A differenza di una scansione automatica, il penetration test concatena le debolezze: usa una credenziale trovata in un punto per accedere altrove, sfrutta una configurazione permissiva per allargare i privilegi, e arriva dove un attaccante reale arriverebbe. Il risultato non è un elenco di rischi teorici ma un percorso dimostrato.
Ha senso quando l’igiene di base è già a posto. Farlo su un’infrastruttura senza aggiornamenti e senza secondo fattore produce un rapporto prevedibile e costoso: si sapeva già che sarebbero entrati.
Perché conta per un’azienda
Serve soprattutto a due cose: dimostrare a un committente o a un’assicurazione che la verifica è stata fatta, e convincere una direzione scettica con una prova invece che con un’opinione.
L’errore che vediamo più spesso
Va concordato per iscritto nel perimetro e nei tempi, e va comunicato a chi gestisce i sistemi. Un test non annunciato che fa scattare le difese durante l’orario di produzione crea un incidente vero per simularne uno finto.