Il penetration test (o pen test) è la simulazione controllata di un attacco informatico, condotta con autorizzazione del proprietario dei sistemi, per identificare le vulnerabilità tecniche e organizzative che un attaccante reale potrebbe sfruttare. Secondo il Rapporto Clusit 2025, oltre l'80% delle violazioni gravi avviene tramite vulnerabilità note ma non patchate, configurazioni errate o errori umani: in altre parole, problemi che un penetration test individuerebbe prima del breach. In questa guida Nexsys analizza cos'è il penetration test, le sue 5 fasi metodologiche, le tipologie disponibili, gli standard internazionali di riferimento, le normative collegate (NIS2, GDPR, PCI-DSS) e come scegliere il servizio giusto per la tua organizzazione.
Le finalità dell'attività di Penetration Test sono quelle di evidenziare ai responsabili dell'organizzazione/target, quali sono le principali debolezze evidenziate a livello di sicurezza informatica oppure l'efficacia delle soluzioni di protezione messe in atto.
Se stai cercando un percorso formativo, scopri invece il nostro corso di penetration testing!
Cos'è il penetration test
Il penetration test è un'analisi di sicurezza condotta simulando attacchi informatici reali contro un sistema informativo, con l'obiettivo di identificare vulnerabilità sfruttabili prima che lo facciano attaccanti malevoli. Si tratta di un'attività autorizzata, contrattualmente regolata e documentata: senza autorizzazione formale del proprietario dei sistemi, le stesse tecniche configurano reati ex articoli 615 ter, 615 quater e 617 quater del codice penale italiano.
L'oggetto del test può essere qualsiasi elemento di un sistema informativo: una applicazione web, un singolo apparato di rete, un ambiente cloud, un'infrastruttura Active Directory, una rete wireless, un'applicazione mobile, o l'intera rete aziendale. Il perimetro è sempre definito a priori nel contratto.
Il valore del pen test non sta nel "rilevare le vulnerabilità" — quelle le elencano anche tool automatici — ma nel dimostrare concretamente l'impatto di ciascuna debolezza: cosa può fare un attaccante una volta dentro, fino a dove può spingersi, quali dati può esfiltrare, quale operatività può interrompere.
Perché un'azienda ne ha bisogno
L'integrazione di attività di penetration testing nella strategia di sicurezza aziendale risponde a esigenze concrete:
Validazione delle difese implementate
Hai firewall, EDR, MFA, segmentazione di rete: ma sono configurati correttamente? Resistono a un attacco reale? Solo un test offensivo strutturato lo dimostra. La consulenza di sicurezza tradizionale fornisce raccomandazioni; il penetration test fornisce evidenze.
Prioritizzazione degli investimenti di remediation
I tool automatici di vulnerability scanning generano centinaia di alert, molti falsi positivi o irrilevanti nel contesto. Un ethical hacker identifica le vulnerabilità che realmente conducono alla compromissione, permettendo di prioritizzare interventi con criterio impact-based.
Conformità normativa
Standard come ISO 27001, PCI-DSS, e la Direttiva NIS2 richiedono o raccomandano test di sicurezza periodici. Il GDPR considera il pen test parte delle "misure tecniche e organizzative adeguate" ex articolo 32. Per molte aziende è anche un requisito assicurativo (cyber-insurance).
Difesa contro minacce moderne
Attacchi come ransomware, supply chain compromise e BEC sfruttano combinazioni complesse di vulnerabilità tecniche e procedurali che difficilmente emergono da audit tradizionali. Il pen test simula questi scenari complessi, testando l'intera catena di difesa.
Awareness organizzativa
I report di pen test sono potenti strumenti di sensibilizzazione interna: mostrano in concreto come un attaccante avrebbe compromesso l'azienda, attivando la consapevolezza presso management, IT e utenti. Spesso accelerano decisioni di investimento prima bloccate.
Le 5 fasi metodologiche del penetration test
Un'attività di penetration testing professionale segue una metodologia strutturata in 5 fasi, modellata sui processi reali degli attaccanti ma documentata in modo rigoroso. È la base degli standard internazionali come NIST SP 800-115 e PTES.
Fase 1 — Information Gathering (ricognizione)
Raccolta di tutte le informazioni disponibili sul target: dominio, infrastruttura, dipendenti, tecnologie, fornitori. Si distinguono tecniche passive (OSINT da fonti aperte: LinkedIn, sito web, registri DNS, certificati TLS) e attive (interazione diretta: Whois, DNS lookup, scanning iniziale). Approfondisci nel nostro articolo dedicato all'information gathering nel penetration test e ai 10 tool OSINT più utilizzati.
Fase 2 — Scanning ed Enumeration
Mappatura tecnica dei sistemi: porte aperte, servizi attivi, versioni software, configurazioni esposte, utenti, condivisioni di rete. Lo scanning identifica "cosa è attivo", l'enumeration approfondisce "cosa c'è dentro". Per il dettaglio operativo consulta la guida sull'enumerazione nell'ethical hacking.
Fase 3 — Vulnerability Assessment
Identificazione delle vulnerabilità sfruttabili tramite tool automatici (Nessus, OpenVAS, Burp Suite Pro) integrati con analisi manuale. La differenza chiave: il vulnerability assessment elenca i problemi, il penetration test ne dimostra lo sfruttamento concreto. Approfondisci nell'articolo Vulnerability Assessment vs Penetration Test.
