Negli ultimi anni le attività di Vulnerability Assessment e Penetration Test sono diventate sempre più frequenti all’interno delle organizzazioni. La crescita degli attacchi informatici, l’aumento delle superfici esposte e l’introduzione di normative come NIS2 e DORA hanno spinto molte aziende a investire in verifiche tecniche finalizzate a comprendere il proprio livello di esposizione al rischio cyber.
Nonostante questo, in molti casi il risultato finale di queste attività continua a seguire un percorso piuttosto prevedibile: viene prodotto un report tecnico, vengono evidenziate vulnerabilità e criticità, vengono formulate alcune raccomandazioni e il documento viene archiviato fino alla successiva verifica.
Il problema non riguarda la qualità del lavoro svolto dai team di cybersecurity, ma il fatto che le informazioni raccolte durante un VAPT raramente entrano in modo strutturato nei processi decisionali dell’organizzazione. Le vulnerabilità vengono individuate, ma spesso non vengono correlate ai processi aziendali che supportano, ai servizi che potrebbero essere compromessi o agli impatti operativi che potrebbero generare.
Di conseguenza, la sicurezza produce evidenze tecniche mentre la governance continua a ragionare attraverso valutazioni del rischio costruite su interviste, workshop e percezioni soggettive.
Che cos’è realmente un VAPT
L’acronimo VAPT identifica due attività complementari ma differenti.
Il Vulnerability Assessment consiste nell’identificazione sistematica delle vulnerabilità presenti su sistemi, infrastrutture, applicazioni o servizi. L’obiettivo è individuare configurazioni errate, software obsoleto, errori di implementazione o altre debolezze che potrebbero essere sfruttate da un attaccante.
Il Penetration Test rappresenta invece una simulazione controllata di attacco. Attraverso tecniche e strumenti utilizzati anche dagli attaccanti reali, il tester verifica se una vulnerabilità possa essere effettivamente sfruttata e quali conseguenze possa produrre.
Mentre il Vulnerability Assessment risponde principalmente alla domanda:
“Quali vulnerabilità sono presenti?”
il Penetration Test cerca di comprendere:
“Quali vulnerabilità possono essere sfruttate e con quali effetti?”
Le due attività vengono normalmente eseguite insieme proprio per ottenere una fotografia più completa del livello di esposizione dell’organizzazione.
Perché le normative stanno attribuendo sempre più importanza ai VAPT
Il crescente interesse verso queste attività non deriva esclusivamente da esigenze tecniche.
Le principali normative europee in materia di cybersecurity e resilienza operativa richiedono alle organizzazioni di adottare processi strutturati per identificare e gestire le vulnerabilità.
La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, richiede che i soggetti essenziali e importanti adottino misure tecniche, operative e organizzative adeguate alla gestione dei rischi informatici. Tra queste rientrano esplicitamente la gestione delle vulnerabilità, il monitoraggio continuo e la capacità di individuare tempestivamente esposizioni e minacce.
Anche il Regolamento DORA impone alle entità finanziarie di implementare un framework di gestione del rischio ICT che includa attività di testing della sicurezza e verifiche periodiche dell’efficacia dei controlli adottati.
La ISO/IEC 27001 segue la stessa logica. Sebbene non imponga formalmente l’esecuzione di penetration test, richiede che le organizzazioni valutino l’efficacia delle misure di sicurezza implementate e mantengano sotto controllo le vulnerabilità tecniche che potrebbero compromettere la riservatezza, l’integrità o la disponibilità delle informazioni.
In tutti questi casi il VAPT rappresenta uno degli strumenti più efficaci per ottenere evidenze concrete sullo stato reale della sicurezza.
Una vulnerabilità non è automaticamente un rischio
Uno degli equivoci più frequenti riguarda la relazione tra vulnerabilità e rischio.
Molte organizzazioni tendono a considerare il livello di rischio direttamente proporzionale al punteggio tecnico attribuito alla vulnerabilità. In realtà il rapporto è molto più complesso.
Una vulnerabilità classificata con severità elevata potrebbe riguardare un sistema isolato, privo di dati rilevanti e con impatti limitati sul business.
Al contrario, una vulnerabilità apparentemente meno grave potrebbe interessare un’applicazione critica per l’operatività aziendale, un servizio esposto ai clienti o un sistema che tratta informazioni particolarmente sensibili.
Il rischio nasce infatti dall’incontro tra diversi fattori:
- vulnerabilità tecnica;
- esposizione reale;
- probabilità di sfruttamento;
- asset coinvolti;
- processi supportati;
- impatto sul business.
Per questo motivo il dato tecnico, da solo, non è sufficiente a guidare le priorità dell’organizzazione.
Serve una lettura più ampia che permetta di comprendere quali vulnerabilità rappresentino realmente una minaccia per gli obiettivi aziendali.
Il limite dei report statistici
La maggior parte dei VAPT produce documentazione di elevato valore tecnico.
Tuttavia, una volta conclusa l’attività, il report tende a diventare una fotografia statica di una situazione destinata a cambiare rapidamente.
Le vulnerabilità vengono corrette, i sistemi evolvono, nuovi asset entrano in esercizio, nuove minacce emergono.
Nel frattempo, il report rimane immutato.
A distanza di pochi mesi diventa spesso difficile comprendere:
- quali vulnerabilità siano ancora aperte;
- quali siano state risolte;
- quali azioni siano state intraprese;
- quali decisioni siano state assunte;
- come sia cambiato il livello di rischio complessivo.
La conseguenza è che una grande quantità di informazioni preziose rischia di perdere progressivamente valore operativo.
Dalla cybersecurity al risk management
Negli ultimi anni il concetto stesso di cybersecurity si è progressivamente spostato da una dimensione puramente tecnica a una dimensione di governance.
Lo dimostrano chiaramente sia NIS2 sia DORA.
Entrambe le normative insistono sul concetto di gestione del rischio come processo continuo composto da identificazione, valutazione, trattamento e monitoraggio.
L’esecuzione di un VAPT rappresenta soltanto uno dei momenti di questo ciclo.
Il valore emerge quando i risultati ottenuti vengono utilizzati per aggiornare le valutazioni del rischio, ridefinire le priorità di intervento, pianificare azioni correttive e monitorarne l’efficacia nel tempo.
In altre parole, il penetration test non dovrebbe essere considerato un’attività a sé stante, ma una fonte di evidenze che alimenta il processo di risk management.
La domanda che le organizzazioni dovrebbero porsi
Sempre più aziende stanno investendo in attività di cybersecurity avanzata.
La domanda, tuttavia, non riguarda più soltanto l’esecuzione di Vulnerability Assessment e Penetration Test ma comprendere quanto le evidenze prodotte da queste attività influenzino realmente le decisioni dell’organizzazione.
Le vulnerabilità identificate vengono correlate ai processi aziendali?
Contribuiscono ad aggiornare la valutazione del rischio?
Generano azioni correttive tracciabili?
Consentono di misurare nel tempo l’efficacia degli interventi effettuati?
Se la risposta è negativa, il rischio è che una parte significativa del valore prodotto dal VAPT rimanga confinata all’interno di un documento tecnico.
È proprio qui che cybersecurity e governance iniziano a incontrarsi.
👉 Nel prossimo approfondimento vedremo come integrare i risultati di un VAPT all’interno di un processo strutturato di risk management.