A cura di Consuleria · Pubblicato il
La domanda del vulnerability assessment
Quali debolezze emergono nel perimetro esaminato e quali meritano priorità? Un VA può combinare raccolta tecnica, strumenti automatici e validazione dei risultati. Inventario, esposizione, configurazione e criticità del servizio aiutano a leggere le segnalazioni. Un identificativo CVE o un punteggio elevato, da soli, non descrivono tutte le condizioni del sistema specifico.
La domanda del penetration test
Quale impatto può essere dimostrato attraverso scenari concordati? Un penetration test prevede verifiche autorizzate, limiti e condizioni di arresto. Le attività dipendono da architettura, applicazioni e obiettivi: il rapporto fra automazione e approfondimento manuale varia con il contesto. OWASP WSTG è un riferimento metodologico per i test di sicurezza delle applicazioni web.
L’autorizzazione è parte del lavoro
Prima del test vanno individuati sistemi inclusi, esclusioni, titolarità, finestre operative, interlocutori e gestione degli imprevisti. Ambienti cloud e componenti di terzi richiedono attenzione alle condizioni applicabili. Dati e account di prova aiutano a limitare l’esposizione, ma non sostituiscono un perimetro concordato.
Esempio sintetico: una piattaforma prenotazioni
Una piccola organizzazione dispone di un portale e di un’area riservata. Se manca una visione dell’esposizione, può essere utile iniziare da inventario e VA. Se la domanda riguarda l’efficacia della separazione fra ruoli, può servire una verifica mirata con account sintetici distinti. La scelta nasce dal quesito; non è una sequenza obbligatoria per ogni cliente.
Che cosa leggere nella restituzione
Chiedi quali elementi siano stati osservati, quali verificati e quali non testabili. Per ciascuna criticità, contesto e limiti aiutano a interpretare la priorità e a definire un intervento. Le evidenze tecniche vanno gestite con riservatezza. La forma della restituzione si concorda in base ai destinatari: tecnici, direzione o altri professionisti.
Dopo la correzione
Un retest può verificare che la specifica condizione osservata sia stata rimossa e che la modifica sia coerente con l’obiettivo. Non certifica l’assenza di ogni vulnerabilità futura. Cambiamenti di configurazione, nuove versioni e variazioni dell’esposizione possono richiedere nuove valutazioni.
Contenuto informativo e tecnico. Esempi ipotetici, senza dati di clienti; attività e conclusioni richiedono valutazione del contesto. Le fonti normative devono essere verificate al momento dell’incarico.