Penetration test su reti, applicazioni, cloud e sistemi AI

Che cos'è un penetration test

Un penetration test è un attacco simulato, autorizzato e controllato, condotto da professionisti per scoprire quali vulnerabilità un attaccante reale potrebbe sfruttare e fino a dove potrebbe arrivare. A differenza di una scansione automatica, il pentest verifica manualmente le falle, le concatena e ne misura l'impatto concreto sui dati e sui processi.

Il risultato non è un elenco di CVE, ma una risposta alla domanda che interessa alla direzione: quanto è facile entrare, cosa si può rubare o bloccare e cosa bisogna correggere per primo.

Tipologie di penetration test

Il perimetro viene scelto in base al rischio e agli obiettivi: possiamo partire da un singolo ambito o combinare più test in una campagna annuale.

• External: servizi esposti su internet, VPN, mail, portali
• Internal: rete aziendale, Active Directory, movimenti laterali
• Web application e API (OWASP Top 10 e API Top 10)
• Cloud: Microsoft 365, Azure, AWS, configurazioni e IAM
• Wi-Fi, mobile app e dispositivi IoT/OT
• Social engineering e phishing simulato
• AI e LLM: prompt injection, jailbreak, abuso degli agenti
• Red teaming su scenari concordati con la direzione

Metodologia e standard di riferimento

Lavoriamo secondo standard riconosciuti: OWASP Web Security Testing Guide, OWASP ASVS, PTES, NIST SP 800-115 e OSSTMM. Ogni attività è preceduta da un documento di ingaggio con perimetro, finestre temporali, contatti di emergenza e regole d'ingaggio firmate.

Il test può essere black box (nessuna informazione iniziale, come un attaccante esterno), grey box (credenziali di un utente standard) o white box (documentazione e codice disponibili). La modalità grey box offre di norma il miglior rapporto tra realismo e copertura.

• Kick-off e regole d'ingaggio firmate
• Ricognizione e mappatura della superficie di attacco
• Ricerca e verifica manuale delle vulnerabilità
• Exploitation controllata e post-exploitation
• Comunicazione immediata delle criticità gravi
• Restituzione dei risultati e retest

Cosa ricevi al termine del test

Ogni vulnerabilità viene descritta con evidenze, passaggi per riprodurla, punteggio CVSS e rischio effettivo per il tuo contesto, insieme alle istruzioni di correzione. La direzione riceve una sintesi non tecnica con il livello di rischio complessivo e le priorità.

• Executive summary per la direzione
• Report tecnico con evidenze e riproduzione
• Piano di remediation ordinato per priorità
• Sessione di restituzione con il team IT
• Retest delle vulnerabilità corrette incluso
• Attestazione di esecuzione per clienti e auditor

Penetration test e obblighi normativi

I test di sicurezza periodici sono richiesti o raccomandati da molte normative: la NIS2 chiede di valutare l'efficacia delle misure di gestione del rischio, la ISO/IEC 27001 prevede verifiche tecniche di conformità, il regolamento DORA impone test di resilienza operativa digitale alle entità finanziarie e il GDPR richiede di testare regolarmente l'efficacia delle misure di sicurezza (art. 32).

Ogni quanto fare un penetration test

Consigliamo almeno un test all'anno sui sistemi critici e un test aggiuntivo dopo ogni cambiamento rilevante: nuova applicazione, migrazione in cloud, apertura di nuovi servizi verso l'esterno, acquisizioni o integrazione di sistemi di AI. Tra un test e l'altro il SOC gestito e il vulnerability assessment continuo mantengono il controllo sulla superficie esposta.