Il vulnerability assessment continuo di Defensio scansiona gli asset che esponi su internet (domini, IP pubblici, applicazioni web e API) con cadenza giornaliera, settimanale o mensile. Trova porte aperte, CVE senza patch, falle web e credenziali trapelate, le ordina per rischio reale e genera un report PDF con evidenze e remediation da consegnare a un auditor, un assicuratore o un cliente. Niente da installare, dati in datacenter italiani, piani da 59 €/mese IVA esclusa, attivazione online.
Un vulnerability assessment è la verifica sistematica delle debolezze di sicurezza nei sistemi di un'azienda: software non aggiornato, configurazioni deboli, servizi esposti per errore, falle nelle applicazioni web. Il risultato è un elenco di vulnerabilità classificate per gravità, con le indicazioni per correggerle. È la verifica di sicurezza informatica che un'azienda dovrebbe fare per prima, ed è la prima che ti viene chiesta quando devi dimostrare di gestire il rischio.
Il vulnerability assessment esterno si concentra sul perimetro esposto su internet, cioè su tutto ciò che un attaccante raggiunge senza credenziali: domini, IP pubblici, siti e applicazioni web, API, server di posta, servizi in cloud. È da lì che partono gli attacchi opportunistici.
Il vulnerability assessment tradizionale si fa una volta, o a calendario. Nel frattempo il perimetro cambia: un sottodominio nuovo, una CVE pubblicata con un exploit già in circolazione. Ogni anno vengono pubblicate decine di migliaia di nuove CVE: un assessment ogni sei mesi descrive i rischi di ieri.
Il vulnerability assessment continuo elimina questo scarto: le scansioni si ripetono in automatico con cadenza giornaliera, settimanale o mensile, i sottodomini e gli asset dimenticati vengono enumerati di continuo, ogni correzione viene confermata da una nuova scansione. La prova che ti chiedono non va ricostruita prima dell'audit: esiste già, datata.
Se sei su questa pagina, probabilmente qualcuno ti ha chiesto una prova: un cliente con un questionario, un assicuratore, un auditor, un consulente per la NIS2. Tutti accettano la stessa evidenza: un vulnerability assessment recente, ripetuto e documentato. Se sei una PMI, il voucher cybersecurity MIMIT copre il 50% della spesa, con domande dal 10 novembre 2026.
La direttiva NIS2 impone ai soggetti in perimetro misure di gestione del rischio (articolo 21) che comprendono la gestione delle vulnerabilità e la sicurezza della catena di fornitura: così anche una PMI non soggetta direttamente riceve la richiesta dal cliente che lo è. La scansione continua copre il lato analisi del rischio e gestione delle vulnerabilità di questi obblighi. Questa pagina copre lo strumento tecnico: per la parte organizzativa (governance, policy, formazione, gestione degli incidenti) Fidem gestisce il programma completo di adeguamento NIS2.
Chi è certificato ISO/IEC 27001, o sta per esserlo, deve dimostrare di gestire le vulnerabilità tecniche in modo sistematico (controllo 8.8 dell'Annex A, edizione 2022). L'auditor non si accontenta di una policy: vuole vedere scansioni, date, rilevamenti e chiusure. Un vulnerability assessment continuo produce questa traccia da solo.
L'articolo 32 del GDPR richiede misure tecniche adeguate al rischio e una procedura per testare e valutare regolarmente la loro efficacia. Un vulnerability assessment ripetuto dimostra quella regolarità e, in caso di data breach, documenta che le misure erano in atto.
I questionari che i clienti mandano ai fornitori e i moduli delle polizze cyber pongono la stessa domanda: con quale frequenza esegui vulnerability assessment sui sistemi esposti, e come gestisci le vulnerabilità critiche. Allegare l'ultimo report, invece di una dichiarazione, cambia la qualità della risposta. È obbligatorio? Nessuna norma lo cita per nome, ma tutte richiedono una gestione documentata e ripetuta delle vulnerabilità: per questo è la prova standard che ti viene chiesta.
