Regole d'ingaggio dei test di sicurezza

Sono il patto che si firma prima di cominciare: dove si può lavorare, quando, cosa non viene fatto mai, e cosa succede se qualcosa si ferma. Le pubblichiamo qui perché chi sta valutando possa leggerle prima, non dopo.

Versione 1.1 — 11/09/2026. La versione accettata viene registrata insieme alla firma: serve a sapere, anche fra due anni, esattamente quale testo era stato mostrato.

1. 1. Si lavora solo dove hai scritto tu

   Vengono provati esclusivamente i sistemi che hai elencato in questo modulo. Quello che non è scritto non viene toccato, nemmeno se raggiungibile da quelli autorizzati. I servizi di terzi collegati — pagamenti, posta, statistiche, documenti legali — restano fuori sempre.

2. 2. Si lavora solo quando hai detto tu

   Le prove si eseguono dentro le date e la fascia oraria che hai indicato. Fuori da quella finestra non viene eseguito nulla. Se serve più tempo si concorda per iscritto: questo modulo non si allunga da solo.

3. 3. Cosa non viene fatto, mai

   Non si eseguono prove che mirano a far cadere o rallentare i sistemi. Non si cancellano, modificano o cifrano dati. Non si fanno telefonate o email ingannevoli al tuo personale per farsi consegnare password. Se una di queste cose ti serve, si concorda a parte e per iscritto.

4. 4. Se qualcosa si ferma, si ferma tutto

   Se durante il lavoro un sistema si blocca o rallenta, le prove si interrompono subito e viene chiamato il riferimento che hai indicato. Per questo quel numero deve essere raggiungibile per tutta la finestra.

5. 5. Le prove costruite vengono distrutte

   Dove serve dimostrare un difetto si costruisce una prova mirata a quel difetto. Viene verificata e poi eliminata: non restano strumenti riutilizzabili, né sui tuoi sistemi né altrove.

6. 6. La crittografia si guarda sempre, non se capita

   In ogni test controlliamo come sono protetti i dati e gli accessi: chiavi o password scritte dentro al codice, sistemi di protezione vecchi o considerati superati, certificati scaduti o configurati male, password degli utenti conservate in chiaro o con metodi che oggi non bastano più. È un passaggio fisso del lavoro, non un di più: è dove si trovano i difetti che da soli non fanno rumore, e che però aprono la porta a tutto il resto. Ti diciamo cosa abbiamo trovato e come si chiude: non rilasciamo certificazioni e non dichiariamo la conformità a nessuno standard, perché quella la attesta un ente accreditato ed è un altro mestiere.

7. 7. Quello che si vede resta fra noi

   Durante un test capita di imbattersi in dati riservati. Restano coperti da riservatezza senza scadenza, non vengono copiati fuori se non nella misura minima per dimostrare il problema, e nel referto sono oscurati.

8. 8. Il referto è tuo

   Il documento finale — difetti trovati, gravità, rischio, come si correggono — è di tua proprietà. Non viene usato come caso di studio, non viene citato e il tuo nome non compare in nessun materiale commerciale senza una tua autorizzazione scritta e separata.

9. 9. Serve una copia di sicurezza

   Prima di cominciare devi avere una copia di sicurezza recente e verificata dei sistemi indicati. È la condizione per partire: un test di sicurezza è un'attività che comporta un rischio non azzerabile, e la copia è ciò che rende quel rischio sopportabile.

10. 10. Cosa questo lavoro non è

    Un test di sicurezza dice cosa è stato trovato nel perimetro e nel tempo concordati. Non è una garanzia che il sistema sia inattaccabile, e non è una certificazione.

11. 11. Chi firma deve poterlo fare

    Firmando dichiari di essere titolare dei sistemi indicati, o di avere il permesso scritto di chi lo è. Se stanno su un fornitore terzo — hosting, gestionale, negozio online — serve anche il permesso di quel fornitore.

Oppure scrivici a assistenzaopexscore@protonmail.com — o torna a sicurezza informatica.