Cyber Security & NIS2
Verifiche tecniche di sicurezza su reti, applicazioni e infrastrutture: individuiamo le vulnerabilità, dimostriamo il loro impatto reale e affianchiamo l’azienda nella correzione, con report leggibili dal management e utilizzabili dall’IT.
Cosa facciamo
Scansioniamo in modo ripetibile il perimetro esterno, la rete interna e i sistemi, classifichiamo le vulnerabilità con punteggio CVSS e le distinguiamo dai falsi positivi. Un inventario dei punti deboli, aggiornabile nel tempo.
Sfruttiamo in modo controllato le vulnerabilità per dimostrarne le conseguenze concrete: accesso a dati, elevazione di privilegi, movimento laterale. Approccio black, grey o white box secondo l’obiettivo e nei limiti concordati per iscritto.
Testiamo applicazioni web, API e app mobile secondo gli standard OWASP: autenticazione, gestione delle sessioni, controllo degli accessi, validazione degli input, esposizione di dati e logica applicativa.
Verifichiamo configurazioni e privilegi in Active Directory, le impostazioni degli ambienti cloud (identità, storage, rete) e la sicurezza delle reti Wi-Fi aziendali: gli ambiti da cui partono molti attacchi reali.
Misuriamo la reazione delle persone con campagne di phishing simulato e social engineering concordati, nel rispetto della disciplina privacy e giuslavoristica, e trasformiamo i risultati aggregati in formazione mirata per i ruoli più esposti, senza finalità disciplinari.
Traduciamo i risultati in configurazioni più sicure: baseline di hardening per sistemi, rete e cloud, revisione di privilegi e autenticazione, indicazioni per il monitoraggio. Se richiesto, supportiamo nel tempo chi in azienda presidia la sicurezza.
Gli attacchi informatici non riguardano più solo le grandi organizzazioni. Ransomware, furto di credenziali, compromissione della posta aziendale e attacchi attraverso i fornitori colpiscono con regolarità le PMI, spesso sfruttando vulnerabilità note da mesi e mai corrette. La domanda che il management deve porsi non è se l’azienda sia attaccabile, ma quanto, da dove e con quali conseguenze.
Le norme hanno preso atto di questa realtà. L’art. 32 del GDPR impone misure di sicurezza adeguate al rischio e indica espressamente, tra quelle da adottare se del caso, una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative. La Direttiva NIS2, recepita con il D.Lgs. 138/2024, chiede ai soggetti essenziali e importanti di adottare misure di gestione dei rischi per la sicurezza informatica e di valutarne l’efficacia (art. 24), con responsabilità dirette degli organi di amministrazione (art. 23). Le specifiche tecniche e le scadenze sono fissate dall’Agenzia per la cybersicurezza nazionale (ACN), che vigila sull’attuazione.
La ISO/IEC 27001:2022 include tra i suoi controlli la gestione delle vulnerabilità tecniche (A.8.8) e i test di sicurezza in sviluppo e collaudo (A.8.29), da riesaminare nel monitoraggio periodico del sistema. Nel settore finanziario il Regolamento DORA introduce un programma periodico di test di resilienza operativa digitale.
Un test di sicurezza vale quanto la sua preparazione. Per questo la prima fase è sempre la definizione del perimetro: capiamo con l’azienda quali sistemi contano davvero per il business, quali dati vanno protetti, quali attività non possono fermarsi. Da qui derivano l’ampiezza delle verifiche, la tipologia di test e le regole di ingaggio, formalizzate in un’autorizzazione scritta e coperte da un accordo di riservatezza.
Distinguiamo con chiarezza i due strumenti. Il vulnerability assessment è una fotografia ampia e ripetibile: scansione sistematica, verifica manuale dei risultati, classificazione con CVSS. Il penetration test è un’indagine in profondità: sfruttamento controllato delle vulnerabilità per misurare le conseguenze effettive di un attacco, con approccio black, grey o white box in base a quanto sappiamo dei sistemi in partenza. Seguiamo metodologie riconosciute (PTES, NIST SP 800-115, OSSTMM) e, per le applicazioni, gli standard OWASP.
