Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Costruire un registro operativo affidabile
Risultati di scanner, advisory dei produttori, penetration test, segnalazioni interne e informazioni sulle minacce devono convergere in un registro riconciliato con l’inventario. Duplicati, asset non più esistenti e rilevazioni non confermate distorcono priorità e metriche.
Ogni voce dovrebbe indicare asset, proprietario, servizio, esposizione, versione interessata, evidenza, sorgente, stato e data di ultimo controllo. La qualità del processo dipende dalla capacità di sapere quali sistemi sono realmente coinvolti e chi può decidere il cambiamento.
- Identificativo del rilievo e fonte
- Asset, servizio e responsabile
- Esposizione e condizioni di sfruttamento
- Evidenza e stato di validazione
- Azione, scadenza e verifica prevista
Prioritizzare oltre il punteggio tecnico
CVSS aiuta a descrivere caratteristiche tecniche, ma non misura da solo il rischio dell’organizzazione. Una vulnerabilità su un servizio esposto e critico può richiedere un’azione urgente; lo stesso rilievo su un sistema isolato può essere trattato con una finestra diversa.
La priorità combina sfruttamento noto, disponibilità di exploit, esposizione, privilegi richiesti, criticità, dati, controlli compensativi e fattibilità. CISA raccomanda di usare il catalogo KEV come input della prioritizzazione; NIST inquadra il patching come manutenzione preventiva da governare con responsabili tecnici e proprietari del servizio.
- Presenza nel catalogo KEV e attività di minaccia
- Raggiungibilità e percorso di attacco
- Impatto sul servizio e sui dati
- Controlli compensativi già efficaci
- Rischio operativo della modifica
Correggere, verificare e misurare
La remediation può essere patch, aggiornamento, modifica di configurazione, rimozione del componente, segmentazione o altra mitigazione. Ogni intervento segue test, approvazione, finestra, rollback e comunicazione proporzionati alla criticità del sistema.
La chiusura richiede una nuova verifica o un’evidenza equivalente: non basta che il ticket dichiari l’installazione. Le metriche utili distinguono vulnerabilità aperte per rischio e scadenza, tempo di presa in carico, tempo di correzione, riaperture, copertura degli asset e debito legato a sistemi fuori supporto.
Domande frequenti
Bisogna correggere prima tutte le vulnerabilità critiche?+
Non automaticamente. La gravità tecnica è importante, ma priorità e tempi devono includere sfruttamento reale, esposizione, servizio, dati, controlli e rischio della modifica.
Quando un rilievo può essere chiuso?+
Quando la correzione o mitigazione è stata applicata e verificata, oppure quando un rischio residuo è stato esplicitamente approvato con responsabile, motivazione e scadenza.
Qual è la metrica più utile?+
Non esiste una sola metrica. È utile combinare copertura degli asset, scadenze rispettate per rischio, tempo di remediation, eccezioni aperte e verifiche concluse.