Differenza tra vulnerability assessment e penetration test

"Serve un penetration test" è una richiesta frequente. Approfondendo, però, emerge spesso che l'azienda vuole sapere quali vulnerabilità esistono, quanto risultano gravi e da dove cominciare a correggerle. Questo è un vulnerability assessment. Il penetration test risponde a un'altra domanda.

Comprendere la differenza evita di acquistare l'attività sbagliata o di attendersi risultati che quell'attività non può fornire.

Il vulnerability assessment

Il vulnerability assessment (VA) è una valutazione sistematica delle debolezze di un perimetro definito: server, postazioni, apparati di rete, servizi esposti su internet, applicazioni web.

La domanda a cui risponde: quali vulnerabilità esistono e quanto risultano gravi?

Un VA di qualità non coincide con l'esportazione di uno scanner. Le scansioni automatiche rappresentano il punto di partenza, ma producono anche falsi positivi e risultati fuori contesto. Il valore sta nella verifica manuale, nella classificazione con un sistema riconosciuto come il CVSS (Common Vulnerability Scoring System, mantenuto da FIRST) e nella lettura del rischio rispetto alla realtà aziendale.

Il risultato comprende un quadro ampio delle vulnerabilità sul perimetro concordato, la classificazione per gravità, le priorità di intervento e le indicazioni di remediation.

Il penetration test

Il penetration test (PT) è una simulazione controllata di attacco. Non si limita a individuare una vulnerabilità: tenta di sfruttarla, entro regole concordate, per capire fin dove potrebbe spingersi un attaccante.

La domanda a cui risponde: quella debolezza è davvero sfruttabile, e con quali conseguenze?

Per le applicazioni web un riferimento metodologico diffuso è la OWASP Web Security Testing Guide (WSTG), mentre la OWASP Top 10 descrive le categorie di rischio più ricorrenti, come controllo degli accessi difettoso o configurazioni errate.

Il risultato comprende la prova della sfruttabilità di alcune vulnerabilità, la descrizione dei percorsi di attacco possibili ed evidenze concrete per la direzione.

Le differenze in sintesi

• Obiettivo: il VA individua e classifica le vulnerabilità; il PT verifica se e come risultano sfruttabili.
• Ampiezza: il VA copre tutto il perimetro concordato; il PT si concentra su sistemi o scenari selezionati.
• Profondità: il VA offre una profondità media, con verifica manuale; il PT una profondità elevata, con tentativi di sfruttamento.
• Impatto sui sistemi: basso per il VA; da pianificare con attenzione per il PT.
• Frequenza tipica: periodica per il VA, ad esempio semestrale; legata a eventi o scenari specifici per il PT.

In breve: il VA fornisce la mappa, il PT verifica alcuni percorsi su quella mappa.

Quale attività serve

Il vulnerability assessment come primo passo

Il VA è indicato quando non è mai stata svolta una valutazione strutturata della sicurezza tecnica, quando occorre dimostrare la gestione delle vulnerabilità (per un assessment TISAX®, per la NIS 2 o per un sistema ISO/IEC 27001), quando serve un punto di partenza misurabile o quando i sistemi risultano numerosi e occorre capire dove concentrare le risorse.

Per la maggior parte delle PMI il VA è il primo passo corretto. Un penetration test su un'infrastruttura mai valutata rischia di individuare con maggiore dispendio problemi che un VA avrebbe evidenziato prima.

Quando aggiungere un penetration test

Il PT è utile quando il VA ha rilevato vulnerabilità gravi di cui occorre verificare la sfruttabilità, quando esistono servizi critici esposti su internet (portali clienti, VPN, applicazioni web), dopo l'introduzione di una nuova infrastruttura o di un cambiamento architetturale rilevante, oppure quando la direzione necessita di una dimostrazione concreta del rischio per decidere gli investimenti.

Il legame con TISAX, NIS 2 e ISO/IEC 27001

Nessuno di questi schemi chiede un "pentest" in astratto. Chiedono di gestire le vulnerabilità tecniche in modo sistematico e di verificare l'efficacia delle misure. La ISO/IEC 27001:2022 dedica un controllo dell'Annex A alla gestione delle vulnerabilità tecniche, la NIS 2 include la gestione delle vulnerabilità tra le misure di gestione del rischio e il catalogo VDA ISA contiene requisiti analoghi. Un VA periodico, con risultati classificati e un piano di rientro tracciato, è un'evidenza utile in tutti questi contesti.

Il servizio di General Tech di Rosario Zappalà

Il servizio è svolto da Rosario Zappalà, consulente indipendente con competenze Red Team e Blue Team. Ogni attività parte da un'autorizzazione formale scritta del titolare degli asset e resta entro il perimetro concordato. Le fasi comprendono definizione del perimetro, analisi degli asset, scansioni con strumenti professionali, verifica manuale con riduzione dei falsi positivi, classificazione CVSS v3.1 con analisi del rischio contestualizzata e, quando utile, un light penetration test su sistemi selezionati.

I risultati includono report tecnico con indicazioni di remediation, executive summary per la direzione, calcolo del rischio e una sessione di presentazione. Il VA è una valutazione, non una certificazione: fotografa la situazione in un momento preciso. Per questo si consigliano VA periodici, ad esempio semestrali.

Domande frequenti

Un vulnerability assessment può bloccare i sistemi?

Il rischio è basso ma non nullo. Per questo perimetro, finestre temporali e referenti vengono concordati in anticipo e i sistemi più delicati possono essere analizzati in orari di minore attività.

Il penetration test sostituisce il vulnerability assessment?

No. Il PT approfondisce alcuni scenari ma non offre la visione d'insieme del VA. Le due attività si completano.

Con quale frequenza conviene ripeterli?

Il VA periodicamente, ad esempio ogni sei mesi, e dopo cambiamenti rilevanti dell'infrastruttura. Il PT quando cambia qualcosa di importante o quando un rischio specifico va dimostrato.

Le attività possono svolgersi da remoto?

In molti casi sì. Le attività sui servizi esposti si svolgono da remoto; quelle sulla rete interna si organizzano con accessi controllati o con un sopralluogo quando necessario.