Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Definire obiettivo, autorità e perimetro
Prima delle verifiche occorre chiarire che cosa deve supportare l’assessment: ridurre l’esposizione esterna, preparare un piano di remediation, verificare una baseline o riesaminare un servizio critico. Lo stesso strumento produce risultati diversi se cambia il perimetro, la profondità o il tipo di autenticazione usato.
NIST SP 800-115 colloca pianificazione, conduzione, analisi e mitigazione dentro un processo di assessment. Asset, indirizzi, applicazioni, ambienti cloud, identità e dispositivi esclusi devono essere dichiarati. Proprietari dei servizi e responsabili tecnici approvano attività, finestre, contatti e condizioni di arresto.
- Obiettivo e decisioni che il rapporto deve supportare
- Asset, servizi, sedi e ambienti inclusi
- Esclusioni motivate e data di riesame
- Autorizzazione, finestra e referente operativo
- Gestione sicura di credenziali, risultati e log
Scegliere tecniche e controllare l’esecuzione
Scansioni esterne, scansioni autenticate, verifiche di configurazione e analisi manuali rispondono a domande differenti. Una scansione non autenticata osserva ciò che è raggiungibile; una verifica autenticata può rilevare versioni, patch e configurazioni interne con maggiore precisione, ma richiede credenziali protette e privilegi proporzionati.
Ambienti fragili, apparati industriali, sistemi legacy e servizi soggetti a scadenze operative richiedono cautele specifiche. Prima dell’avvio si verificano backup, monitoraggio, capacità di rollback e modalità di escalation. I falsi positivi vengono validati e i falsi negativi considerati nei limiti dichiarati del rapporto.
- Tecnica coerente con obiettivo e rischio operativo
- Account dedicati e privilegi minimi
- Controllo di carico, rete e sistemi critici
- Canale rapido per sospendere le attività
- Registrazione di data, versione degli strumenti e limiti
Restituire rischio, priorità ed evidenze
Il risultato non dovrebbe essere un elenco ordinato soltanto per gravità tecnica. Ogni rilievo va collegato ad asset, esposizione, servizio sostenuto, exploit disponibili, impatto e controlli esistenti. Il catalogo KEV di CISA è un segnale utile per riconoscere vulnerabilità sfruttate nel mondo reale, ma resta uno degli input della prioritizzazione.
Il rapporto separa conferme tecniche, ipotesi e limiti; assegna azioni, responsabili e scadenze; indica come verificare la correzione. Una sintesi per la direzione evidenzia dipendenze e decisioni, mentre l’allegato tecnico conserva prove sufficienti senza esporre inutilmente informazioni sensibili.
Domande frequenti
Vulnerability assessment e penetration test sono la stessa cosa?+
No. L’assessment identifica e valuta debolezze con tecniche definite; il penetration test prova in modo controllato percorsi di attacco e impatti. Possono essere complementari, ma richiedono obiettivi e autorizzazioni distinti.
È sufficiente una scansione automatica?+
No. Lo strumento aiuta a raccogliere dati, ma perimetro, validazione, contesto del servizio, priorità e remediation richiedono analisi e responsabilità.
Ogni quanto va ripetuto?+
La frequenza dipende da criticità, esposizione e cambiamenti. Servono inoltre verifiche dopo modifiche importanti, nuove minacce o correzioni rilevanti.