Vulnerability assessment: cos'è, quando serve e quanto incide

Puoi proteggere solo ciò che sai di avere esposto. Il vulnerability assessment serve proprio a questo: scoprire dove la tua azienda è vulnerabile, prima che lo faccia qualcun altro. È il check-up dei tuoi sistemi informatici.

Cos'è un vulnerability assessment

Il vulnerability assessment è un'analisi sistematica che individua, classifica e mette in ordine di priorità le vulnerabilità note dei tuoi sistemi: server, reti, dispositivi, applicazioni e servizi cloud. Si usano strumenti automatici affiancati dall'analisi di un esperto, e il risultato è un report che assegna a ogni problema un livello di gravità (secondo un punteggio riconosciuto, il CVSS) e un ordine di intervento.

Vulnerability assessment o penetration test?

Sono due cose diverse e complementari. Il vulnerability assessment è ampio: fotografa quante più vulnerabilità possibili, senza sfruttarle. Il penetration test è profondo: un esperto prova davvero a entrare, per dimostrare fin dove un attaccante potrebbe arrivare. In pratica il primo risponde alla domanda "dove sono esposto?", il secondo a "quanto è grave davvero?". Per la maggior parte delle aziende il punto di partenza corretto è il vulnerability assessment.

Quando serve

• Periodicamente, perché nuove vulnerabilità emergono in continuazione.
• Dopo cambiamenti importanti: nuovi server, software, migrazioni al cloud.
• Per la compliance: la NIS2 chiede una gestione del rischio, il GDPR misure di sicurezza adeguate. Il vulnerability assessment è una delle prove concrete che le hai adottate.
• Dopo un incidente, per capire cosa correggere e in che ordine.
• Sulla catena di fornitura, quando i tuoi clienti ti chiedono garanzie di sicurezza.

Quanto incide

Il costo dipende dall'ampiezza: quanti indirizzi, host, applicazioni e servizi vanno esaminati. Per questo conviene una formula scalabile, con livelli di profondità diversi in base a quanto sei strutturato ed esposto. Il metro giusto per valutarlo è il costo di un fermo dei sistemi o di una violazione dei dati, che è di tutt'altro ordine di grandezza.

Prima la mappa, poi la scansione

Una scansione tecnica dà il meglio quando arriva al momento giusto. Se non sai ancora quali sistemi possiedi, chi li gestisce e quali fornitori intervengono, il report rischia di restare un elenco senza contesto. Per questo prima mettiamo in ordine il quadro con il Fascicolo Digitale, e poi la verifica tecnica diventa davvero utile.

Vuoi capire dove sei esposto? Il vulnerability assessment fa parte del nostro percorso NIS2 e cybersecurity, con tre livelli di profondità in base alle tue esigenze. Se preferisci, partiamo da un primo confronto: raccontaci la tua situazione.

Facciamo vulnerability assessment per aziende ed enti a Napoli, in Campania e in tutta Italia.