Vulnerability assessment: cos'è, come funziona e quanto costa

Ogni azienda che mette online un sito, un'applicazione, un portale o un'integrazione con altri sistemi espone una superficie che qualcuno, prima o poi, proverà ad attaccare. Il problema non è "se" ci sono punti deboli, ma "quali" e "quanto gravi". Il vulnerability assessment è l'esame sistematico che serve a scoprirli in modo controllato, prima che li trovi un attaccante. È il primo passo, concreto e a costo definito, per capire davvero com'è messa la sicurezza di un'applicazione.

Cos'è un vulnerability assessment

Un vulnerability assessment è un esame sistematico di un'applicazione, di un'API, di un sistema o di una rete, fatto per individuare le vulnerabilità note: configurazioni deboli, componenti non aggiornati, dati esposti più del necessario, controlli di accesso troppo larghi. Il risultato non è un elenco tecnico grezzo, ma una lista di rilievi ordinati per gravità, con l'indicazione di cosa correggere e con quale priorità.

La caratteristica chiave è che un vulnerability assessment individua e classifica i problemi, ma non li sfrutta. L'immagine giusta è quella di un'ispezione a un edificio: si elencano le porte lasciate aperte, le serrature deboli e le finestre senza chiusura, senza entrare a rubare. Serve a sapere dove sono i punti deboli, per poterli chiudere.

Vulnerability assessment e penetration test: che differenza c'è

I due termini vengono spesso confusi, ma rispondono a due domande diverse. Il vulnerability assessment è ampio e a bassa profondità: cerca il maggior numero possibile di vulnerabilità note su tutta la superficie, senza sfruttarle. Il penetration test (o test di penetrazione) è stretto e profondo: una persona prova attivamente a sfruttare pochi punti deboli, come farebbe un attaccante reale, per dimostrare fin dove si riesce ad arrivare e con quale impatto concreto.

In pratica, il vulnerability assessment risponde alla domanda "dove sono le porte lasciate aperte?"; il penetration test risponde a "qualcuno riesce davvero a entrare, e fin dove?". Non sono in concorrenza: il vulnerability assessment è la scelta giusta per l'igiene periodica e per una copertura ampia a costo contenuto, il penetration test per una verifica mirata e approfondita prima di un rilascio critico. Molte aziende partono da un vulnerability assessment e, dove serve, proseguono con un test di penetrazione sulle parti più sensibili.

Cosa trova un vulnerability assessment

I problemi che emergono più spesso in un'applicazione portata rapidamente online sono ricorrenti e concreti:

• configurazioni deboli o lasciate ai valori di default, non pensate per un ambiente esposto in rete;
• componenti e librerie con vulnerabilità note, non aggiornati;
• dati personali o riservati esposti più del necessario, spesso raggiungibili da chi non dovrebbe;
• controlli di accesso troppo larghi, dove non è chiaro chi può fare cosa;
• validazione degli input insufficiente, che apre la porta a manipolazioni;
• assenza o debolezza della cifratura dove i dati viaggiano o vengono conservati.

A ciascun rilievo si assegna una gravità: critico, alto, medio, basso. È questo che rende il lavoro utile: non un muro di segnalazioni tutte uguali, ma la possibilità di sistemare prima ciò che espone davvero, e con calma il resto.

Come funziona un vulnerability assessment, passo per passo

• Ambito: si decide cosa si esamina (quale applicazione, quali API, quale parte della rete) e quali dati sono più sensibili.
• Ricognizione e scansione: si mappa la superficie esposta e si eseguono scansioni controllate per far emergere le vulnerabilità note.
• Analisi e verifica: si separano i problemi reali dai falsi positivi. Uno strumento segnala, ma è il giudizio umano a distinguere il rumore dal rischio vero.
• Report: i rilievi ordinati per gravità, con correzioni concrete, in un linguaggio comprensibile sia a chi sviluppa sia a chi decide.
• Ri-verifica (dove serve): dopo le correzioni, si controlla che i problemi principali siano davvero chiusi.

Il valore non sta nella scansione, che può eseguire anche uno strumento automatico, ma nell'interpretazione: capire quali segnalazioni contano davvero, metterle in ordine e dire con precisione da dove conviene cominciare. Un report grezzo sputato da un tool, senza questa lettura, vale poco.

Ogni quanto fare un vulnerability assessment

Non è un controllo da fare una volta e dimenticare. Conviene farlo prima di un rilascio o di una beta, cioè prima che arrivino utenti e dati veri; dopo ogni cambiamento importante, come una nuova integrazione o una nuova funzionalità che allarga la superficie esposta; e con una certa periodicità, perché nuove vulnerabilità vengono scoperte di continuo anche nei componenti che si usano già. Un sistema sicuro l'anno scorso non è automaticamente sicuro oggi.

