Vulnerability assessment e penetration test per PMI
Verifiche tecniche autorizzate per individuare le vulnerabilità prima di un attaccante. Modalità white, gray o black box, verifica manuale dei risultati, classificazione CVSS v3.1, report tecnico ed executive summary per la direzione. Sempre con autorizzazione scritta e perimetro concordato.
Richiedi la call gratuitaCosa comprende
Modalità e profondità adatte ai sistemi da verificare
La modalità si sceglie in base agli obiettivi, ai sistemi e alle informazioni disponibili.
Vulnerability assessment
Analisi dei sistemi nel perimetro con scansioni professionali e verifica manuale. Ogni vulnerabilità viene confermata, classificata con CVSS v3.1 e pesata sul contesto dell’azienda.
Penetration test mirato
Simulazione controllata di attacco su sistemi selezionati, per verificare se le vulnerabilità più rilevanti risultano davvero sfruttabili e con quali conseguenze per l’operatività.
White box
Analisi basata sui documenti forniti dall’azienda: topologia di rete, configurazioni, inventari degli asset, policy. È la modalità più approfondita, adatta a una revisione completa.
Gray box
Parte della documentazione viene integrata con un’analisi autonoma. Un equilibrio tra profondità e realismo, utile quando servono risultati mirati senza ricostruire tutto da zero.
Black box
Analisi autonoma senza informazioni preliminari, dal punto di vista di un attaccante esterno, eventualmente con penetration test sui servizi esposti su internet.
Analisi OSINT
Ricerca di ciò che dell’azienda risulta già pubblico: servizi esposti, presenza di credenziali aziendali in violazioni di dati note (senza alcun utilizzo), informazioni utili a un attaccante per preparare phishing o accessi non autorizzati.
Perché scegliere General Tech di Rosario Zappalà
Un consulente che conosce sia la norma sia la tecnica
Una vulnerabilità conta solo se è confermata, pesata sul contesto e poi corretta: la differenza la fanno il metodo e la persona che svolge il test.
Un referente diretto, dall’inizio alla fine
Nessun passaggio di consegne tra figure diverse: la stessa persona definisce il perimetro, svolge i test, presenta i risultati ed esegue il retest.
Lo sguardo dell’auditor, prima dell’audit
Lead Auditor ISO 19011 e auditor interno ISO/IEC 27001:2022: ogni evidenza viene preparata pensando alle domande che arriveranno in sede di verifica.
Competenze organizzative e tecniche
Sistemi di gestione e politiche da un lato, competenze Red Team e Blue Team dall’altro: le misure tecniche vengono verificate, non solo descritte.
Risultati verificati, non output di uno scanner
Ogni vulnerabilità è confermata manualmente e spiegata in modo comprensibile sia per l’IT sia per la direzione.
Metodo
Vulnerability assessment e penetration test in 6 fasi
Un metodo ripetibile, con regole chiare prima di intervenire su qualsiasi sistema.
Call e proposta scritta
Call gratuita su obiettivi e sistemi, poi proposta scritta con attività e tempi. Le condizioni vengono definite nella proposta, su misura per azienda, perimetro e modalità scelta.
Perimetro e autorizzazione
Definizione di sistemi, indirizzi e applicazioni da analizzare, modalità e finestre di test. Le attività partono solo con l’autorizzazione formale scritta del titolare degli asset.
Analisi degli asset e scansioni
Raccolta delle informazioni, analisi degli asset e della loro criticità per il business, quindi scansioni automatiche con strumenti professionali sui sistemi nel perimetro.
Verifica manuale e test
Controllo manuale dei risultati e riduzione dei falsi positivi. Quando previsto, penetration test mirato sui sistemi selezionati per verificare la sfruttabilità reale.
Classificazione e rischio
Classificazione delle vulnerabilità con CVSS v3.1 e analisi del rischio contestualizzata: lo stesso punteggio pesa in modo diverso su sistemi con criticità diverse per il business.
Report, presentazione e retest
Consegna di report tecnico, executive summary e calcolo del rischio, con sessione finale per IT e direzione. Dopo le correzioni, retest per verificare la chiusura delle vulnerabilità.
