Vulnerability assessment: cos'è, quando serve e quanto incide

Il vulnerability assessment è l'analisi che individua le vulnerabilità note di server, reti, applicazioni e servizi cloud e le mette in ordine di gravità e di priorità di intervento. Serve periodicamente, dopo cambiamenti importanti e dopo un incidente, ed è una delle prove concrete delle misure di sicurezza chieste da NIS2 e GDPR. Il costo dipende da quanti sistemi vanno esaminati. In pratica è il check-up dei tuoi sistemi informatici: scopre dove sei vulnerabile prima che lo faccia qualcun altro.

Cos'è un vulnerability assessment

Il vulnerability assessment è un'analisi sistematica che individua, classifica e mette in ordine di priorità le vulnerabilità note dei tuoi sistemi: server, reti, dispositivi, applicazioni e servizi cloud. Si usano strumenti automatici affiancati dall'analisi di un esperto, e il risultato è un report che assegna a ogni problema un livello di gravità (secondo un punteggio riconosciuto, il CVSS) e un ordine di intervento.

Vulnerability assessment o penetration test?

Sono due cose diverse e complementari. Il vulnerability assessment è ampio: fotografa quante più vulnerabilità possibili, senza sfruttarle. Il penetration test è profondo: un esperto prova davvero a entrare, per dimostrare fin dove un attaccante potrebbe arrivare. In pratica il primo risponde alla domanda "dove sono esposto?", il secondo a "quanto è grave davvero?". Per la maggior parte delle aziende il punto di partenza corretto è il vulnerability assessment.

Quando serve

• Periodicamente, perché nuove vulnerabilità emergono in continuazione.
• Dopo cambiamenti importanti: nuovi server, software, migrazioni al cloud.
• Per la compliance: la NIS2 chiede una gestione del rischio, il GDPR misure di sicurezza adeguate. Il vulnerability assessment è una delle prove concrete che le hai adottate.
• Dopo un incidente, per capire cosa correggere e in che ordine.
• Sulla catena di fornitura, quando i tuoi clienti ti chiedono garanzie di sicurezza.

Quanto incide

Il costo dipende dall'ampiezza: quanti indirizzi, host, applicazioni e servizi vanno esaminati. Per questo conviene una formula scalabile, con livelli di profondità diversi in base a quanto sei strutturato ed esposto. Il metro giusto per valutarlo è il costo di un fermo dei sistemi o di una violazione dei dati, che è di tutt'altro ordine di grandezza.

Cosa un vulnerability assessment non fa

La scansione automatica cerca soprattutto vulnerabilità note e configurazioni deboli, nei limiti degli strumenti e degli accessi disponibili. Non garantisce di individuare ogni vulnerabilità. È una fotografia a una data: un aggiornamento o un nuovo servizio esposto può cambiare il quadro. Per questo le verifiche si ripetono nel tempo.

Una segnalazione dello scanner non dimostra da sola che la vulnerabilità sia sfruttabile nel tuo contesto. L'assessment comprende la verifica dei risultati e dei possibili falsi positivi; quando serve dimostrare un percorso di attacco, si può concordare un penetration test con un perimetro autorizzato. La priorità degli interventi considera anche esposizione e impatto sui servizi, oltre al punteggio tecnico.

La sola scansione non copre tutte le carenze organizzative. Le verifiche di account, permessi e configurazioni, anche con strumenti dedicati, possono far emergere anomalie negli accessi. Contratti dei fornitori, responsabilità e formazione richiedono invece anche esame dei documenti e confronto con le persone. L'assessment va quindi definito in base al perimetro e integrato con queste verifiche.

Fonti

Il punteggio di gravità usato nei report è lo standard CVSS, mantenuto da FIRST. Per tecniche, limiti e integrazione delle verifiche di sicurezza il riferimento è la guida NIST SP 800-115, in particolare le sezioni 3.4 e 4.3. Gli obblighi normativi citati sono approfonditi nella guida NIS2 e nella guida GDPR. Fonti verificate il 3 ottobre 2026.

Prima la mappa, poi la scansione

Una scansione tecnica dà il meglio quando arriva al momento giusto. Se non sai ancora quali sistemi possiedi, chi li gestisce e quali fornitori intervengono, il report rischia di restare un elenco senza contesto. Per questo prima mettiamo in ordine il quadro con il Fascicolo Digitale, e poi la verifica tecnica diventa davvero utile.

Vuoi capire dove sei esposto? Il vulnerability assessment fa parte del nostro percorso NIS2 e cybersecurity, con tre livelli di profondità in base alle tue esigenze. Se preferisci, partiamo da un primo confronto: raccontaci la tua situazione.

Facciamo vulnerability assessment per aziende ed enti a Napoli, in Campania e in tutta Italia.