Il vulnerability assessment cerca in ampiezza: elenca in modo ripetibile tutte le debolezze note dei sistemi che analizza, e le ordina per priorità. Il penetration test cerca in profondità: una persona prova a sfruttarle davvero, le concatena e dimostra fin dove arriva. Il primo si ripete di continuo ed è la base; il secondo si fa a cadenza larga e serve a validare. Se devi sceglierne uno per iniziare, si comincia sempre dal vulnerability assessment: un penetration test su un perimetro mai scansionato spende giorni di lavoro specialistico per trovare cose che una scansione trova in un'ora.
Vulnerability assessment. Analisi sistematica di un perimetro per individuare le vulnerabilità note, con verifica della loro presenza e classificazione per gravità e priorità di intervento. È in larga parte automatizzabile, quindi ripetibile a costo marginale basso, e produce un esito confrontabile nel tempo. Risponde alla domanda: che cosa ho di vulnerabile, adesso?
Penetration test. Simulazione autorizzata di un attacco condotta da una persona, con obiettivi concordati, che prova a sfruttare le debolezze, a concatenarle e a raggiungere un risultato concreto, per esempio l'accesso a un sistema o a un dato. Non è automatizzabile nella parte che conta. Risponde alla domanda: che cosa riesce davvero a fare qualcuno che ci prova?
L'errore più comune è trattarle come due prodotti alternativi da confrontare a preventivo. Sono due momenti diversi dello stesso programma, e chi vende l'una al posto dell'altra sta rispondendo alla domanda sbagliata.
La tabella tiene insieme le differenze che contano quando si decide.
| Vulnerability assessment | Penetration test | |
|---|---|---|
| Domanda a cui risponde | Che cosa ho di vulnerabile adesso | Che cosa riesce davvero a fare un attaccante |
| Approccio | Ampiezza: tutto il perimetro, in modo sistematico | Profondità: pochi percorsi, portati fino in fondo |
| Esecuzione | In larga parte automatizzata e ripetibile | Condotta da una persona, non automatizzabile nella parte che conta |
| Frequenza tipica | Continua, da giornaliera a mensile | Annuale, o dopo un cambiamento rilevante |
| Durata | Minuti o ore per ciclo, in automatico | Da alcuni giorni ad alcune settimane |
| Modello di costo | Abbonamento sul perimetro, costo per ciclo quasi nullo | Giornate di specialista, il costo si ripete a ogni test |
| Trova le falle logiche dell'applicazione | No | Sì |
| Trova il servizio esposto per errore la settimana scorsa | Sì, al ciclo successivo | Solo se cade dentro la finestra del test |
| Concatena più debolezze | No | Sì, ed è il suo valore principale |
| Mette alla prova il rilevamento e la risposta | No | In parte, del tutto in un esercizio di red team |
| Esito | Elenco ordinato per priorità, confrontabile con il ciclo precedente | Rapporto narrativo con i percorsi seguiti e le prove |
| Falsi positivi | Possibili, si riducono con la verifica e la deduplicazione | Praticamente assenti: quanto è scritto è stato fatto |
| Evidenza per revisori e assicuratori | Cronologia continua di controlli e correzioni | Rapporto puntuale con data |
La distinzione non è il livello di bravura: è la classe di problema.
Il vulnerability assessment trova, e il penetration test da solo può non trovare:
Il penetration test trova, e il vulnerability assessment non troverà mai:
Da qui discende la regola pratica: la scansione continua tiene basso il numero di cose banali, così il tempo costoso del penetration test si spende sui problemi che solo una persona può trovare.
I due modelli economici sono diversi in natura, e questo spiega perché si usano con cadenze diverse.
Il penetration test si paga a giornate di specialista. Un test su un perimetro esterno contenuto si misura in giorni; un'applicazione web complessa o un ambiente interno articolato in settimane, a cui si aggiungono la fase di preparazione, la stesura del rapporto e il retest dopo le correzioni. Il costo non scende ripetendolo, perché ogni volta serve di nuovo il tempo della persona. Per questo la cadenza tipica è annuale, o legata a un cambiamento architetturale importante, al rilascio di un'applicazione nuova o a una richiesta contrattuale.
Il vulnerability assessment in forma continua si paga ad abbonamento sul perimetro monitorato. La prima esecuzione e la centesima costano uguale, quindi non c'è ragione economica per diradarlo, ed è questo che lo rende adatto a fare da base permanente. Sul vulnerability assessment continuo i piani partono da 59 € al mese, IVA esclusa.
La conseguenza sul budget è netta: la scansione continua è una spesa corrente piccola e prevedibile, il penetration test è una voce annuale più grande. Chi ha un budget unico e deve decidere, mette in piedi prima la base continua e programma il test quando la base ha smesso di restituire cose ovvie.
Qui si concentra la confusione, perché quasi nessun testo nomina le due attività con questi nomi.
