Vulnerability Assessment e Penetration Test: perché ne hai bisogno

La sicurezza informatica non riguarda soltanto formazione, certificazioni e hardware dedicato, ma si basa soprattutto sull’esecuzione di test accurati e completi: un elemento fondamentale per le aziende che vogliono proteggere i propri asset, migliorare la reputazione aziendale e rimanere costantemente al passo con le più recenti normative e standard di sicurezza.

Ecco perché è molto importante che tutte siano a conoscenza dei concetti fondamentali di Vulnerability Assessment e Penetration Test. Vediamoli più nel dettaglio.

Normative di riferimento

Le normative e gli standard internazionali richiedono sempre più esplicitamente la valutazione periodica della sicurezza. Ad esempio, il GDPR richiede misure tecniche e organizzative adeguate per proteggere i dati personali, ben supportate dalla consistente accountability di penetration test e vulnerability assessment. 

C’è poi da tenere in considerazione la normativa 8ISO/IEC 27001, che parla di valutazione della vulnerabilità e di test sull'efficacia dei controlli.

Inoltre, la NIS2 (UE): rafforza gli obblighi per gli operatori di servizi essenziali e richiede test di sicurezza regolari, e la DORA (Digital Operational Resilience Act), specifica per il settore finanziario, richiede test periodici di resilienza operativa.

Per tutte queste normative può risultare importante, con tutte le specifiche del caso, dimostrare l'esecuzione regolare di Vulnerability Assessment e Penetration Test. 

Passiamo ora alle definizioni.

Cos’è il Vulnerability Assessment e perché è importante

Il Vulnerability Assessment è un processo sistematico di scansione, identificazione e analisi delle vulnerabilità presenti in sistemi, applicazioni, reti o dispositivi. Lo scopo è valutare la superficie di attacco dell'organizzazione e fornire un report dettagliato delle vulnerabilità rilevate, classificate per livello di rischio.

Benefici principali

• Mappatura continua dello stato di sicurezza dell'infrastruttura IT
• Prioritizzazione degli interventi correttivi
• Allineamento con i requisiti di sicurezza delle normative
• Riduzione del rischio di attacchi riusciti.

Il Vulnerability Assessment può essere eseguito periodicamente o in modo continuativo tramite strumenti automatici. Tuttavia, è essenziale che sia affiancato da analisi manuali e valutazioni contestuali.

Cos’è un Penetration Test e in cosa si differenzia dal Vulnerability Assessment

Il Penetration Test, o test di penetrazione, è una simulazione controllata di un attacco informatico eseguita allo scopo di testare la reale resistenza di un sistema.

Differenze principali rispetto al VA:

• Il VA è passivo e automatizzato; il PT è attivo e simulativo
• Il VA identifica vulnerabilità teoriche; il PT verifica se e come possono essere realmente sfruttate
• Il PT fornisce un contesto più realistico sul livello di esposizione.

Tipi di Penetration Test

• Black-box: senza informazioni preliminari
• White-box: con accesso completo a sistemi e documentazione
• Grey-box: con accesso parziale

Un Penetration Test ben condotto è utile anche per testare la reattività del team di sicurezza e dei processi di incident response (Blue Team).

Impatto sulla reputazione aziendale

Il Vulnerability Assessment e il Penetration Test non sono però solo una raccomandazione normativa, ma anche un potenziale investimento utile a migliorare la reputazione aziendale. La scelta, per un’azienda, di investire in questi strumenti e di raccontare il valore di tale decisione dimostra ai potenziali clienti e agli shareholder una certa proattività nella gestione del rischio.

E' infatti dimostrato che VA e PT eseguiti regolarmente aiutano a ridurre concretamente il rischio di data breach e le relative ricadute mediatiche, soprattutto quando parliamo di aziende di grandi dimensioni o con molta esposizione ai mezzi di comunicazione.

VA/PT  inoltre supportano e facilitano i processi di certificazione, audit e due diligence.

Pensiamo infine a quanto un incidente di sicurezza può avere impatti devastanti su immagine, valore di mercato e credibilità. Con un adeguato investimento in prevenzione questo scenario può essere facilmente scongiurato.

