Che cosa fa, e che cosa non fa
Un vulnerability assessment esamina i vostri sistemi e produce l’elenco delle debolezze già note e già catalogate: versioni non aggiornate, configurazioni deboli, servizi esposti che non dovrebbero esserlo, credenziali predefinite mai cambiate.
È il modo più efficiente di rispondere a una domanda semplice e scomoda: se qualcuno guardasse la nostra azienda dall’esterno adesso, cosa vedrebbe?
Non fa altre due cose, e conviene saperlo prima. Non prova a entrare — quello è il penetration test, che è un lavoro diverso. E non trova vulnerabilità sconosciute: cerca quelle catalogate, che sono anche quelle sfruttate nella stragrande maggioranza degli attacchi reali.
Perché viene prima del penetration test
I due termini vengono usati come sinonimi e la confusione porta ad acquistare la cosa sbagliata, quasi sempre la più costosa.
Commissionare un penetration test a un’azienda che non ha mai fatto un censimento significa pagare persone competenti per scoprire cose che uno strumento avrebbe trovato da solo. Il risultato è un documento che elenca server non aggiornati e password predefinite, con una parcella da simulazione di attacco.
L’ordine sensato è: prima si censisce, si sistema quello che emerge, poi — se il contesto lo giustifica — si mette alla prova quello che resta.
Il lavoro vero comincia dopo l’elenco
Uno strumento su una rete aziendale normale produce centinaia di segnalazioni. Chiuderle tutte è impossibile e non serve, perché la gravità che lo strumento dichiara è calcolata in astratto e non conosce la vostra azienda.
Un esempio concreto: una vulnerabilità classificata critica su un server che non è raggiungibile da nessuno all’infuori della rete interna conta meno di una classificata media su un servizio pubblicato su Internet. Uno strumento non lo sa; una persona che ha guardato la vostra infrastruttura sì.
È per questo che la parte che si paga non è la scansione — quella è quasi gratuita — ma la lettura ragionata: il riordino secondo il rischio reale, e la distinzione fra ciò che va chiuso subito, ciò che si pianifica e ciò che si può accettare sapendo di accettarlo.
Senza questo passaggio succede sempre la stessa cosa: si passano settimane su segnalazioni innocue mentre resta aperto un accesso da remoto senza secondo fattore.
Serve ripeterlo, altrimenti fotografa un giorno
Le vulnerabilità nuove escono ogni settimana e l’infrastruttura cambia di continuo. Un esame singolo dice com’erano le cose quel giorno.
Il valore sta nel confronto fra un ciclo e il successivo, e la misura utile non è quante ne abbiamo — un numero senza significato assoluto — ma quante di quelle critiche sono ancora aperte rispetto alla volta scorsa. È una misura di processo: dice qualcosa su come l’azienda è gestita, non solo su come è configurata.
Come lo facciamo
Il perimetro si concorda prima. Quali sistemi, da quale posizione — dall’esterno, dall’interno, come utente autenticato — e cosa è escluso. Un esame senza perimetro definito produce risultati che non si possono confrontare nel tempo.
I sistemi fragili si trattano con attenzione. Alcuni controlli possono sollecitare apparati vecchi. Si identificano prima e si esaminano in finestre concordate, invece di scoprirlo fermando qualcosa.
Il documento è leggibile da chi decide. Non lo scarico dello strumento: le criticità in ordine di rischio reale, cosa fare per ciascuna, e quanto costa in tempo.
C’è una verifica dopo i rimedi. Altrimenti resta aperta la domanda che conta di più, cioè se il problema sia stato chiuso davvero.
Il resto
Vedi anche la cybersecurity e NIS2 per il quadro di governance, la sicurezza informatica per la parte operativa e l’incident response per cosa fare quando qualcosa è già successo.
Il primo passo
Concordiamo il perimetro e vi diciamo che cosa aspettarvi, prima di cominciare. La prima valutazione è gratuita e senza impegno.