Un vulnerability assessment è un controllo, in gran parte automatico, che elenca i difetti noti di un sistema: librerie vecchie, configurazioni sbagliate, porte aperte. Un penetration test va oltre: una persona prova davvero a entrare, concatena i difetti e sfrutta la logica del vostro business, che nessuno strumento capisce. Il primo dice cosa potrebbe essere sfruttabile; il secondo dimostra cosa lo è davvero. Costano ordini di grandezza diversi, e chi ve li vende come sinonimi non vi sta aiutando a scegliere.
La differenza in una frase
Immaginate un edificio. Il vulnerability assessment è girarci intorno con una lista e annotare ogni punto debole visibile: questa finestra è aperta, questa serratura è vecchia, questa porta non ha il chiavistello. Il penetration test è provare davvero a entrare: scegliere il punto più promettente, forzarlo, e una volta dentro vedere fin dove si arriva. Il primo vi dà un elenco di possibilità; il secondo vi dà la prova di cosa succede davvero, con le conseguenze concrete.
| Vulnerability assessment | Penetration test | |
|---|---|---|
| Cosa fa | Elenca i difetti noti | Prova a sfruttarli davvero |
| Come | In gran parte automatico | Analisi manuale, con strumenti a supporto |
| Trova la logica del business? | No | Sì: è il suo valore principale |
| Concatena più difetti? | No | Sì: spesso il danno nasce dalla combinazione |
| Falsi allarmi | Molti: segnala anche ciò che non è sfruttabile | Pochi: dimostra ciò che lo è |
| Costo | Contenuto, ripetibile spesso | Maggiore, mirato |
| Risponde a | «Cosa potrebbe essere un problema?» | «Cosa succede se qualcuno ci prova davvero?» |
Quando basta l'assessment e quando serve il test
- 01
Partite dall'assessment se non avete mai controllato nulla
Se non avete mai fatto nessuna verifica, l'assessment è il primo passo giusto: costa poco, si ripete spesso e toglie di mezzo in fretta i difetti noti più evidenti. È l'igiene di base.
- 02
Passate al test quando i dati contano
Se l'applicazione gestisce dati dei clienti, pagamenti o processi su cui gira il fatturato, l'elenco non basta: serve sapere cosa è davvero sfruttabile, inclusa la logica del vostro business. Lì il penetration test è ciò che vi dice la verità.
- 03
Usateli insieme, nel tempo
La strategia matura: assessment frequenti come controllo continuo, un penetration test periodico (di norma annuale, o dopo cambiamenti importanti) come verifica profonda. Non sono alternative, sono due ritmi diversi.
Domande frequenti
- Se faccio il penetration test, mi serve ancora l'assessment?
- Sì, perché rispondono a ritmi diversi. Il test è una fotografia profonda ma puntuale nel tempo; l'assessment è un controllo continuo ed economico che intercetta i difetti noti che emergono fra un test e l'altro — per esempio una libreria che ieri era sicura e oggi ha una falla pubblicata. Insieme coprono sia la profondità sia la continuità.
- Un assessment automatico non trova comunque la maggior parte dei problemi?
- Trova la maggior parte dei difetti noti, che è una categoria importante ma parziale. Non trova ciò che dipende dal significato della vostra applicazione: un cliente che vede i dati di un altro, uno sconto applicabile due volte, un ordine modificabile dopo il pagamento. Quelli sono spesso i problemi più gravi, e per definizione uno strumento generico non li conosce.
- Quale dei due chiede un questionario di sicurezza di un cliente?
- Dipende dal cliente, ma molti chiedono esplicitamente un penetration test periodico, perché è la prova che qualcuno ha davvero messo alla prova le difese, non solo elencato i difetti. Se state affrontando un questionario, vale la pena verificare quale dei due vi viene richiesto prima di scegliere.
- Posso fare da solo un vulnerability assessment?
- In parte sì: esistono strumenti che elencano i difetti noti, e sul nostro sito trovate guide per controllare da soli alcune cose (le dipendenze con falle note, le intestazioni di sicurezza). È un buon inizio. Interpretare i risultati — distinguere il rischio vero dal falso allarme — è la parte in cui l'esperienza cambia il valore dell'esercizio.