Security assessment, vulnerability assessment e penetration test: le differenze che contano

  • Analista di sicurezza al lavoro su mappe di rete e log durante una verifica dell'infrastruttura

Arrivano tre preventivi. Il primo parla di security assessment, il secondo di vulnerability assessment, il terzo di penetration test. Le cifre sono diverse di un ordine di grandezza e il capitolato è quasi identico. La tentazione è scegliere il più economico, ma il confronto è viziato in partenza: le tre attività rispondono a domande diverse e non sono intercambiabili.

Questa guida mette in fila cosa fa ciascuna, in che ordine ha senso eseguirle, come si legge la severità di una vulnerabilità e quali domande porre a un fornitore per capire davvero cosa c’è dentro un’offerta.

Security assessment, vulnerability assessment e penetration test: tre domande diverse

Attività A quale domanda risponde Cosa consegna Quando ha senso
Security assessment Come sono messo, nel complesso? Fotografia di asset, configurazioni, processi e scostamenti, con un piano di rientro per priorità All’inizio, o quando cambia qualcosa di strutturale
Vulnerability assessment Quali debolezze note ho, e dove? Elenco di vulnerabilità con severità, evidenze e indicazioni di rimedio In modo ciclico, come igiene continua
Penetration test Cosa riesce a combinare davvero un attaccante? Percorsi di attacco riprodotti, impatto dimostrato, prove raccolte Quando la base è già ragionevolmente sana

La differenza pratica è questa: il primo guarda l’impianto, il secondo cerca le crepe conosciute, il terzo prova a entrare. Un elenco di vulnerabilità non dice se sono davvero sfruttabili nel tuo contesto. Un test di intrusione riuscito non dice se il resto dell’infrastruttura è in ordine.

Esaminare e testare non sono la stessa cosa

Il riferimento tecnico su cui si regge tutto il vocabolario è la guida NIST SP 800-115, dedicata al testing e alla valutazione della sicurezza delle informazioni. Distingue due famiglie di tecniche: l’esame, che è revisione di documentazione, configurazioni, regole e log, e il test, che è interazione diretta coi sistemi per osservarne il comportamento reale.

La stessa guida chiarisce una dipendenza che in offerta viene spesso nascosta: un penetration test si appoggia comunque a identificazione di host e servizi e a scansione delle vulnerabilità, perché sono quelle attività a produrre i bersagli su cui poi si tenta la penetrazione. Chi vende un pentest come alternativa al vulnerability assessment sta vendendo qualcosa che contiene già il vulnerability assessment, oppure sta saltando un passaggio.

Va detto onestamente che SP 800-115 è un documento del 2008 e non è mai stato rivisto: l’impianto concettuale regge benissimo, gli strumenti citati no. Vale come vocabolario condiviso, non come manuale operativo aggiornato.

Vulnerability assessment: cosa cambia davvero tra un’offerta e l’altra

Scansione autenticata o non autenticata

È la variabile che sposta di più il risultato, ed è quasi sempre assente dai preventivi. Una scansione non autenticata vede il sistema come lo vedrebbe uno sconosciuto: porte aperte, servizi esposti, banner. Una scansione autenticata entra con credenziali di servizio, tipicamente via SSH sui sistemi Unix e via WMI su Windows, e legge dall’interno i pacchetti installati, il livello di patch del sistema operativo, il registro di configurazione e le librerie di sistema. La seconda trova molto di più e produce molti meno falsi positivi. Se l’offerta non lo specifica, quasi certamente è la prima.

Chi ripulisce i falsi positivi

Uno scanner produce rumore. Consegnare l’esportazione grezza del tool è la scorciatoia più diffusa: il cliente riceve trecento righe, di cui una parte consistente non applicabile al suo contesto, e non sa da dove cominciare. La validazione manuale è il lavoro vero, ed è la voce che distingue un servizio da un abbonamento a un software.

