Home › Blog › Test di penetrazione e vulnerability assessment per la NIS2

Test di penetrazione e vulnerability assessment per la NIS2

Il test di penetrazione simula l'attacco di un malintenzionato per verificare se le vulnerabilità di un sistema siano davvero sfruttabili. Il vulnerability assessment, invece, individua e classifica le debolezze in modo sistematico, senza tentare di sfruttarle. La NIS2 non nomina questi strumenti uno per uno, ma chiede di valutare l'efficacia delle misure di sicurezza: usarli insieme è il modo più concreto per farlo.

In questa guida trovi le differenze tra le due attività, come collocarle nella tua politica di gestione del rischio, come definire perimetro e frequenza e quali criteri usare per scegliere un fornitore.

Test di penetrazione e vulnerability assessment: che differenza c'è

Le due attività vengono spesso confuse, ma rispondono a domande diverse. Il vulnerability assessment chiede: «Quali debolezze note abbiamo?». Il pentest chiede: «Un attaccante riuscirebbe a entrare e fino a dove potrebbe arrivare?».

Non sono alternative: il primo alimenta la gestione quotidiana delle vulnerabilità, il secondo mette alla prova le difese nel loro insieme, comprese configurazioni, processi e comportamento delle persone.

Cosa chiede la NIS2 sulle verifiche tecniche

La direttiva, recepita in Italia con il D.Lgs. 138/2024, impone misure di gestione del rischio che comprendono la gestione delle vulnerabilità e politiche per valutare l'efficacia delle misure adottate. Il test di intrusione è un modo per produrre questa valutazione, non un obbligo isolato con una scadenza fissa.

Per le misure di sicurezza applicabili a ciascun soggetto occorre fare riferimento ai provvedimenti dell'Agenzia per la cybersicurezza nazionale (ACN), da consultare nella versione vigente. Ti consigliamo di controllare lì se e come vengano richieste verifiche tecniche specifiche per la tua categoria.

Chi deve aderire a NIS2?

La NIS2 riguarda i soggetti «essenziali» e «importanti» che operano nei settori indicati negli allegati della normativa e che, in generale, rientrano nelle dimensioni di media o grande impresa. Alcune categorie, come certi fornitori di servizi digitali o di comunicazioni elettroniche, possono essere incluse indipendentemente dalla dimensione. Per capire se ti riguarda, parti dal quadro generale in NIS 2: cos'è, a chi si applica e quali obblighi prevede.

Quando serve un test di penetrazione

Non tutto va sottoposto a pentest, e farlo senza criterio produce report costosi che restano nel cassetto. Conviene ragionare per rischio e per rilevanza dei sistemi. Le situazioni tipiche in cui ha senso pianificarlo sono queste:

• sistemi esposti su internet, come portali clienti, VPN, applicazioni web e API;
• servizi essenziali per la continuità operativa dell'organizzazione;
• rilascio di una nuova applicazione o modifica importante dell'architettura;
• migrazione verso il cloud o integrazione con fornitori esterni;
• dopo un incidente, per verificare che le cause siano state realmente rimosse;
• richieste di clienti, partner o autorità che chiedono evidenze di verifica.

Il legame con lo sviluppo e la manutenzione dei sistemi è stretto: i test andrebbero inseriti nelle fasi di rilascio, come spiegato in Sicurezza nel ciclo di vita dei sistemi NIS2: guida pratica.

Come definire perimetro, frequenza e modalità

Prima di contattare un fornitore, chiarisci tre elementi. Questo evita preventivi poco confrontabili e risultati poco utili.

Perimetro

Parti dall'inventario degli asset: senza sapere quali sistemi esistono, qualsiasi test sarà parziale. Individua i sistemi critici, quelli esposti e quelli che trattano dati sensibili, e decidi cosa includere e cosa escludere, con una motivazione scritta.

Frequenza

Non esiste una cadenza imposta in modo uniforme. Definisci nella politica di gestione del rischio cyber una frequenza per il vulnerability assessment (di norma regolare) e per il pentest (ad esempio periodica e legata ai cambiamenti rilevanti). Documenta il criterio: in un audit conta più la coerenza della scelta che il numero in sé.