Defensio verifica qualsiasi asset esposto su internet che possiedi o che sei esplicitamente autorizzato a testare: se ha un IP pubblico o un record DNS, può scansionarlo. Come target puoi inserire domini, IP pubblici, siti e applicazioni web, API, istanze VPS, servizi in cloud, server di posta, load balancer, firewall e gateway IoT.
Sull'infrastruttura esposta la piattaforma esegue oltre 115.000 controlli automatici su CVE note, patch mancanti, configurazioni deboli e software obsoleto, più fingerprinting tecnologico, audit SSL/TLS (cipher suite, protocolli, catene di certificati) e rilevamento basato su migliaia di template mirati a CVE e configurazioni errate. Insieme, queste capacità fanno di Defensio una piattaforma di attack surface management del perimetro esterno, tutte incluse in ogni piano.
Il web vulnerability assessment testa applicazioni web e API dall'esterno, in modo dinamico (DAST): injection, XSS, autenticazione debole, API insicure e le altre categorie della OWASP Top 10, per decine di classi di vulnerabilità. Il fingerprinting tecnologico associa le vulnerabilità note a ciò che è effettivamente esposto, così i risultati riguardano il software che usi davvero.
Dal piano Professional, API e webhook permettono di avviare una scansione dalla pipeline CI/CD dopo ogni deploy e di consumare i risultati via API: il vulnerability assessment online diventa un controllo di rilascio, non solo un controllo periodico.
Non c'è nulla da installare: la piattaforma lavora dall'esterno, senza agent sui tuoi sistemi, e si attiva dal portale subito dopo l'acquisto online.
Su richiesta attivi il modulo di offensive testing potenziato dall'AI: un framework multi-agente che testa e valida attivamente le vulnerabilità rilevate, accorciando la distanza tra scansione e penetration test. Tutta l'elaborazione AI gira on-premise su infrastruttura Fidem in Italia, isolata dalla rete, senza chiamate verso cloud o API esterni.
Il documento che consegni è un report PDF esportabile con un clic, basato su evidenze. Per ogni rilevazione riporta gravità, evidenza e passo di remediation: è ciò che serve a un auditor ISO 27001, a chi valuta un questionario fornitori o a chi istruisce una polizza cyber.
I report vengono generati in automatico, validati sui dati e consegnati a calendario: la prova esiste già quando arriva la richiesta. Ogni scansione ha una data, quindi puoi mostrare l'andamento nel tempo, ed è questo che distingue un vulnerability assessment continuo da una singola verifica.
La differenza tra vulnerability assessment e penetration test è semplice: sono due esercizi che si completano. Defensio non è un penetration test e non lo sostituisce: è la baseline di sicurezza sempre attiva, quella che gira tra un pentest e l'altro. Sono tre strumenti diversi: la domanda utile è quale ti serve adesso, e con quale frequenza.
Il vulnerability assessment una tantum fotografa il perimetro a una data: un buon punto di partenza, che invecchia nel giro di settimane. Il vulnerability assessment continuo ripete la verifica in automatico e tiene la prova aggiornata. Il penetration test è un esercizio manuale, condotto da professionisti in un momento preciso, che va in profondità su obiettivi definiti: una scansione non lo sostituisce, i due si completano.
Defensio copre il vulnerability assessment continuo e, con il modulo di offensive testing, valida attivamente ciò che trova. Quando invece ti serve un vulnerability assessment professionale con verifica manuale o un penetration test manuale, lo esegue Fidem, il team che sviluppa Defensio. La tabella riassume la differenza tra vulnerability assessment una tantum, continuo e penetration test.
