Penetration test vs vulnerability assessment: quale scegliere

Quando un cliente, un'assicurazione o un auditor chiede di "fare un test di sicurezza", molte aziende si trovano davanti a due termini usati spesso come sinonimi: vulnerability assessment e penetration test. Sono attività diverse, con obiettivi, costi e risultati diversi. Capire la differenza evita di comprare l'analisi sbagliata.

Vulnerability assessment: la mappa dei punti deboli

Il vulnerability assessment è un'analisi ampia e prevalentemente automatizzata, guidata da un tecnico, che cerca vulnerabilità note su tutti i sistemi in perimetro: server, computer, apparati di rete, servizi esposti su internet.

• Obiettivo: individuare il maggior numero possibile di debolezze note e classificarle per gravità.
• Approccio: in larghezza, su molti sistemi.
• Invasività: bassa; non si cerca di sfruttare le vulnerabilità.
• Frequenza: periodica, perché la situazione cambia ogni volta che esce una nuova vulnerabilità o si modifica l'infrastruttura.
• Risultato: un elenco prioritizzato di vulnerabilità con le relative correzioni.

Per approfondire come impostarlo e come leggerne il report, vedi la guida al vulnerability assessment per PMI.

Penetration test: la simulazione di un attacco reale

Il penetration test (o pentest) è una simulazione controllata di un attacco, condotta da specialisti che usano le stesse tecniche di un criminale, nei limiti concordati con l'azienda.

• Obiettivo: verificare se e fin dove un attaccante può arrivare, ad esempio dall'esterno fino ai dati del gestionale.
• Approccio: in profondità, su un perimetro definito, concatenando più debolezze.
• Invasività: maggiore; le vulnerabilità vengono effettivamente sfruttate, con regole e finestre temporali concordate.
• Frequenza: tipicamente occasionale, ad esempio annuale o dopo cambiamenti importanti.
• Risultato: un racconto tecnico del percorso d'attacco, delle prove raccolte e delle correzioni necessarie.

Il pentest può essere svolto con diversi livelli di informazione: black box (il tester parte da zero, come un attaccante esterno), grey box (ha alcune informazioni o credenziali di un utente normale), white box (ha accesso completo alla documentazione).

Le differenze in sintesi

	Vulnerability assessment	Penetration test
Domanda a cui risponde	Quali debolezze ho?	Un attaccante potrebbe davvero entrare? Fin dove?
Ampiezza	Molti sistemi	Perimetro mirato
Profondità	Superficiale, esteso	Approfondito, manuale
Rischio operativo	Basso	Da gestire con attenzione
Cadenza tipica	Periodica	Occasionale
Competenze	Tecnico con strumenti di scansione	Specialisti di sicurezza offensiva

Quale scegliere per la tua azienda

Nella maggior parte delle PMI l'ordine logico è questo:

1. Si parte dal vulnerability assessment, per avere una visione completa e correggere le debolezze più evidenti. Fare un pentest su un'infrastruttura piena di sistemi non aggiornati è poco efficiente: il tester troverà facilmente una strada, ma il risultato dirà poco più di quanto avrebbe detto una scansione.
2. Si rende l'assessment periodico, collegandolo al patch management.
3. Si aggiunge un penetration test quando l'igiene di base è sotto controllo, oppure quando serve una verifica specifica: un nuovo portale clienti, un'applicazione web sviluppata su misura, l'accesso remoto per i fornitori, una richiesta contrattuale.

In alcuni casi il pentest è utile anche prima: ad esempio se un cliente importante lo richiede esplicitamente o se l'azienda espone su internet applicazioni che trattano dati sensibili.

Cosa chiedere prima di commissionare un'analisi

• Perimetro chiaro: quali indirizzi, applicazioni e sedi sono inclusi, e cosa resta escluso.
• Regole d'ingaggio: orari, sistemi da non toccare, contatti di emergenza, soprattutto se ci sono impianti produttivi.
• Metodologia: deve essere descritta e riconosciuta, non un generico "facciamo dei test".
• Formato del report: una sintesi comprensibile per la direzione e una parte tecnica per chi deve correggere.
• Verifica delle correzioni: è prevista una nuova scansione o un retest dopo gli interventi?
• Riservatezza: i risultati sono informazioni sensibili e vanno trattati come tali.

Un tassello di un percorso più ampio

Né l'uno né l'altro rendono un'azienda sicura da soli: sono strumenti di misura. Il valore arriva quando i risultati si traducono in interventi concreti, aggiornamenti, configurazioni corrette e controlli ripetuti nel tempo. Per le aziende che rientrano nella NIS2, questo tipo di verifiche si inserisce nel più ampio processo di gestione del rischio informatico.

Come può aiutarti Area GUI

Area GUI esegue vulnerability assessment periodici e aiuta a definire perimetro e obiettivi di eventuali penetration test, accompagnando l'azienda nella correzione delle vulnerabilità emerse. Scopri il servizio di Vulnerability Assessment o contattaci per capire quale analisi è più adatta.