Cosa determina il prezzo
Un test di sicurezza non ha un listino perché non ha un oggetto standard: verificare un sito vetrina di cinque pagine e verificare un gestionale con quaranta funzioni e sei ruoli sono due lavori con ordini di grandezza diversi. Il prezzo si costruisce sul perimetro, cioè su quanto c'è da guardare.
| Voce | Perché incide |
|---|---|
| Numero di funzioni | Ogni funzione è un punto da provare, spesso da più angolazioni |
| Numero di ruoli utente | I permessi vanno provati per ogni combinazione di ruolo e funzione |
| Complessità della logica | Le regole del vostro business vanno capite prima di poterle mettere alla prova |
| Test con o senza credenziali | Provare da utente autenticato scopre molto di più, e richiede più lavoro |
| Nuova verifica dopo le correzioni | Ricontrollare che i difetti seri siano chiusi è lavoro aggiuntivo, ma è ciò che chiude il cerchio |
È il motivo per cui un preventivo serio comincia con domande sul vostro sistema. Un prezzo sparato senza domande sta quotando un modello, non voi.
Come si legge la gravità senza fidarsi sulla parola
Il rischio, con un fornitore poco serio, è che gonfi le gravità per giustificare il prezzo, o le sminuisca per non allarmare. Esiste una difesa: la gravità di un difetto si calcola con il CVSS, un metodo pubblico che assegna un punteggio da 0 a 10 in base a fattori definiti — quanto è facile sfruttarlo, cosa espone, se serve autenticazione, e altri. Il punteggio non è un'etichetta decisa dal fornitore: è il risultato di una formula che potete rifare.
| Punteggio | Fascia | Cosa significa in pratica |
|---|---|---|
| 9,0 - 10,0 | Critico | Va sistemato subito: rischio grave e concreto |
| 7,0 - 8,9 | Alto | Priorità, da pianificare a breve |
| 4,0 - 6,9 | Medio | Da correggere, ma programmabile |
| 0,1 - 3,9 | Basso | Spesso accettabile, a seconda del contesto |
Chiedete sempre che ogni difetto riporti il suo punteggio e i fattori che lo compongono. Un report che scrive «grave» senza il punteggio vi chiede fiducia dove potreste avere una verifica.
Cosa deve contenere il report, e cosa non è incluso
Un report serio ha sempre
- Una sintesi per la direzione, leggibile senza competenze tecniche.
- Ogni difetto con il suo punteggio di gravità e i fattori che lo determinano.
- Come riprodurre ogni difetto, passo per passo, così chi corregge sa cosa cercare.
- Una priorità: cosa subito, cosa programmabile, cosa accettabile.
- La distinzione fra ciò che è stato verificato e ciò che è rimasto fuori dal perimetro.