| Criterio | Vulnerability assessment una tantum | Vulnerability assessment continuo (Defensio) | Penetration test |
|---|---|---|---|
| Obiettivo | Le vulnerabilità note in un momento preciso | Un elenco sempre aggiornato, con la prova che ogni correzione è avvenuta | Dimostrare che una catena di debolezze è sfruttabile |
| Chi lo esegue | Un tecnico con strumenti automatici | Piattaforma self-service, con validazione AI on demand | Professionisti, manualmente |
| Quando serve | Fotografia puntuale | Sempre: la baseline tra un penetration test e l'altro | Per validare le difese in profondità |
| Frequenza | Una volta, o a calendario | Giornaliera, settimanale o mensile, più scansioni on demand illimitate | In un momento preciso, su incarico |
| Metodo | Scansione automatica | Scansione automatica, correlazione e prioritizzazione con AI, offensive testing on demand | Manuale, condotto da professionisti |
| Ampiezza e profondità | Tutto il perimetro, alla data della scansione | Tutto il perimetro, aggiornato di continuo con i nuovi sottodomini e asset | Obiettivi definiti, in profondità |
| Prova che consegni | Un report con una data | Report datati e andamento della postura nel tempo | Report del test con le vulnerabilità sfruttate |
| Come si acquista | Preventivo | Online, da 59 €/mese IVA esclusa | Preventivo, su incarico |
Il prezzo del vulnerability assessment è pubblico, e paghi per il volume, non per le funzionalità: tutte le capacità di scansione sono incluse in ogni piano. Starter 59 €/mese, Professional 149 €/mese, MSP da 299 €/mese, IVA esclusa. Con la fatturazione annuale paghi dodici mesi al prezzo di dieci: 590 €, 1.490 € e da 2.990 € all'anno.
I piani si distinguono per numero di target (domini e IP) e di indirizzi email monitorati, e per le integrazioni: API e webhook per la pipeline CI/CD dal piano Professional, report white-label e dashboard multi-tenant nel piano MSP. I pacchetti aggiuntivi (5 target a 12 €/mese, 10 indirizzi email a 10 €/mese) si sommano a qualsiasi piano senza cambiarlo.
Il piano cloud Defensio (SECaaS) si acquista online e si attiva dal portale. Per un deployment personalizzato, licenze a volume o l'opzione on-premise, contattaci.
Tutte le capacità di scansione incluse in ogni piano. Nessuna funzione bloccata. Paghi per il volume, non per le funzionalità.
Tutto il piano Starter, più:
Tutto il piano Professional, più:
Aggiungi capacità a qualsiasi piano, senza cambiare piano. Clicca un piano qui sopra per selezionarlo.
Ti serve un deployment personalizzato, licenze a volume o un'opzione on-premise? Contattaci.
Defensio è pensato per chi deve dimostrare, non solo fare: aziende con qualche decina di asset esposti e senza un team di sicurezza dedicato.
Se vuoi la stessa copertura con pieno controllo operativo e dei dati sulla tua infrastruttura, la versione on-premise è Defensio XT, l'attack surface management on-premise. Per ciò che accade dentro la rete, la sonda di rete passiva osserva il traffico senza agent; per rilevazione e risposta gestite c'è il SOC as a service.
Un vulnerability assessment è la ricerca sistematica delle debolezze di sicurezza nei sistemi di un'azienda, classificate per gravità e con indicazioni di correzione. Sul perimetro esposto su internet trova porte aperte e servizi dimenticati (RDP, SSH, pannelli di amministrazione), software obsoleto e CVE senza patch, falle nelle applicazioni web e nelle API (injection, XSS, autenticazione debole), TLS e security header deboli, sottodomini e ambienti di test dimenticati, configurazioni DNS ed email errate, credenziali aziendali comparse nei data breach.
Il vulnerability assessment una tantum descrive il perimetro a una data e invecchia in fretta: ogni anno vengono pubblicate decine di migliaia di nuove CVE, e ogni nuovo sottodominio cambia la superficie esposta. Il vulnerability assessment continuo ripete le scansioni in automatico, enumera di continuo i nuovi asset e conferma ogni correzione con una nuova scansione. La differenza pratica è la prova: non un report vecchio di mesi, ma una serie di report datati che documenta la gestione delle vulnerabilità nel tempo.
