Ogni sistema informatico ha vulnerabilità. Non è una questione di “se”, ma di “quante” e “quanto sono gravi”.
Il Vulnerability Assessment è un processo che aiuta a individuare vulnerabilità e configurazioni deboli prima che possano essere sfruttate da un attaccante.
Cos’è un vulnerability assessment, in parole semplici
Come un controllo di sicurezza su un edificio: verifica serrature, finestre, allarme, punti deboli nel perimetro.
Il VA fa lo stesso sui sistemi IT: scansiona server, PC, firewall, switch, applicazioni web alla ricerca di vulnerabilità software (patch mancanti, versioni obsolete), vulnerabilità di rete (porte aperte, protocolli insicuri, segmentazione inadeguata),
vulnerabilità di configurazione (password deboli, accessi permissivi), vulnerabilità applicative e web (broken access control, injection, security misconfiguration e problemi di autenticazione, anche facendo riferimento a standard come OWASP Top 10).
Le vulnerabilità note possono essere associate a un punteggio CVSS, mentre gli altri finding vengono classificati per severità e priorità considerando anche esposizione e contesto aziendale.
Come si svolge
Definizione del perimetro:
si individuano i sistemi da analizzare in base alla criticità, all’esposizione e agli obiettivi dell’assessment, includendo almeno gli asset rilevanti e quelli maggiormente esposti.
Scansione automatizzata:
gli strumenti specializzati confrontano sistemi, software e configurazioni con database di vulnerabilità note, advisory dei vendor e firme di rilevamento aggiornate, come quelle associate a CVE e NVD.
La scansione viene configurata e pianificata per ridurre al minimo l’impatto sui sistemi di produzione, definendo modalità, finestre operative e limiti coerenti con l’infrastruttura.
Analisi contestualizzata:
una vulnerabilità critica su un server esposto a internet ha priorità diversa dalla stessa su un PC isolato.
Report dettagliato:
vulnerabilità ordinate per priorità con raccomandazioni.
VA vs Penetration Test
Il VA è automatizzato, ampio, ripetibile — ideale per monitoraggio continuo.
Il Penetration Test è manuale, un ethical hacker simula un attacco reale per dimostrare l’impatto.
Nel dettaglio:
Il Vulnerability Assessment punta soprattutto a identificare e prioritizzare in modo ampio le vulnerabilità presenti nel perimetro, utilizzando strumenti automatizzati e attività di validazione.
Il Penetration Test va più in profondità su un perimetro definito e tenta di verificare concretamente se determinate debolezze possono essere sfruttate e con quale impatto.
N.B. Vulnerability Assessment e Penetration Test possono essere complementari: frequenza e profondità delle verifiche vanno definite in base al rischio, alla criticità dei sistemi, ai cambiamenti dell’infrastruttura e ai requisiti applicabili.
Perché il VA è importante per NIS2, ISO 27001 e GDPR
La NIS2 richiede ai soggetti interessati di gestire e trattare le vulnerabilità dei propri sistemi.
L’Art. 21 della Direttiva (UE) 2022/2555 include la gestione e la divulgazione delle vulnerabilità tra le misure di cybersecurity; nel recepimento italiano questo obbligo è contenuto nell’Art. 24 del D.Lgs. 138/2024.
Anche ISO/IEC 27001 prevede controlli relativi alla gestione delle vulnerabilità tecniche, mentre l’Art. 32 del GDPR richiede misure adeguate al rischio e verifiche periodiche dell’efficacia delle misure di sicurezza.
Il Vulnerability Assessment è quindi uno strumento utile per produrre evidenze tecniche, individuare le vulnerabilità presenti e definire priorità di remediation. Non è però, in ogni contesto, l’unico metodo possibile né un adempimento identico per tutte le organizzazioni.
VA una tantum vs vulnerability management continuo
Un VA una tantum è come un check-up medico senza seguire le indicazioni.
Le vulnerabilità cambiano continuamente.
Il valore reale è nel vulnerability management continuo: scansioni periodiche, remediation con tempi definiti, verifica post-correzione, trend di miglioramento misurabile.
È questo il principio alla base di un vulnerability management maturo: individuazione, prioritizzazione, remediation, verifica e riesame periodico. Un MSP specializzato può supportare l’azienda nel mantenere questo processo continuativo e documentato.
