura è gestito dallo stato, molto sicuro. la paswsord è legata al certificato e-imza, altri non possono entrare facilmente ma se cambia il commercialista chiudi l'accesso dal sistema, fatto. revoca l'utente gibe...

E-Fattura tecnico: XML → firma digitale (certificato qualificato) → trasporto TLS → server GiBE. Sicurezza GiBE: HSM (Hardware Security Module), gestione certificati, log di audit (anti-manomissione), ridondanza (alta disponibilità). Integrazione: SOAP API (legacy), REST API (nuovo), mutual TLS (mTLS) certificate pinning. Rischi integrazione custom: validazione input (schema XSD), storage credenziali (HSM, non in chiaro), rate limiting (DDoS), gestione errori (divulgazione info).

il sistema e-fattura statale è molto sicuro fidati. usa una password forte per il certificato e gestisci singolarmente gli accessi nell'account GiBE. se cambi commercialista, chiudi l'accesso al vecchio e daglielo al nuovo. se c'è pzza nel software di integrazione, passa a un altro processore di pagamento...

Sicurezza e-fattura: 1) Certificato digitale (firma elettronica qualificata), 2) Trasmissione TLS 1.2+, 3) Log di audit GiBE (non ripudiabilità), 4) Accesso basato sui ruoli (ruolo commercialista limitato), 5) Scadenza token (gestione sessioni). Integrazione: autenticazione API (certificato + chiave), validazione input (XSD), codifica output. Eventi: revoca certificato (controllo CRL), notifica violazione (gestione GiBE), revisione traccia di audit.

Breve riassunto per i nuovi arrivati: Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Se scrivete qui il risultato sarà utile anche ad altri.

Hai fatto bene ad aprire questo thread.

Bisogna procedere con ordine. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Correggetemi se sbaglio.

Se volete procedere così, risolvete questo punto fin dall'inizio. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Lascio una nota, potrebbe servire.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla. Buon lavoro.

Esattamente così. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Correggetemi se sbaglio.

Grazie mille, mi è stato molto utile.

parlo dal lato opposto io sono dalla parte dei fornitori ma la sicurezza non è assoluta; significa rendere l'attacco non conveniente.

la risposta varia molto in base al settore, non esistte una regola generale.. ma se avete domande, scrivete, rispondo per quanto possibile.

La strada che sembra economica di solito finisce per costare cara. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Io seguirei questa strada.

Questo thread è archiviato.

C'è un errore comune che si commette facendo questo. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Buon lavoro.

Non posso essere d'accordo al 100%. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Correggetemi se sbaglio.

Ho vissuto la stessa cosa. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Naturalmente cambia se la vostra situazione è diversa.

Esattamente così. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi. Questa è la mia opinione, non la scrivo come verità assoluta.