Negli ultimi anni la sicurezza informatica è entrata stabilmente tra le priorità aziendali, anche alla luce di normative come la NIS2.
Firewall, antivirus, autenticazione a più fattori: strumenti sempre più diffusi e, nella maggior parte dei casi, anche ben configurati.
Eppure, quando si passa dal piano teorico a quello pratico, emerge una domanda meno scontata: quanto sono davvero efficaci queste difese?
NIS2: non basta proteggere,
bisogna dimostrare
La direttiva NIS2 introduce un cambiamento concreto nel modo in cui le aziende devono affrontare la sicurezza.
Non basta più adottare misure tecniche adeguate: diventa necessario conoscere il proprio livello di esposizione e tenerlo sotto controllo nel tempo.
Dichiarare di essere protetti, da solo, non è più sufficiente.
Serve capire dove si è vulnerabili, come evolve il rischio e se le difese adottate reggono davvero.
Per arrivare a questo livello entrano in gioco due attività complementari: Vulnerability Assessment e Penetration Test.
Dal requisito normativo alla gestione operativa
Per affrontare questo tipo di requisito in modo concreto serve un approccio che sia sostenibile nel tempo, soprattutto per le PMI.
Per questo lavoriamo con Cerbeyra, realtà italiana specializzata in sicurezza informatica, con cui abbiamo costruito un modello che unisce monitoraggio continuo e verifica mirata.
L’obiettivo è mantenere sotto controllo l’esposizione e intervenire in modo progressivo, senza introdurre complessità inutili.
Attraverso una sonda installata in rete vengono eseguite scansioni periodiche che permettono di individuare vulnerabilità interne ed esterne, come sistemi non aggiornati, configurazioni deboli o credenziali compromesse. I risultati sono raccolti in una console cloud che consente di avere una visione aggiornata degli asset e di orientare gli interventi.
Sulla base di queste evidenze, vengono quindi definite e implementate le misure di sicurezza più adeguate.
A questo punto, i Penetration Test simulano scenari reali di attacco per verificare se queste difese sono davvero efficaci. Possono includere, ad esempio, attacchi esterni, in cui viene simulato un tentativo di violazione del perimetro aziendale colpendo siti web, server o VPN; attacchi interni, che partono da una postazione già compromessa per testare fin dove è possibile spingersi all’interno della rete; oppure attività di phishing, per valutare il livello di esposizione legato al fattore umano e ai comportamenti degli utenti.
In questo modo si costruisce un processo continuo, che parte dalla visibilità e arriva alla verifica reale.
Vulnerability Assessment:
vedere il rischio
Il primo passo è avere visibilità.
Il Vulnerability Assessment permette di analizzare la superficie d’attacco, quindi sistemi, reti e applicazioni, per individuare le vulnerabilità e capirne la priorità.
Non si limita a una scansione tecnica: aiuta a capire dove si concentra davvero il rischio e dove intervenire. Per funzionare, però, non può essere un’attività occasionale.
Le infrastrutture evolvono, gli asset cambiano, le minacce si aggiornano. Di conseguenza, anche il livello di esposizione si muove continuamente.
Per questo il Vulnerability Assessment va visto come un’attività continua.
Serve a mantenere una visione aggiornata dell’ambiente IT, a orientare gli interventi e a capire, nel tempo, se le azioni intraprese stanno funzionando.
In questo senso, il rischio smette di essere astratto e diventa qualcosa di leggibile, su cui si può intervenire.
Il limite dell’analisi
Conoscere le vulnerabilità è fondamentale, ma da solo non basta.
Non tutte hanno lo stesso impatto reale. Alcune sono difficili da sfruttare, altre, anche meno evidenti, possono rappresentare un punto di accesso concreto.
Un elenco di criticità, quindi, non garantisce sicurezza.
Rimane uno scarto tra ciò che è teoricamente possibile e ciò che può accadere nella pratica. Per ridurre questo scarto serve cambiare prospettiva.
Penetration Test:
verificare sul campo
Il Penetration Test serve proprio a questo: capire cosa succede davvero quando qualcuno prova ad attaccare.
Parte dalle vulnerabilità individuate e prova a sfruttarle, simulando un attacco reale per verificare se un aggressore riuscirebbe ad accedere a sistemi e dati, e con quali conseguenze.
Rispetto al Vulnerability Assessment, che è continuo, il Penetration Test è un’attività mirata. Viene eseguito manualmente e costruito su scenari specifici.
Di solito entra in gioco in momenti precisi, ad esempio dopo modifiche all’infrastruttura, nuove esposizioni verso l’esterno o aggiornamenti rilevanti, quando serve capire se le difese tengono.
Due approcci,
un unico obiettivo
Vulnerability Assessment e Penetration Test lavorano insieme.
Il primo offre una visione continua dell’esposizione. Il secondo mette alla prova quello che emerge, verificando cosa può succedere nella pratica.
Usati insieme, permettono di collegare ciò che si vede con ciò che può essere davvero sfruttato, rendendo il rischio più concreto e comprensibile.
È qui che cambia il livello: non ci si basa più su una percezione di sicurezza, ma su qualcosa che è stato verificato.
Conclusioni
La sicurezza non è qualcosa che si raggiunge una volta per tutte.
Quello che conta è come viene gestita nel tempo: capire cosa è esposto, intervenire dove serve e verificare che le difese tengano davvero.
È questo che permette di avere controllo sul rischio, invece di limitarsi a reagire quando qualcosa è già successo.
Un approccio di questo tipo è anche quello richiesto oggi da normative come la NIS2, che spingono verso una gestione continua e consapevole della sicurezza.