Modalità

Le principali sono tre. Nel black box il tester parte senza informazioni, simulando un attaccante esterno. Nel grey box riceve alcune credenziali o dati di contesto. Nel white box ha accesso ampio a documentazione e architettura. Il grey box è spesso un buon compromesso tra realismo ed efficienza, ma la scelta dipende dall'obiettivo.

Come scegliere il fornitore di un test di penetrazione

Trattandosi di un servizio con accesso a sistemi sensibili, la scelta del partner va trattata come una questione di sicurezza della catena di fornitura. Ecco cosa verificare:

1. Competenze dimostrabili. Chiedi i profili dei tester e le certificazioni dichiarate, e verificale presso gli enti che le rilasciano.
2. Metodologia. Il fornitore deve descrivere riferimenti e approccio, non limitarsi a lanciare uno scanner.
3. Regole di ingaggio scritte. Perimetro, orari, sistemi esclusi, contatti di emergenza e gestione di eventuali interruzioni vanno messi per iscritto.
4. Riservatezza e protezione dei dati. Servono accordi di non divulgazione e regole chiare su come vengono conservati i dati raccolti durante il test.
5. Qualità del report. Chiedi un esempio anonimizzato: deve contenere prove, gravità e indicazioni di rimedio concrete.
6. Supporto post-test. Verifica se è previsto un retest per confermare la correzione.

Confronta i preventivi sullo stesso perimetro e sulla stessa durata: prezzi molto diversi possono nascondere attività diverse. Per formalizzare i criteri di selezione, puoi partire da un questionario di valutazione come quello descritto per i fornitori ICT.

Dopo il test: trasformare i risultati in azioni

Il valore del pentest dipende da ciò che accade dopo la consegna del report. Senza un processo di correzione, resta un documento. Un percorso semplice e difendibile in audit prevede alcuni passaggi:

• assegnare ogni vulnerabilità a un responsabile con una scadenza;
• classificare le priorità in base a gravità, esposizione e criticità del sistema;
• registrare le eccezioni, cioè i rischi accettati, con l'approvazione della direzione;
• eseguire un retest sulle correzioni più importanti;
• conservare report, ticket e prove di chiusura come evidenza.

Questo flusso si inserisce naturalmente nella procedura di gestione delle vulnerabilità, che puoi impostare seguendo Procedura di gestione delle vulnerabilità secondo la NIS 2: come impostarla. Considera anche il coinvolgimento degli organi di amministrazione: la NIS2 attribuisce loro responsabilità sull'approvazione e sulla supervisione delle misure, quindi una sintesi dei risultati dovrebbe arrivare anche a loro.

Errori frequenti da evitare

Alcune scelte ricorrono spesso e riducono il valore dell'attività. Eccone le principali.

• Scambiare una scansione automatica per un pentest. Il report di uno scanner non dimostra l'impatto reale di un attacco.
• Testare solo il perimetro esterno. Molti incidenti sfruttano credenziali rubate e movimenti laterali interni.
• Ignorare il rischio operativo. Un test su sistemi di produzione richiede finestre concordate e piani di ripristino.
• Non correggere. Ripetere test identici senza chiudere le vulnerabilità precedenti è uno spreco.
• Non collegare il test ai piani di continuità. I risultati possono aggiornare anche le priorità di backup e ripristino.

Conclusione

Il test di penetrazione e il vulnerability assessment sono strumenti complementari: il secondo mantiene sotto controllo le debolezze note, il primo mette alla prova le difese in condizioni realistiche. La NIS2 non li impone con una formula rigida, ma richiede di dimostrare che le misure funzionano, e queste verifiche ne sono una prova concreta. Se vuoi inserirle in modo ordinato nel tuo percorso di conformità, scopri come DirettivaNIS2 può aiutarti a definire politiche, procedure e piano di adeguamento.

Domande frequenti