Vulnerability assessment per PMI: cos'è e ogni quanto farlo

Ogni software contiene difetti, e alcuni diventano porte d'ingresso per gli attaccanti. Il problema, per una PMI, non è sapere che esistono vulnerabilità in generale, ma sapere quali riguardano i propri sistemi e quali vanno corrette per prime. Il vulnerability assessment serve esattamente a questo.

Cos'è un vulnerability assessment

È un'analisi sistematica dell'infrastruttura IT per individuare punti deboli noti: software non aggiornato, servizi esposti senza necessità, configurazioni insicure, credenziali predefinite mai cambiate. Si svolge con strumenti di scansione automatica, guidati e interpretati da un tecnico, e produce un elenco di vulnerabilità classificate per gravità con le indicazioni per correggerle.

A differenza di un penetration test, il vulnerability assessment non cerca di sfruttare le vulnerabilità per entrare davvero: le individua e le misura. È quindi meno invasivo, più rapido e adatto a essere ripetuto con regolarità. Le differenze sono approfondite in penetration test e vulnerability assessment a confronto.

Cosa viene analizzato

Un assessment completo per una PMI di solito comprende:

• perimetro esterno: indirizzi IP pubblici, firewall, VPN, sito web, servizi raggiungibili da internet;
• rete interna: server, computer, stampanti, NAS, dispositivi di rete, sistemi industriali collegati;
• sistemi operativi e applicazioni: versioni non più supportate, aggiornamenti mancanti;
• configurazioni: protocolli obsoleti, condivisioni aperte, account con privilegi eccessivi;
• servizi cloud, quando previsto: impostazioni di sicurezza di Microsoft 365 o Google Workspace.

Ogni quanto farlo

Non esiste un intervallo valido per tutti, ma alcuni principi aiutano a decidere:

• scansioni periodiche e regolari, ad esempio trimestrali, sono un buon punto di partenza per molte PMI; le aziende più esposte o soggette a obblighi normativi possono aver bisogno di una cadenza più frequente o di una scansione continua;
• dopo ogni cambiamento significativo: nuovo firewall, nuovo server, migrazione al cloud, apertura di un servizio verso l'esterno;
• dopo la pubblicazione di vulnerabilità critiche che riguardano tecnologie in uso;
• prima di un audit o di una verifica richiesta da un cliente, un'assicurazione o dalla normativa.

Una singola scansione fotografa la situazione di un momento. Il valore vero sta nella ripetizione, che mostra se le correzioni sono state fatte e se ne sono emerse di nuove.

Come leggere i risultati

Il primo report spesso spaventa: decine o centinaia di voci. Ecco come interpretarlo:

1. Gravità: le vulnerabilità sono di solito classificate come critiche, alte, medie, basse e informative, spesso con un punteggio CVSS. È un'indicazione tecnica, non ancora una priorità aziendale.
2. Esposizione: una vulnerabilità alta su un sistema raggiungibile da internet è più urgente della stessa vulnerabilità su un PC isolato.
3. Sfruttabilità: esistono già strumenti pubblici per sfruttarla? Gli attaccanti la stanno usando attivamente? Questo cambia molto la priorità.
4. Importanza del sistema: un server gestionale o il controller di dominio pesano più di una stampante di reparto.
5. Raggruppamento: molte voci hanno la stessa causa. Un solo aggiornamento del sistema operativo può chiudere decine di righe del report.

Il risultato utile non è il report in sé, ma un piano di rientro: cosa si corregge subito, cosa entro qualche settimana, cosa si accetta consapevolmente e perché.

Errori comuni da evitare

• fare una sola scansione e archiviare il report;
• correggere solo le vulnerabilità facili ignorando quelle critiche più complesse;
• non verificare con una nuova scansione che le correzioni abbiano funzionato;
• escludere dispositivi "minori" come stampanti, telecamere o apparati di produzione;
• non collegare l'assessment al patch management, che è lo strumento quotidiano per mantenere i sistemi aggiornati.

Vulnerability assessment e NIS2

Per le aziende che rientrano nella NIS2, recepita in Italia con il D.Lgs. 138/2024, la gestione delle vulnerabilità fa parte delle misure di gestione del rischio richieste. Per gli obblighi specifici e le modalità applicabili alla propria realtà è opportuno fare riferimento alle indicazioni dell'ACN o a un consulente.

Come può aiutarti Area GUI

Area GUI esegue vulnerability assessment periodici su perimetro esterno e rete interna, con report comprensibili e un piano di rientro concordato, collegato al patch management. Scopri il servizio di Vulnerability Assessment o contattaci per pianificare una prima analisi.