Come si legge la severità

Lo standard di riferimento è il CVSS, gestito da FIRST, oggi alla versione 4.0. Il punto che quasi nessuno spiega al cliente è che il punteggio base non è una priorità: CVSS 4.0 distingue esplicitamente il punteggio base da quello arricchito con le informazioni di minaccia e da quello ambientale, che tiene conto di come il sistema è realmente esposto nella tua rete. Una vulnerabilità critica su un server raggiungibile solo da una VLAN chiusa vale meno di una media su un servizio pubblicato in internet.

Da qui una regola pratica: un report che ordina le vulnerabilità solo per punteggio base sta ordinando male. Deve arrivare anche la stringa vettore, così la valutazione è verificabile e ricalcolabile nel tuo contesto.

L’eccezione della rete di fabbrica

Sui sistemi OT una scansione fatta col profilo sbagliato non è un rischio teorico: PLC e apparati legacy possono andare in blocco per un semplice port scan aggressivo. In produzione si lavora con profili passivi, finestre concordate e coinvolgimento della manutenzione, e il perimetro va definito prima insieme a chi conosce l’impianto. Il contesto è quello descritto nella guida alla progettazione delle reti industriali IT/OT.

Penetration test: cosa è, cosa non è

Un penetration test sfrutta le debolezze trovate per dimostrare l’impatto: non si ferma alla constatazione che una porta è aperta, la attraversa e mostra dove porta. Il valore sta nella catena, non nel singolo punto: una credenziale debole più una condivisione mal configurata più un servizio non aggiornato producono un risultato che nessuna delle tre voci, presa da sola in un elenco, avrebbe segnalato come critica.

Si concorda un perimetro, un livello di conoscenza iniziale (black box senza alcuna informazione, gray box con informazioni parziali, white box con accesso completo a documentazione e configurazioni), una finestra temporale e delle regole d’ingaggio scritte, le rules of engagement, che stabiliscono cosa è lecito fare e cosa no, chi chiamare se qualcosa si rompe e come vengono trattate le evidenze raccolte.

Sulla metodologia esiste un riferimento pubblico che conviene pretendere in capitolato. Per le applicazioni web la Web Security Testing Guide di OWASP, la cui versione stabile è la 4.2, elenca gli scenari di test con identificativi verificabili nella forma WSTG-v42-categoria-numero: WSTG-v42-INFO-02, per fare un esempio, è il test di fingerprinting del server web. Un report che richiama quegli identificativi è controllabile da chiunque; un report che dice soltanto “test approfondito” non lo è.

Due chiarimenti che evitano fraintendimenti costosi. Un penetration test non è un red team: la simulazione avversariale prolungata, con evasione dei sistemi di rilevamento e verifica della capacità di risposta del personale, è un’attività diversa, con altri obiettivi e altri costi, e non rientra nei servizi che eroghiamo. E un penetration test non è una scansione con una copertina più bella: se il report non contiene percorsi riprodotti e prove, quello che hai comprato è un vulnerability assessment.

In Netframe il penetration test viene svolto in collaborazione con partner specializzati, che lo eseguono e lo quotano: noi presidiamo il perimetro, il coordinamento e la traduzione dei risultati in interventi sulla rete.

In che ordine si fanno security assessment, vulnerability assessment e penetration test

La sequenza che funziona è noiosa e quasi sempre la stessa.

Fase Attività Perché in questo punto
1 Security assessment Senza sapere quali asset esistono e come sono configurati, tutto il resto lavora su una mappa sbagliata
2 Rimedio delle cose evidenti Patch, credenziali, esposizioni inutili, segmentazione: è qui che si abbassa davvero il rischio
3 Vulnerability assessment ciclico Diventa un processo continuo, non un evento: le vulnerabilità nuove escono ogni settimana
4 Penetration test Ha senso quando la base è sana, altrimenti misura solo quanto era prevedibile il primo ingresso

Il motivo per cui invertire l’ordine è uno spreco: su una rete con patch arretrate e credenziali riciclate, un test di intrusione trova la prima porta aperta, entra, e il report racconta una storia che si poteva prevedere senza spendere. Il pentest dà il massimo quando serve a scoprire quello che l’assessment non poteva vedere.

