Due servizi spesso confusi, con scopi e costi diversi. Cosa sono, quando ha senso commissionarli e come scegliere e valutare un fornitore senza essere tecnici.
Prima o poi molte organizzazioni si sentono chiedere, da un cliente, da un'assicurazione, da un revisore o da una norma: "Avete fatto un penetration test?". Oppure ricevono offerte di "vulnerability assessment". Sono due servizi diversi, spesso confusi, e capire la differenza aiuta a spendere bene.
È una ricerca sistematica delle vulnerabilità note nei sistemi: server, computer, siti web, dispositivi di rete. Si svolge in gran parte con strumenti automatici che confrontano ciò che trovano con gli archivi delle falle conosciute, integrati dall'analisi di un esperto che elimina i falsi allarmi e ordina i risultati per gravità.
A cosa serve: avere una fotografia ampia delle debolezze, ad esempio software non aggiornati, configurazioni errate, servizi esposti senza motivo.
Quando ha senso: periodicamente, anche più volte l'anno, e dopo cambiamenti importanti nei sistemi. È relativamente economico e ripetibile.
È una simulazione di attacco condotta da specialisti, che cercano di sfruttare le debolezze per capire fin dove un attaccante reale potrebbe arrivare: accedere a dati, prendere il controllo di sistemi, muoversi nella rete.
A cosa serve: verificare l'efficacia reale delle difese e scoprire combinazioni di debolezze che uno strumento automatico non vede.
Quando ha senso: su sistemi importanti, come un portale con dati dei clienti o dei cittadini, prima della messa in produzione di un servizio nuovo, dopo cambiamenti rilevanti, o quando richiesto da norme, contratti o assicurazioni. Costa di più e richiede più preparazione.
Esistono anche altre forme di verifica, come i test sul fattore umano, ad esempio simulazioni di phishing, o le esercitazioni più ampie in cui una squadra simula un attaccante determinato per settimane.
Definisci l'obiettivo. Cosa vuoi sapere? Se il sito di prenotazione è sicuro, se un dipendente con credenziali rubate potrebbe accedere ai dati dei clienti, se la rete è esposta da internet?
Definisci il perimetro. Quali sistemi, indirizzi e applicazioni sono inclusi, quali esclusi, in quali orari si può operare.
Autorizza per iscritto. Un test non autorizzato su sistemi di terzi può essere un reato. Se alcuni sistemi sono gestiti da fornitori o in cloud, serve il loro coinvolgimento.
Prepara la gestione degli imprevisti. Chi contattare se il test causa un rallentamento, come fermarlo.
Un buon rapporto contiene una sintesi per chi decide, con i rischi principali spiegati in modo comprensibile, e una parte tecnica con le vulnerabilità, le prove e le correzioni consigliate, ordinate per priorità.
Il rapporto non protegge nulla da solo. Il valore sta nel piano di correzione: chi corregge cosa, entro quando, e una verifica successiva che le correzioni funzionino. Un test ripetuto ogni anno che trova sempre gli stessi problemi è un segnale da non ignorare.
Il vulnerability assessment dice dove sono le porte aperte, il penetration test mostra cosa succede se qualcuno ci entra. Entrambi servono solo se, dopo, le porte vengono chiuse.
Non serve un consulente per iniziare a capire dove un'organizzazione è più esposta. Un percorso semplice per individuare le priorità e decidere dove investire.
Codici CVE, punteggi di gravità, prodotti e versioni coinvolte: gli avvisi di sicurezza sembrano scritti per specialisti. Una guida per leggerli e capire quando riguardano la propria organizzazione.
Stazioni, alberghi, bar e sale d'attesa offrono connessioni gratuite. Cosa può davvero succedere quando le usi per lavoro e come collegarti in sicurezza.