Vulnerability assessment e penetration test: reti, applicazioni, cloud e sistemi AI
In breve
Il vulnerability assessment individua in modo ampio, in gran parte automatico, le vulnerabilità note di sistemi e applicazioni; il penetration test le verifica manualmente sfruttandole in modo controllato per misurarne l'impatto reale. Insieme (VAPT) rispondono all'esigenza di verificare regolarmente l'efficacia delle misure di sicurezza prevista dall'art. 32 del GDPR, dalla NIS2 (D.Lgs. 138/2024) e, per il settore finanziario, dal regolamento DORA (Reg. UE 2022/2554). Lavoriamo secondo OWASP, PTES e NIST SP 800-115.
Simuliamo un attaccante reale per scoprire cosa è davvero sfruttabile nella tua infrastruttura, prima che lo faccia qualcun altro. Report chiaro per la direzione, dettaglio tecnico per l'IT e retest incluso.
Che cos'è un penetration test
Un penetration test è un attacco simulato, autorizzato e controllato, condotto da professionisti per scoprire quali vulnerabilità un attaccante reale potrebbe sfruttare e fino a dove potrebbe arrivare. A differenza di una scansione automatica, il pentest verifica manualmente le falle, le concatena e ne misura l'impatto concreto sui dati e sui processi.
Il risultato non è un elenco di CVE, ma una risposta alla domanda che interessa alla direzione: quanto è facile entrare, cosa si può rubare o bloccare e cosa bisogna correggere per primo.
| Aspetto | Vulnerability assessment | Penetration test |
|---|---|---|
| Obiettivo | Elencare le vulnerabilità note | Dimostrare cosa è sfruttabile e con quale impatto |
| Metodo | Scansioni in gran parte automatiche | Verifica manuale ed exploitation controllata |
| Copertura | Ampia | Profonda su perimetro definito |
| Frequenza consigliata | Continua o periodica | Almeno annuale e dopo cambiamenti rilevanti |
| Risultato | Elenco prioritizzato di vulnerabilità | Report con evidenze, impatto e remediation |
Tipologie di penetration test
Il perimetro viene scelto in base al rischio e agli obiettivi: possiamo partire da un singolo ambito o combinare più test in una campagna annuale.
- External: servizi esposti su internet, VPN, mail, portali
- Internal: rete aziendale, Active Directory, movimenti laterali
- Web application e API (OWASP Top 10 e API Top 10)
- Cloud: Microsoft 365, Azure, AWS (incl. configurazioni IAM)
- Perimetro: firewall Fortinet Security Fabric e accessi Zscaler Zero Trust
- Wi-Fi, mobile app e dispositivi IoT/OT
- Social engineering e phishing simulato
- AI e LLM: prompt injection, jailbreak, abuso degli agenti
- Red teaming su scenari concordati con la direzione, con tecniche mappate su MITRE ATT&CK
Metodologia e standard di riferimento
Lavoriamo secondo standard riconosciuti: OWASP Web Security Testing Guide, OWASP ASVS, PTES, NIST SP 800-115 e OSSTMM. Ogni attività è preceduta da un documento di ingaggio con perimetro, finestre temporali, contatti di emergenza e regole d'ingaggio firmate.
Il test può essere black box (nessuna informazione iniziale, come un attaccante esterno), grey box (credenziali di un utente standard) o white box (documentazione e codice disponibili). La modalità grey box offre di norma il miglior rapporto tra realismo e copertura.
- Kick-off e regole d'ingaggio firmate
- Ricognizione e mappatura della superficie di attacco
- Ricerca e verifica manuale delle vulnerabilità
- Exploitation controllata e post-exploitation
- Comunicazione immediata delle criticità gravi
- Restituzione dei risultati e retest
Cosa ricevi al termine del test
Ogni vulnerabilità viene descritta con evidenze, passaggi per riprodurla, punteggio CVSS e rischio effettivo per il tuo contesto, insieme alle istruzioni di correzione. La direzione riceve una sintesi non tecnica con il livello di rischio complessivo e le priorità.
- Executive summary per la direzione
- Report tecnico con evidenze e riproduzione
- Piano di remediation ordinato per priorità
- Sessione di restituzione con il team IT
- Retest delle vulnerabilità corrette incluso
- Attestazione di esecuzione per clienti e auditor
Penetration test e obblighi normativi
I test di sicurezza periodici sono richiesti o raccomandati da molte normative: la NIS2 chiede di valutare l'efficacia delle misure di gestione del rischio, la ISO/IEC 27001 prevede verifiche tecniche di conformità, il regolamento DORA impone test di resilienza operativa digitale alle entità finanziarie e il GDPR richiede di testare regolarmente l'efficacia delle misure di sicurezza (art. 32).
Ogni quanto fare un penetration test
Consigliamo almeno un test all'anno sui sistemi critici e un test aggiuntivo dopo ogni cambiamento rilevante: nuova applicazione, migrazione in cloud, apertura di nuovi servizi verso l'esterno, acquisizioni o integrazione di sistemi di AI. Tra un test e l'altro il SOC gestito e il vulnerability assessment continuo mantengono il controllo sulla superficie esposta.
Domande frequenti sul penetration test
Definiamo insieme il perimetro del test
In una call di scoping individuiamo i sistemi da testare, la modalità più adatta e i tempi. Ricevi una proposta a corpo, senza sorprese.