Le nove domande da fare prima di firmare

Queste domande rendono confrontabili offerte che sulla carta sembrano uguali. Se un fornitore risponde a tutte per iscritto, sai cosa stai comprando.

  1. Qual è esattamente il perimetro: quali indirizzi, quali domini, quali applicazioni, quali sedi
  2. Le scansioni sono autenticate o non autenticate, e su quali sistemi
  3. Chi valida i falsi positivi, e con quale sforzo dichiarato
  4. Quale metodologia viene seguita, e con quali riferimenti pubblici
  5. Con quale criterio viene assegnata la severità, e viene fornita la stringa vettore
  6. Il retest dopo il rimedio è incluso o si paga a parte
  7. Chi firma il report e con quali qualifiche
  8. Come vengono conservate, trasmesse e distrutte le evidenze raccolte
  9. Cosa succede operativamente se durante l’attività un sistema si blocca

L’ultima è quella che rivela di più: chi ha esperienza vera ha già una risposta pronta e una procedura, chi improvvisa cambia argomento.

Il collegamento con la NIS2

Per chi rientra nel perimetro NIS2 questa non è una scelta puramente tecnica. L’articolo 24 del decreto legislativo 138/2024 include tra le misure di gestione del rischio le politiche e le procedure per valutare l’efficacia delle misure adottate: dichiarare di avere dei controlli non basta, bisogna dimostrare che funzionano.

Le scadenze che valgono per la tua platea

Il quadro attuativo è cambiato due volte in poco più di un anno, quindi vale la pena avere le date giuste. Le specifiche di base sono oggi quelle della determinazione ACN 379907/2025, applicabile dal 15 gennaio 2026, che ha sostituito quella dell’aprile precedente: le misure stanno negli allegati 1 e 2, gli incidenti da notificare negli allegati 3 e 4. Nell’aprile 2026 la determinazione 127434/2026 ne ha integrato i termini per chi è entrato nell’elenco più tardi.

Platea Misure di sicurezza di base Notifica degli incidenti
Soggetti inseriti nell’elenco nel 2025 Diciotto mesi dalla comunicazione individuale di inserimento, termine che per questa platea cade in ottobre 2026 Nove mesi dalla stessa comunicazione
Soggetti inseriti per la prima volta nel 2026 Entro il 31 luglio 2027 Dal 1° gennaio 2027, con designazione del referente CSIRT entro il 31 dicembre 2026

Per la prima ondata di soggetti, quella censita nel 2025, l’articolo 4 della determinazione 379907/2025 fissa comunque un termine ultimo al 31 ottobre 2026: superata quella data l’Agenzia può passare dalla fase di accompagnamento a quella ispettiva.

Cosa impone davvero la norma, e cosa no

Una precisazione onesta, perché in giro si legge il contrario: la norma non impone a tutti un penetration test annuale. Impone di verificare l’efficacia delle misure e lascia scegliere strumenti proporzionati al rischio. Per una PMI manifatturiera lo strumento proporzionato è quasi sempre un assessment strutturato più un ciclo di vulnerability assessment, con il test di intrusione riservato ai perimetri esposti o ai momenti che lo giustificano. Il quadro completo degli obblighi è nella guida alla NIS2 per le PMI manifatturiere.

C’è poi l’effetto catena di fornitura, che colpisce anche chi è formalmente fuori perimetro: i clienti soggetti al decreto chiedono evidenze ai fornitori, e un rapporto di assessment recente è la risposta più rapida a un questionario di sicurezza.

Domande frequenti

Che differenza c’è tra vulnerability assessment e penetration test?

Il vulnerability assessment cerca e cataloga le debolezze note, tipicamente con strumenti automatici più validazione manuale, e consegna un elenco ordinato per severità. Il penetration test parte da quelle debolezze e le sfrutta per dimostrare fin dove può arrivare un attaccante, concatenando più problemi in un percorso reale. Il primo risponde a “quante crepe ho”, il secondo a “cosa succede se qualcuno ci prova sul serio”. Costano diversamente perché il secondo è lavoro manuale specialistico e a tempo.