Cosa si ottiene
Risultati verificati, leggibili da chi corregge e da chi decide
Report tecnico con remediation
Ogni vulnerabilità con descrizione, evidenze, punteggio CVSS v3.1 e indicazioni concrete per la correzione. Pensato per chi deve intervenire: IT interno o fornitore esterno.
Executive summary per la direzione
Poche pagine per chi decide: cosa è emerso, quanto è grave, cosa correggere per primo. Un linguaggio chiaro, senza gergo tecnico, per approvare le priorità di intervento.
Calcolo del rischio
Il rischio stimato sul contesto reale dell’azienda, non solo il punteggio teorico. Uno strumento per ordinare gli interventi in base all’impatto effettivo sul business.
Sessione di presentazione
Incontro finale da remoto con IT e direzione per illustrare risultati, priorità e passi successivi, con spazio per le domande del personale tecnico e dei decisori.
Retest delle correzioni
Nuova verifica mirata sulle vulnerabilità corrette, per confermarne la chiusura e documentare l’intero ciclo: individuazione, correzione e verifica dell’efficacia.
Evidenza per TISAX® e NIS 2
Il report documenta la gestione delle vulnerabilità tecniche: un’evidenza utile per l’assessment TISAX® e per le misure di sicurezza NIS 2, insieme al resto del sistema di gestione.
Autorizzazione scritta e regole d’ingaggio
Ogni attività si svolge dentro un perimetro concordato e con l’autorizzazione formale scritta del titolare degli asset, che indica sistemi, modalità e finestre di test. Nessuna attività fuori perimetro. Se i sistemi risultano gestiti da un fornitore o ospitati in hosting o cloud, il fornitore va informato e, per alcuni servizi, deve dare il proprio consenso. Durante il test serve un referente tecnico raggiungibile. Il vulnerability assessment è una valutazione in un momento preciso: non è una certificazione e non dimostra l’assenza totale di vulnerabilità.
Domande frequenti
Che differenza c’è tra vulnerability assessment e penetration test?
Il vulnerability assessment cerca e classifica le vulnerabilità in modo ampio. Il penetration test prova a sfruttarne alcune, in modo controllato, per capire fin dove arriverebbe un attaccante. Spesso si combinano: vulnerability assessment sul perimetro, penetration test mirato sui sistemi più critici.
Il test può bloccare i sistemi o la produzione?
È un rischio che si gestisce prima di iniziare: finestre di test concordate, sistemi delicati trattati con cautela, un referente raggiungibile. Le attività più invasive si svolgono solo su sistemi selezionati e con l’accordo dell’azienda.
Meglio white, gray o black box?
Dipende dall’obiettivo. Il white box è il più approfondito, il black box simula un attaccante esterno senza informazioni, il gray box è una via di mezzo. Nella call gratuita si individua la modalità più adatta ai sistemi da verificare.
Le attività si svolgono da remoto?
Sì, per i sistemi esposti su internet. Per i sistemi interni si concorda la modalità di accesso più adatta, oppure l’attività si svolge in sede.
Ogni quanto conviene ripetere la verifica?
Sistemi e minacce cambiano nel tempo. Si consigliano vulnerability assessment periodici, ad esempio semestrali, e un nuovo controllo dopo cambiamenti rilevanti come nuovi servizi esposti o modifiche all’architettura.
Il vulnerability assessment serve per TISAX® e NIS 2?
Entrambi richiedono la gestione delle vulnerabilità tecniche. Un vulnerability assessment documentato, con remediation e retest, è un’evidenza concreta per l’assessment TISAX® e per le misure NIS 2, ma non sostituisce il resto del sistema di gestione.
Cosa vede un attaccante dei sistemi aziendali?
Bastano i sistemi da verificare e l’obiettivo. In 30 minuti si definiscono modalità e primo perimetro. La call è gratuita e senza impegno.
Richiedi la call gratuitaGeneral Tech di Rosario Zappalà · P.IVA 06157870871 · Cellulare +39 350 059 0978 · [email protected] · TISAX® è un marchio registrato di ENX Association.