I prezzi sono pubblici e tutte le capacità di scansione sono incluse in ogni piano. Starter: 59 €/mese, 5 target (domini e IP) e 5 indirizzi email monitorati, scansioni pianificate e avvisi email, report pronti per gli audit; 590 € con fatturazione annuale. Professional: 149 €/mese, 10 target e 15 indirizzi email, API e webhook per la pipeline CI/CD; 1.490 € all'anno. MSP: da 299 €/mese, da 20 a 250 target e da 50 a 500 indirizzi email, report white-label e dashboard multi-tenant; da 2.990 € all'anno. Pacchetti aggiuntivi su qualsiasi piano: 5 target a 12 €/mese, 10 indirizzi email a 10 €/mese. Prezzi IVA esclusa.
Sì, e non solo. Un target è qualsiasi asset esposto su internet che possiedi o che sei esplicitamente autorizzato a testare: domini, IP pubblici, siti e applicazioni web, API, istanze VPS, servizi in cloud, server di posta, load balancer, firewall e gateway IoT. I target si raggruppano per business unit, cliente o area geografica, e i test attivi vengono eseguiti solo verso asset che hai autorizzato per iscritto.
No. Ti servono un browser e l'autorizzazione scritta a testare gli asset che inserisci. Il vulnerability assessment di Defensio opera dall'esterno e non richiede agent, sensori o software sui sistemi da verificare. L'attivazione è immediata: acquisti il piano online, accedi al portale, inserisci i target e avvii la prima scansione. Se preferisci che i motori di scansione girino sulla tua infrastruttura, esiste la versione on-premise Defensio XT, che si installa su una VPS o un server dedicato e non tocca comunque i sistemi scansionati.
Nessuna delle tre norme cita il vulnerability assessment con questo nome, ma tutte richiedono una gestione delle vulnerabilità documentata e ripetuta. La NIS2 (articolo 21) chiede misure di gestione del rischio che includono gestione delle vulnerabilità e sicurezza della catena di fornitura; la ISO/IEC 27001:2022 prevede il controllo 8.8 sulla gestione delle vulnerabilità tecniche; l'articolo 32 GDPR richiede di testare e valutare regolarmente l'efficacia delle misure. In tutti i casi il vulnerability assessment ripetuto è l'evidenza che auditor, clienti e assicuratori si aspettano.
Sì, è progettato per essere consegnato. Ogni rilevazione riporta gravità, evidenza e passo di remediation, e il report si esporta in PDF con un clic nei formati executive, tecnico, di conformità e personalizzato. Il formato di conformità è allineato a ISO 27001 e agli obblighi che la NIS2 impone alla catena di fornitura. I report sono datati e generati a calendario, quindi puoi allegare anche l'andamento nel tempo. Nel piano MSP i report sono white-label.
Esclusivamente nell'Unione Europea. Dashboard, database e risultati sono ospitati su datacenter italiani certificati ACN (ISO 27001, 27017, 27018); i motori di scansione operano su infrastruttura Fidem certificata ISO 27001:2022 e ISO 9001:2015. L'analisi AI gira on-premise in Italia, isolata dalla rete, senza chiamate verso cloud o API esterni. Nulla viene trasferito in un paese terzo e nessun dato è condiviso con terze parti. I tenant sono separati in modalità fail-closed: nella dashboard multi-tenant ogni cliente vede solo i propri asset. Defensio è sviluppato da Fidem S.r.l., Verona, registrato a CSA STAR Level 1; questionari di sicurezza, DPA e richieste di audit sono benvenuti.
Registrati su app.defensio.technology, inserisci domini e IP e avvia la prima scansione: al termine hai il report PDF da consegnare: gravità, evidenze e remediation per ogni rilevazione, pronto per l'auditor, l'assicuratore o il cliente che te lo ha chiesto. Niente da installare, dati in datacenter italiani, piani da 59 €/mese IVA esclusa. Per più di 250 target, un parco clienti come MSP o l'opzione on-premise, parliamone: chi risponde è chi ha scritto il codice.
Complementare al SECaaS: la scansione esterna continua di Defensio XT.