Vulnerability assessment e penetration test
Cerchiamo le debolezze di rete, server e applicazioni prima che lo faccia un attaccante, con perimetro autorizzato, rapporto per gravità e verifica finale.
- Vulnerability assessment e penetration test svolti da noi
- Perimetro e regole firmati prima di iniziare
- Rapporto per gravità con le correzioni
- Verifica finale dopo le correzioni
- Per gli enti pubblici acquisto anche tramite MePA
In questa pagina 7 sezioni
In breve
- Il vulnerability assessment cerca le debolezze note nei sistemi; il penetration test prova a sfruttarle come farebbe un attaccante.
- Li facciamo noi, con un perimetro e delle regole firmate prima di iniziare.
- Ricevi un rapporto con le vulnerabilità in ordine di gravità, come correggerle e una verifica finale.
Ogni sistema esposto su internet, dal firewall al sito web al server di posta, viene scansionato di continuo da chi cerca un punto debole. Anche dentro la rete aziendale ci sono spesso programmi non aggiornati, configurazioni lasciate di fabbrica, password deboli. Il modo per scoprirli prima degli altri è cercarli in modo sistematico.
Vulnerability assessment e penetration test: le differenze
| Vulnerability assessment | Penetration test | |
|---|---|---|
| Obiettivo | Trovare il maggior numero di vulnerabilità note | Capire fin dove può arrivare un attaccante |
| Metodo | Scansioni con strumenti specializzati e verifica dei risultati | Tentativi controllati di sfruttare le debolezze trovate |
| Risultato | Elenco delle vulnerabilità con gravità e correzioni | Percorso di attacco dimostrato, con impatto reale |
| Quando serve | Periodicamente, come controllo di base | Prima di un rilascio importante, dopo grandi modifiche o su richiesta di clienti e normative |
Per la maggior parte delle piccole e medie realtà conviene partire da un vulnerability assessment periodico e prevedere un penetration test sui sistemi più esposti.
Cosa possiamo analizzare
- Perimetro esterno: indirizzi pubblici, firewall, VPN, servizi esposti su internet.
- Rete interna: server, PC, stampanti, NAS, apparati di rete.
- Siti e applicazioni web dell’azienda o dell’ente.
- Configurazione di Microsoft 365, con l’audit di sicurezza dedicato.
Come lavoriamo
- Perimetro e autorizzazione Definiamo per iscritto cosa analizzare, quando e con quali limiti. Il documento viene firmato prima di iniziare: senza autorizzazione non si tocca nulla.
- Raccolta di informazioni Censiamo i sistemi compresi nel perimetro e i servizi attivi.
- Analisi Eseguiamo le scansioni e verifichiamo a mano i risultati, per eliminare i falsi allarmi. Nel penetration test proviamo a sfruttare le vulnerabilità in modo controllato, senza compromettere dati e servizi.
- Rapporto Consegniamo un documento con ogni vulnerabilità, la sua gravità, le prove raccolte e come correggerla, più una sintesi per chi decide.
- Correzione e verifica Dopo le correzioni, fatte da noi o dal tuo fornitore, ripetiamo i controlli per confermare che le falle siano chiuse.
Sicurezza dei test: concordiamo finestre orarie e limiti per non disturbare il lavoro. Le prove più invasive si fanno solo con il tuo consenso esplicito e, se serve, fuori orario.
Perché farlo, anche per la NIS2
La NIS2 chiede di gestire il rischio e di verificare nel tempo l’efficacia delle misure di sicurezza. Un rapporto di vulnerability assessment periodico, con le correzioni documentate, è una prova concreta. È anche una delle richieste più frequenti nei questionari che le aziende soggette a NIS2 mandano ai propri fornitori. Vedi la guida su chi è coinvolto dalla NIS2.
Quanto costa
Il prezzo dipende dal perimetro: quanti indirizzi, server e applicazioni analizzare, e se serve anche il penetration test. Lo definiamo prima di iniziare, dopo un incontro gratuito, con un preventivo a corpo. Per il controllo periodico si può prevedere un canone. Gli enti pubblici possono acquistare il servizio anche tramite il MePA, dove siamo abilitati.
Domande frequenti
I test possono bloccare i nostri sistemi?
Il rischio è basso e lo gestiamo concordando finestre orarie e limiti. Le prove più invasive si fanno solo con il tuo consenso esplicito e fuori dall’orario di lavoro.
Ogni quanto conviene ripeterlo?
Il vulnerability assessment almeno una volta l’anno e dopo ogni modifica importante, come un nuovo firewall o un nuovo servizio esposto su internet. Su sistemi molto esposti conviene più spesso.
Il rapporto si può dare ai nostri clienti?
Sì. Oltre al rapporto tecnico prepariamo una sintesi che si può condividere con clienti o auditor, senza esporre i dettagli delle vulnerabilità.
Correggete voi le vulnerabilità trovate?
Possiamo farlo noi, oppure lasciare le indicazioni al tuo fornitore. In entrambi i casi facciamo la verifica finale.
Un ente pubblico può acquistarlo tramite MePA?
Sì, siamo abilitati sul Mercato Elettronico della Pubblica Amministrazione.
Vuoi sapere cosa vede di te un attaccante da internet? Partiamo dalla definizione del perimetro, con un primo incontro gratuito.
