Cyber Security e Disaster Recovery
Test approfonditi che simulano attacchi reali per identificare vulnerabilità. Il modello Zero Trust garantisce che ogni accesso venga verificato e autorizzato, eliminando la fiducia implicita nella rete.
Cosa include
Cosa si verifica
Un penetration test è un attacco simulato, autorizzato per iscritto e con un perimetro concordato: un tecnico prova a entrare nei sistemi dell'azienda come farebbe un attaccante, si ferma alla prova che la falla esiste e documenta come chiuderla. In una PMI di Torino il perimetro di solito tocca quattro aree.
Indirizzi IP pubblici, firewall, VPN, posta, accesso remoto ai desktop e servizi pubblicati per errore: è da qui che parte la maggior parte degli attacchi alle PMI. Come si protegge questo strato lo spieghiamo nell'articolo sul firewall di nuova generazione.
Partendo da un PC dell'ufficio si verifica fin dove arriva un dispositivo compromesso: server, gestionale, backup, stampanti, macchinari di produzione. È il test che mostra se la rete è davvero segmentata o se basta una postazione per raggiungere tutto.
Portali clienti, e-commerce, aree riservate e applicazioni su misura vengono provati contro le vulnerabilità più diffuse del web (autenticazione debole, iniezioni, controlli di accesso aggirabili), con le credenziali di un utente normale e senza.
Con il consenso della direzione si può aggiungere una campagna di phishing simulato, per misurare quanti clic e quante credenziali arriverebbero a un attaccante vero. I rischi di questo canale sono descritti nell'articolo su phishing e social engineering.
Procedura
Il test non ferma il lavoro: le prove più invasive si fanno in finestre concordate e ogni passaggio è tracciato.
Si concordano sistemi, indirizzi e applicazioni da provare, cosa resta escluso, orari e referenti. La direzione firma l'autorizzazione: senza, un test di intrusione non si fa.
Si ricostruisce quello che un attaccante vede da fuori: domini, servizi esposti, versioni del software, credenziali finite in fughe di dati pubbliche.
Scansioni automatiche e verifiche manuali individuano le debolezze; ogni risultato viene controllato a mano per scartare i falsi positivi.
Sulle vulnerabilità confermate si prova l'accesso fino alla prova che il rischio è reale (per esempio un account o un server raggiunto), senza modificare né portare via dati.
I risultati vengono presentati alla direzione e ai tecnici; dopo le correzioni si ripetono le prove sulle falle trovate per confermare che sono chiuse.
Cosa ricevi
Poche pagine senza gergo: livello di rischio complessivo, le tre o quattro falle che contano davvero e cosa costa non correggerle.
Ogni vulnerabilità con gravità, sistemi coinvolti, prove raccolte e istruzioni per riprodurla, così chi gestisce l'IT può verificarla e correggerla.
Le correzioni in ordine di priorità, divise fra interventi immediati (aggiornamenti, configurazioni) e lavori da pianificare (segmentazione, gestione degli accessi).
Il rapporto documenta che le misure di sicurezza sono state messe alla prova: è quello che chiedono la direttiva NIS2, gli audit dei clienti più grandi e molti questionari di filiera. Il percorso completo è nella guida all'adeguamento NIS2 per le PMI.
Zero Trust
Il penetration test misura quanto è difficile entrare oggi; il modello Zero Trust cambia le regole perché entrare serva a poco. Come si costruisce lo raccontiamo nell'articolo sul framework Zero Trust.
Dice dove l'azienda è vulnerabile in quel momento. Un aggiornamento mancato o un nuovo servizio pubblicato il mese dopo non compaiono: per questo va ripetuto.
Nessun utente o dispositivo è fidato per il solo fatto di stare nella rete aziendale: ogni accesso viene verificato con identità, secondo fattore e stato del dispositivo, e ognuno vede solo quello che gli serve.
Le falle trovate diventano le priorità del percorso Zero Trust: se dal PC di un ufficio si raggiunge il backup, la prima cosa da fare è separare le reti e limitare gli accessi amministrativi.
Ripetuto dopo gli interventi, il penetration test mostra se un attaccante che riesce a entrare resta confinato in un angolo della rete invece di arrivare ai dati.
Domande frequenti
Il vulnerability assessment è una scansione che elenca le debolezze note dei sistemi. Il penetration test va oltre: un tecnico prova a sfruttarle e a concatenarle, e dimostra cosa un attaccante riuscirebbe davvero a raggiungere. Il primo si ripete spesso, anche in modo automatico; il secondo si fa a intervalli più lunghi e dopo i cambiamenti importanti.
Il rischio è basso e gestito: le prove che possono rallentare un servizio si fanno in orari concordati, i sistemi delicati (produzione, gestionale) si possono escludere o provare con cautela, e un referente dell'azienda è sempre raggiungibile durante le prove.
Dipende dal perimetro: numero di sedi, indirizzi pubblici e applicazioni da provare. Per una PMI con una sede e pochi servizi esposti le prove durano in genere pochi giorni lavorativi, a cui si aggiungono la stesura del rapporto e la verifica finale dopo le correzioni.
Almeno una volta l'anno e ogni volta che cambia qualcosa di importante: un nuovo firewall, un nuovo portale clienti, il passaggio al cloud, l'apertura di una sede. Fra un test e l'altro la scansione periodica delle vulnerabilità tiene sotto controllo le novità.
La direttiva NIS2 chiede ai soggetti obbligati di valutare l'efficacia delle proprie misure di sicurezza, e il penetration test è uno dei modi più diretti per farlo e per dimostrarlo. Anche le aziende fuori dall'obbligo lo ricevono sempre più spesso come richiesta dai clienti della filiera.
Scopri anche
SIEM e EDR avanzati per monitoraggio, rilevamento e risposta alle minacce in tempo reale con protezione multilivello.
Scopri di piùBackup sicuri con replica geografica, piani di ripristino testati e failover automatizzato per operatività garantita.
Scopri di più
Questo sito utilizza cookie tecnici necessari al funzionamento e, previo tuo consenso, cookie analitici e di terze parti per migliorare la tua esperienza. Puoi accettare, rifiutare o personalizzare le tue preferenze.