Vulnerability assessment, penetration test o red team: quale serve alla tua azienda
Tre nomi che i fornitori usano come se fossero la stessa cosa, e non lo sono. Cambiano quello che viene controllato, quanto è invasivo, cosa ti consegnano e quanto ci vuole. Questa guida è scritta per chi deve decidere cosa comprare, non per chi lo esegue.
La differenza in una frase
Il vulnerability assessment ti dice quali porte sono aperte. Il penetration test ti dice dove si arriva entrando da quelle porte. Il red team ti dice se qualcuno in azienda se ne accorge mentre succede.
1. Vulnerability assessment: la fotografia
Cosa fa
Passa in rassegna i sistemi che hai indicato — sito, posta, gestionale, server, rete — e cerca i punti deboli conosciuti: programmi non aggiornati, configurazioni lasciate come uscivano dalla scatola, porte aperte che non servono, certificati scaduti, password conservate male. Ogni difetto viene classificato per gravità.
Cosa non fa
Non prova a usare i difetti. Trova la porta aperta e la segna; non ci entra. Per questo è la verifica più leggera per i sistemi e quella da cui si parte quasi sempre.
Quando serve
Se non hai mai fatto una verifica, o se è passato più di un anno dall'ultima. Se hai cambiato fornitore di hosting, gestionale o e-commerce. Se un cliente o un partner ti chiede «che controlli fate sulla sicurezza» e non hai una risposta scritta.
2. Penetration test: la prova
Cosa fa
Prende i punti deboli — trovati da un assessment o già noti — e prova davvero a sfruttarli, in modo controllato, per dimostrare fin dove si arriva: a un archivio, a una casella di posta, ai dati dei clienti. La differenza con un attacco vero è che si ferma alla dimostrazione, e ogni prova costruita viene eliminata dopo la verifica.
Il rischio
Comporta un rischio che non si azzera, perché tocca i sistemi sul serio. Per questo si lavora solo dentro una finestra di date e orari concordata, con una copia di sicurezza recente e verificata, e con un numero da chiamare se qualcosa si ferma. Un fornitore che non ti chiede queste tre cose prima di cominciare non sta facendo un penetration test: sta improvvisando sui tuoi sistemi.
Quando serve
Quando l'assessment ha trovato difetti gravi e vuoi sapere cosa comportano davvero. Quando tratti dati che, se uscissero, ti farebbero perdere clienti. Quando devi dimostrare a qualcuno — un cliente grande, un'assicurazione, la catena di fornitura della direttiva NIS2 — che i tuoi sistemi sono stati messi alla prova, non solo guardati.
3. Red team engagement: l'attacco simulato
Cosa fa
Simula un avversario vero, con un obiettivo concordato (per esempio «arrivare all'archivio delle fatture») e senza che chi difende sappia quando. Usa tutto quello che userebbe un attaccante nel perimetro autorizzato, sul piano tecnico. Una cosa non la facciamo mai, nemmeno su richiesta: ingannare le persone — telefonate o email trappola al tuo personale. Alla fine non ti dice solo quali difetti hai: ti dice quanto tempo è passato prima che qualcuno se ne accorgesse, e cosa ha fatto quando se n'è accorto.
Quando serve
Quando le altre due verifiche le hai già fatte e corrette, e hai qualcuno — dentro o fuori — che dovrebbe accorgersi di un attacco. Farlo prima è buttare via il lavoro: un red team contro un'azienda senza difese finisce in un'ora e non insegna niente che un assessment non avrebbe già detto.
Come scegliere, in pratica
- Mai fatto niente → vulnerability assessment. Prima si guarda, poi si prova.
- Assessment fatto, difetti gravi trovati → penetration test su quei punti.
- Difese in piedi e qualcuno che le sorveglia → red team, per sapere se reggono.
- Un cliente o la NIS2 ti chiedono «prove» → penetration test con report: l'assessment da solo spesso non basta a chi chiede.
Le domande da fare a chiunque te lo proponga
Prima di firmare, chiedi: su cosa esattamente lavorerete (elenco scritto), quando (date, orari, fuso), cosa non farete mai (far cadere i sistemi, cancellare dati, ingannare il personale senza accordo), chi chiamo se qualcosa si ferma, cosa succede alle prove costruite durante il lavoro, e di chi è il report. Un fornitore serio ha queste risposte scritte prima che tu le chieda: si chiamano regole d'ingaggio, e le nostre sono pubbliche, leggibili prima di firmare qualunque cosa.
Domande frequenti
Qual è la differenza tra vulnerability assessment e penetration test?
Il vulnerability assessment trova e classifica i punti deboli, senza sfruttarli: è una fotografia larga. Il penetration test prende quei punti deboli e prova davvero a entrare, per dimostrare cosa succederebbe. Il primo dice «hai queste porte aperte», il secondo dice «da questa porta si arriva ai tuoi dati».
Cos'è un red team engagement?
È una simulazione di un attacco vero, con obiettivi concordati (per esempio: arrivare ai dati dei clienti), fatta senza che chi difende sappia quando. Serve a misurare quanto l'azienda si accorge e reagisce, non solo quali difetti ha. È la verifica più impegnativa e ha senso quando le altre due sono già state fatte.
Da quale conviene partire?
Quasi sempre dal vulnerability assessment: costa meno tempo, copre di più e dice dove guardare. Il penetration test viene dopo, sui punti che contano. Il red team ha senso quando l'azienda ha già un minimo di difese e vuole sapere se reggono.
Cosa mi viene consegnato alla fine?
Un report con i difetti trovati, la loro gravità, il rischio concreto per la tua attività e come si correggono, in ordine di urgenza. Il report è tuo, non del fornitore. Un test serio non finisce con un elenco: finisce con cosa fare lunedì mattina.
È rischioso per i miei sistemi?
Un vulnerability assessment fatto bene è leggero. Il penetration test comporta un rischio che non si azzera, perché prova davvero a usare i difetti: per questo si lavora in una finestra concordata, con una copia di sicurezza recente e un numero da chiamare se qualcosa si ferma. Sono le regole d'ingaggio, e vanno firmate prima.
Vuoi sapere quale serve a te
Il servizio di sicurezza informatica è a preventivo, per aziende e organizzazioni private. Le regole valgono sempre e si leggono prima.