La sicurezza costa meno se è progettata dall'inizio

Un vulnerability assessment trova i problemi in un sistema che esiste già: è necessario, ma arriva dopo. Il risultato migliore si ottiene quando la sicurezza è pensata fin dalla progettazione (secure by design): privilegio minimo, minimizzazione dei dati, conformità al GDPR come punto di partenza. Su un'applicazione progettata bene un assessment trova poco; su una costruita in fretta trova molto, e spesso proprio nei punti che fanno più danno. La sicurezza aggiunta alla fine costa di più e protegge di meno di quella disegnata insieme al resto.

Quanto costa un vulnerability assessment

Non esiste un prezzo unico, e chi lo spara è da diffidare: dipende dall'ambito, cioè da quante applicazioni e API si esaminano, da quanto sono sensibili i dati in gioco e dalla profondità richiesta. Un assessment su perimetro definito parte da un prezzo fisso di €900 e restituisce un report dei rilievi in ordine di gravità con le correzioni; su perimetri più ampi si passa a un preventivo a fasi, con costi e tempi definiti prima di cominciare. Così l'investimento resta sotto controllo e si sa cosa si riceve prima di iniziare. Attenzione a un equivoco: una "scansione automatica" a prezzo sospettosamente basso che consegna solo l'output grezzo di uno strumento, senza analisi umana né priorità, non è un assessment: è metà del lavoro.

In sintesi

• Il vulnerability assessment è l'esame sistematico che trova le vulnerabilità note di un'applicazione o di un sistema, senza sfruttarle, con i rilievi ordinati per gravità.
• È diverso dal penetration test: il vulnerability assessment è ampio (trova molto), il penetration test è profondo (sfrutta pochi punti per dimostrarne l'impatto).
• Il valore non è la scansione, che fa anche uno strumento, ma il giudizio: separare i falsi positivi e dire cosa correggere prima.
• Va fatto prima di un rilascio, dopo ogni cambiamento importante e con periodicità.
• La sicurezza costa meno e protegge di più se è progettata dall'inizio, non aggiunta alla fine.
• Il prezzo è a fasi: si parte da uno scoping a costo contenuto che definisce ambito e priorità.

Domande frequenti sul vulnerability assessment

Cos'è un vulnerability assessment?

È un esame sistematico di un'applicazione, un'API, un sistema o una rete, fatto per individuare le vulnerabilità note e restituirle ordinate per gravità, con le correzioni consigliate. Individua e classifica i problemi, ma non li sfrutta.

Che differenza c'è tra vulnerability assessment e penetration test?

Il vulnerability assessment è ampio e non sfrutta le vulnerabilità: cerca quante più debolezze note possibile su tutta la superficie. Il penetration test è profondo e mirato: una persona prova a sfruttare pochi punti per dimostrare, come farebbe un attaccante, fin dove si riesce ad arrivare. Spesso si comincia dal primo e si prosegue con il secondo dove serve.

Quanto costa un vulnerability assessment?

Dipende dall'ambito: quante applicazioni e API si esaminano, quanto sono sensibili i dati e quale profondità serve. Un assessment su perimetro definito parte da un prezzo fisso di €900, report compreso; su perimetri più ampi, un preventivo a fasi definito prima di cominciare.

Ogni quanto va fatto un vulnerability assessment?

Prima di un rilascio o di una beta, dopo ogni cambiamento importante che allarga la superficie esposta e con una certa periodicità, perché nuove vulnerabilità vengono scoperte di continuo anche nei componenti già in uso.

Il vulnerability assessment si può fare da remoto?

Sì, quasi sempre. L'accesso all'ambito concordato, le scansioni e l'analisi si fanno da remoto e in sicurezza, con credenziali dedicate, senza dover fermare i sistemi.

Riguarda solo i siti web?

No. Riguarda applicazioni web, API, portali e la rete: ovunque ci sia una superficie esposta e dei dati da proteggere. La sicurezza delle applicazioni è il caso più frequente, ma non l'unico.

Trovare i punti deboli prima che lo faccia qualcun altro

Mettere online un'applicazione senza sapere dove sono i suoi punti deboli è come lasciare le chiavi sotto lo zerbino sperando che nessuno le cerchi. Un vulnerability assessment toglie il "si spera" e lo sostituisce con una lista chiara di cosa sistemare e in che ordine. Il primo passo non è un grande progetto: è uno scoping a scopo e prezzo definiti, per capire da dove conviene partire.

Per il servizio dedicato, con il perimetro, cosa comprende e come si parte:

Sicurezza applicativa e GDPR: il servizio, come funziona e come iniziare