Il caso in cui il penetration test è davvero obbligatorio è quello contrattuale: un cliente grande, un capitolato di gara, un regolamento di settore. In quel caso la domanda non è se farlo, ma con quale perimetro e ogni quanto.
Alcune parole ricorrono e vale la pena distinguerle, perché cambiano il prezzo di un preventivo senza che sia sempre chiaro perché.
La sequenza che funziona nella maggior parte delle aziende, dalla prima settimana in avanti.
Per il penetration test vero e proprio, che è lavoro di persone, la parte di consulenza è di Fidem, che progetta e conduce l'attività; i prodotti Defensio coprono la base continua e le evidenze che restano fra un test e l'altro.
Cinque domande separano un'offerta seria da un elenco di risultati automatici venduto come test.
La stessa serietà vale al contrario: se un fornitore ti propone un penetration test annuale e nient'altro, ti sta lasciando scoperto per i restanti undici mesi e mezzo.
Il vulnerability assessment analizza in ampiezza un perimetro e restituisce l'elenco ordinato per priorità delle vulnerabilità note che vi trova; è in larga parte automatico, quindi ripetibile di continuo a costo marginale basso. Il penetration test è una simulazione di attacco condotta da una persona, che prova a sfruttare quelle debolezze, a concatenarle e a dimostrare fin dove si arriva; costa giornate di specialista e si esegue a cadenza larga. Il primo dice cosa è vulnerabile, il secondo cosa è realmente sfruttabile.
Il vulnerability assessment, quasi sempre. Un penetration test su un perimetro mai scansionato consuma giornate costose per trovare sistemi non aggiornati e servizi esposti per errore, cioè esattamente le cose che una verifica automatica trova in un'ora. Si mette in piedi la base continua, si correggono le cose evidenti e si programma il penetration test quando la base ha smesso di restituire risultati banali. L'eccezione è il caso in cui un contratto o una gara impongano il test entro una data.
La cadenza tipica è annuale, e in più dopo ogni cambiamento architetturale rilevante: una nuova applicazione pubblicata, una migrazione, l'apertura di un accesso per un fornitore, una fusione. Alcuni contratti e capitolati fissano la frequenza in modo esplicito. Fra un test e l'altro la copertura non può restare ferma, perché il perimetro cambia ogni settimana: è la verifica continua a coprire quell'intervallo.
Si quota a giornate di specialista, quindi il prezzo dipende dall'ampiezza del perimetro, dal tipo di bersaglio e da quante informazioni riceve chi esegue il test. Un perimetro esterno contenuto si misura in giorni, un'applicazione web complessa o una rete interna articolata in settimane, a cui vanno aggiunti preparazione, rapporto e retest. Diffida dei prezzi fissi molto bassi: sotto una certa soglia quello che ricevi è l'output di uno strumento automatico impacchettato come test.
Nessuna delle norme generali lo impone con quel nome. GDPR articolo 32 chiede una procedura per testare e valutare regolarmente l'efficacia delle misure, NIS2 articolo 21 include la gestione delle vulnerabilità e la valutazione dell'efficacia, ISO/IEC 27001 chiede un processo continuo di gestione delle vulnerabilità tecniche. Tutte insistono sulla regolarità più che sul singolo test. L'obbligo puntuale nasce di solito da un contratto, da un capitolato di gara o da un regolamento di settore.
È l'acronimo di Vulnerability Assessment and Penetration Testing e indica le due attività offerte insieme come pacchetto. Non è una terza metodologia. Quando ricevi un preventivo VAPT conviene chiedere come si divide: quante giornate di lavoro umano comprende, su quale perimetro, se la parte di scansione è una tantum o continua e se il retest dopo le correzioni è incluso. Sono le risposte che distinguono un programma da un documento.
No, e nessun fornitore serio lo promette. Fotografa un perimetro concordato in un periodo definito, con il tempo e le informazioni disponibili. Il giorno dopo la consegna il risultato comincia a invecchiare: un aggiornamento mancato, un servizio pubblicato o una regola di rete modificata cambiano la superficie. È la ragione per cui il test convive con una verifica ripetuta, e non la sostituisce.
Per molte PMI è il punto di partenza corretto e copre la maggior parte degli obblighi regolamentari e delle domande dei questionari. Quello che resta scoperto sono le falle logiche delle applicazioni, le catene di debolezze e la prova della capacità di rilevare un attacco: aree in cui solo una persona che ci prova davvero produce un risultato. Se pubblichi un'applicazione che tratta dati sensibili o pagamenti, il test periodico non è rinviabile a lungo.
La verifica continua del perimetro esterno tiene basso il numero di cose ovvie e lascia al lavoro umano i problemi che solo una persona trova. Guarda il vulnerability assessment continuo, da 59 € al mese IVA esclusa.