Oltre agli ambiti descritti sopra, quando il contesto lo richiede, estendiamo le verifiche agli ambienti OT e IoT e, per le organizzazioni più mature, a esercizi di red team che mettono alla prova l’intera capacità di rilevazione e risposta. Il lavoro non finisce con il report: il retest e l’affiancamento nella correzione fanno parte del percorso.
Il nostro metodo
Definiamo con l’azienda obiettivi, perimetro, esclusioni, tipo di test, finestre temporali e canali di emergenza. Formalizziamo l’autorizzazione scritta, l’accordo di riservatezza e, se si accede a dati personali, il contratto ex art. 28 GDPR.
Ricostruiamo la superficie esposta, identifichiamo servizi e versioni, eseguiamo le scansioni di vulnerabilità e ne verifichiamo manualmente i risultati per eliminare i falsi positivi.
Nel penetration test tentiamo lo sfruttamento delle vulnerabilità secondo le regole concordate, documentando ogni passo con evidenze e interrompendo le attività in caso di rischio per l’operatività.
Classifichiamo i risultati con CVSS e li contestualizziamo rispetto al business. Consegniamo il report esecutivo e quello tecnico e li presentiamo a management e IT in una sessione dedicata.
Supportiamo i tecnici nella correzione, verifichiamo con un retest la chiusura delle vulnerabilità e rilasciamo l’attestazione finale. Concordiamo la frequenza delle verifiche successive.
Benefici
Deliverable
Domande frequenti
Dipende da cosa si vuole sapere. Se l’obiettivo è una fotografia ampia e ripetibile dei punti deboli, da aggiornare periodicamente, basta il vulnerability assessment. Se occorre capire cosa un attaccante otterrebbe davvero da un’applicazione esposta, da un accesso remoto o dalla rete interna, o se un cliente chiede un’attestazione, serve il penetration test. Spesso conviene partire dal primo e approfondire con il secondo sui sistemi che contano.
Il rischio esiste ed è per questo che lo governiamo prima di iniziare: concordiamo quali sistemi escludere o trattare con particolare cautela, fissiamo finestre temporali, evitiamo tecniche distruttive e manteniamo un canale diretto con l’IT dell’azienda per fermare le attività in qualsiasi momento.
Consigliamo almeno una verifica annuale completa e un test mirato dopo ogni cambiamento significativo: nuove applicazioni, migrazioni in cloud, fusioni, aperture di sedi. Per i sistemi esposti su internet un vulnerability assessment più frequente, anche trimestrale, come richiede il PCI DSS a chi tratta dati di carte, aiuta a intercettare le nuove vulnerabilità pubblicate. La frequenza va calibrata sul rischio, non fissata una volta per tutte.
Nessuna norma generale lo impone con questo nome; lo fanno norme di settore come il DORA per gli intermediari finanziari e standard contrattuali come il PCI DSS per chi tratta dati di carte. Altre lo richiedono nella sostanza: GDPR (art. 32), NIS2 e ISO/IEC 27001 chiedono di verificare regolarmente l’efficacia delle misure di sicurezza e di poterlo documentare. Un test indipendente è il modo più diretto per farlo e per lasciarne evidenza.
Sì, per due ragioni. Chi progetta e gestisce i sistemi difficilmente ne vede i punti deboli con gli occhi di un attaccante; e clienti, auditor e autorità danno peso alla terzietà di chi verifica. Non sostituiamo il fornitore dell’azienda: lo coinvolgiamo, condividiamo i risultati in modo costruttivo e lo supportiamo nella correzione. Il test indipendente è anche un modo per valutare la qualità del servizio che l’azienda riceve.
Servizi correlati
Adeguamento alla Direttiva UE 2022/2555 e al D.Lgs. 138/2024: perimetro, gap analysis, misure di sicurezza, governance e notifica degli incidenti.
ApprofondisciAdeguamento al Regolamento UE 2016/679 e al Codice Privacy: assessment, registro dei trattamenti, DPIA, policy e formazione.
ApprofondisciProgettazione, implementazione e mantenimento di sistemi di gestione certificabili: ISO 9001, 14001, 45001, 27001, 37001, 50001 e i principali schemi di settore e di filiera.
ApprofondisciParliamone
Raccontaci le priorità della tua impresa: in un primo incontro senza impegno analizziamo il contesto e ti proponiamo un percorso concreto, con tempi e risultati misurabili.