Cos’è un baseline security assessment?

È la valutazione iniziale che fotografa lo stato di partenza: censimento degli asset, configurazioni, esposizioni verso internet, gestione degli accessi, backup, segmentazione della rete, e confronto con un riferimento scelto, che può essere una norma, uno standard o le misure di base richieste dall’autorità. Serve a due cose: sapere da dove si parte e avere un termine di paragone per misurare i miglioramenti nelle verifiche successive. È anche il documento che si tira fuori quando un cliente manda un questionario di sicurezza.

Ogni quanto va rifatto un vulnerability assessment?

Non esiste un numero valido per tutti, ma la logica è chiara: le vulnerabilità nuove escono in continuazione, quindi una verifica una tantum invecchia in poche settimane. Nella pratica, sui sistemi esposti verso internet ha senso una frequenza alta e ravvicinata, sull’interno una cadenza periodica regolare, e in ogni caso una verifica straordinaria dopo ogni cambiamento significativo: una nuova pubblicazione, una migrazione, l’ingresso di un fornitore con accesso remoto.

La NIS2 obbliga a fare un penetration test?

Non nella forma di un obbligo esplicito e uguale per tutti. Il decreto 138/2024 richiede politiche e procedure per valutare l’efficacia delle misure di sicurezza, e le specifiche di base dell’ACN, oggi quelle della determinazione 379907/2025, definiscono cosa va adottato e in quali tempi: ottobre 2026 per i soggetti censiti nel 2025, 31 luglio 2027 per chi è entrato nell’elenco nel 2026. Lo strumento con cui si dimostra l’efficacia resta però lasciato alla proporzionalità rispetto al rischio: per molte PMI un assessment documentato più un ciclo di vulnerability assessment soddisfa il requisito, mentre il penetration test diventa lo strumento giusto sui perimetri più esposti.

Un IT assessment può bloccare i sistemi in produzione?

Le attività di sola raccolta e revisione non toccano il funzionamento. Il rischio esiste sulle scansioni attive e sui test di intrusione, in particolare verso apparati industriali e sistemi datati, che possono reagire male a un traffico anomalo. Per questo si concordano prima finestre temporali, profili di scansione, sistemi esclusi e una catena di contatti da attivare se qualcosa si comporta in modo imprevisto. Un fornitore serio mette questi punti nel contratto, non nella telefonata del giorno prima.

Da dove partire

Se non hai una fotografia recente della tua infrastruttura, il punto di partenza non è un test di intrusione: è un assessment di sicurezza IT che censisca asset e configurazioni, misuri gli scostamenti rispetto al riferimento che ti riguarda e li trasformi in un piano con priorità e costi. Da lì si decide, con dati alla mano, se e quando ha senso spingersi oltre. Lo stesso principio vale sui singoli ambiti: sulla rete wireless, per esempio, la prima misura non è un test di intrusione ma sapere dove arriva il segnale, come spieghiamo nella guida alla sicurezza del Wi-Fi aziendale. Lo stesso vale per la stanza in cui quelle informazioni vengono dette a voce: come si proteggono le sale, dalla condivisione wireless agli apparati AV in rete, è nella guida alla riservatezza in sala riunioni.

Netframe lavora con PMI e aziende manifatturiere in tutta l’Emilia-Romagna, con sede a Modena. Scrivici a info@netframe.it o chiamaci allo 059 7134794 per capire quale delle tre attività serve davvero al tuo caso.

Fonti

Fonti verificate l’11 agosto 2026. Il quadro attuativo NIS italiano è stato aggiornato due volte tra dicembre 2025 e aprile 2026: verifica sempre sul portale ACN quale determinazione è vigente alla data in cui leggi. NIST SP 800-115 risale al 2008 e non è mai stato rivisto.

By Published On: Agosto 14, 2026Categories: Guide tecniche, SecurityTags: , , , ,

Other Articles