Quando e come eseguire un Vulnerability Assessment e un Penetration Test

L’occasione migliore per svolgere un Vulnerability Assessment o un Penetration test è sicuramente prima del rilascio di nuove applicazioni o servizi, oppure a seguito di modifiche infrastrutturali significative.

In alternativa, è opportuno impostare una pianificazione di queste attività, di modo che vengano svolte in maniera continuativa nel tempo, senza “buchi” procedurali. A seconda delle valutazioni strategiche fatte dalla tua azienda, potrebbe essere il caso di svolgere un penetration test trimestralmente, o semestralmente. 

Sicuramente è opportuno dedicare un’energia specifica a questi tipi di test in seguito a incidenti di sicurezza, anche se l’ideale è sempre prevenire.

Svolgimento di penetration test e vulnerability assessment

• Si parte dalla definizione del perimetro e delle regole di ingaggio. VA e PT includono attività che sono illegali se non si ha il permesso di chi amministra i sistemi informatici oggetto del test (art. 615-ter c.p, accesso abusivo a sistemi informatici e telematici)
• Vengono effettuati con strumenti automatici certificati, affiancati da metodi manuali eseguiti da team specializzati
• Seguono standard riconosciuti (OWASP, PTES, NIST)
• Sono eseguiti da professionisti secondo principi etici e responsabili
• Documentano dettagliatamente risultati e raccomandazioni
• Permettono di integrare i risultati nei processi di gestione delle vulnerabilità (es. patch management)
• Possono essere svolti internamente, ma il coinvolgimento di fornitori terzi indipendenti è spesso consigliato per garantire imparzialità e competenze aggiornate.

Best practice e raccomandazioni

Per implementare efficacemente attività di Vulnerability Assessment e Penetration Test all'interno della strategia aziendale, è fondamentale definire una politica strutturata che le integri come parte integrante della strategia di sicurezza. È inoltre utile mantenere un registro aggiornato delle vulnerabilità, completo di priorità, stato e responsabilità associate, per garantire un monitoraggio e una gestione coerente del rischio. In contesti particolarmente critici o complessi, l’esecuzione di penetration test in modalità red team consente di simulare scenari avanzati e valutare la resilienza effettiva. Il coinvolgimento del top management è essenziale per assicurare visibilità strategica e supporto alle iniziative di sicurezza. Un ulteriore passo importante è l’integrazione di VA e PT nei flussi di sviluppo secondo logiche DevSecOps, così da rendere la sicurezza parte del ciclo di vita del software. Infine, i risultati ottenuti devono essere valorizzati anche in ottica formativa, utilizzandoli per accrescere la consapevolezza del personale e promuovere una cultura della sicurezza diffusa e continua.

Casi d’uso concreti

Nella nostra esperienza di cybersecurity abbiamo visto diversi casi di dimostrata efficacia di una buona pianificazione dei penetration test e vulnerability assessment. Ad esempio, una banca italiana ha integrato dei Penetration Test trimestrali nel programma di audit ISO 27001, ottenendo una riduzione del 35% delle vulnerabilità critiche rilevate anno su anno.

Oppure, un e-commerce ha scoperto, tramite un Assessment, una vulnerabilità RCE (Remote Code Execution - una vulnerabilità grave che quasi sempre può significare compromissione grave dei sistemi) in un modulo di terze parti non aggiornato. La correzione tempestiva ha evitato una potenziale violazione dei dati.

Ultimo caso rilevante: una PMI manifatturiera, prima di candidarsi a un bando europeo, ha eseguito un Penetration Test che ha evidenziato accessi non protetti ai PLC. Questo ha permesso di adottare misure correttive e superare l'audit con successo.

In conclusione, il consiglio sempre valido per le aziende con asset digitali, anche se minimi, è di non lasciare niente di intentato e rivolgersi a un consulente digitale in grado di creare una strategia di protezione efficace dalle minacce informatiche, che comprenda Penetration Test e Vulnerability Assessment periodici.