Fase 4 — Exploitation
Sfruttamento attivo delle vulnerabilità identificate per ottenere accesso ai sistemi. Si utilizzano framework come Metasploit, Cobalt Strike, exploit custom e tecniche di social engineering. L'obiettivo è dimostrare l'impatto reale della vulnerabilità: cosa può fare un attaccante una volta dentro? Per un'introduzione pratica vedi Kali Linux e Metasploit: basi di penetration testing.
Fase 5 — Post-Exploitation e Reporting
Dopo l'accesso iniziale, l'ethical hacker esplora cosa è raggiungibile (movimento laterale, escalation di privilegi, accesso a dati sensibili). Tutto viene documentato. Al termine si redige il report tecnico-esecutivo (vedi sezione 8).
Vuoi vedere in azione queste 5 fasi sulla tua infrastruttura?
Nexsys eroga servizi di Penetration Test con team certificato CEH, OSCP e CRPT, secondo standard OWASP, NIST SP 800-115 e PTES.
Tipologie di penetration test: black, white, grey box
Le diverse modalità si distinguono per il livello di informazione condiviso con il tester prima dell'attività. La scelta ha impatti su realismo, copertura e costo.
Black box test
L'ethical hacker riceve come unica informazione l'indirizzo internet dell'organizzazione target. Simula un attaccante esterno senza conoscenze pregresse dell'infrastruttura. Massimo realismo, ma copertura limitata: il tester potrebbe non scoprire vulnerabilità in aree che non riesce a raggiungere nel tempo a disposizione. Spesso usato come "test esterno" perimetrale.
White box test
Il tester riceve informazioni complete: schemi di rete, codice sorgente, credenziali, documentazione tecnica. Massima copertura, simula scenari di insider threat o post-breach (l'attaccante è già dentro). Anche detto "internal test".
Grey box test
Compromesso più diffuso: alcune informazioni preliminari (account utente standard, schemi di alto livello) ma non accesso completo. Bilanciamento ottimale tra realismo ed efficacia. Approccio raccomandato nella maggior parte degli scenari enterprise.
Target: cosa si testa
I penetration test si sono diversificati per ambito specifico. Ecco le tipologie più richieste:
- Network penetration test
- Test della sicurezza di reti, host e apparati. Si distingue in external (perimetro internet-facing) e internal (rete LAN aziendale dopo simulato breach).
- Web application penetration test (WAPT)
- Test di applicazioni web custom: SQL injection, XSS, CSRF, authentication bypass, business logic flaws. Riferimento metodologico OWASP Top 10. Nexsys eroga un corso dedicato: Corso Web Application Penetration Testing.
- Mobile application test
- Test specifico di app Android e iOS, sia statico (analisi del binario) sia dinamico (runtime instrumentation con tool come Frida e MobSF).
- Wireless penetration test
- Test di reti Wi-Fi aziendali: protocolli WEP/WPA/WPA3, Evil Twin attacks, captive portal bypass, attacchi a guest network.
- Cloud penetration test
- Test di ambienti AWS, Azure, GCP: configurazioni IAM, esposizione S3/Storage, container, serverless. Per Azure Nexsys ha un corso verticale: Penetration Test on Azure.
- Active Directory assessment
- Test verticale dell'infrastruttura di identità Microsoft: Kerberoasting, AS-REP Roasting, escalation di privilegi, attacchi via BloodHound. Vedi il servizio Assessment & Hardening AD.
- Social engineering test
- Test del fattore umano: phishing simulato, vishing, pretexting, baiting fisico. Connesso alla strategia di awareness — vedi il Corso Phishing Awareness.
Standard e framework di riferimento
Un penetration test professionale segue metodologie riconosciute internazionalmente. I principali:
| Standard | Ente | Focus |
|---|---|---|
| NIST SP 800-115 | NIST (USA) | Technical Guide to Information Security Testing and Assessment. Riferimento metodologico standard enterprise e federale. |
| OWASP Testing Guide | OWASP Foundation | Guida per testing di sicurezza delle applicazioni web. Include OWASP Top 10, API Security Top 10, Mobile Top 10. |
| PTES | Comunità | Penetration Testing Execution Standard. Copre 7 fasi: pre-engagement, intelligence, threat modeling, vulnerability analysis, exploitation, post-exploitation, reporting. |
| OSSTMM | ISECOM | Open Source Security Testing Methodology Manual. Approccio metrico ("rav" = security score). Adottato in contesti accademici e governativi. |
| MITRE ATT&CK | MITRE | Framework di tattiche e tecniche degli attaccanti reali. Non è metodologia di pen test ma linguaggio comune. I report moderni mappano le tecniche utilizzate ad ATT&CK. |
Pen test vs vulnerability assessment vs red team
Tre attività spesso confuse ma con scopi diversi:
| Attività | Obiettivo | Profondità | Frequenza |
|---|---|---|---|
| Vulnerability Assessment | Elenco vulnerabilità potenziali | Ampio, automatico | Mensile/trimestrale |
| Penetration Test | Sfruttamento attivo per dimostrare impatto | Profondo, su scope definito | Annuale o post-modifiche |
| Red Team | Simulazione attacco completo, obiettivo business-driven | Profondo, scope ampio, durata estesa | Aziende mature, 1-3 mesi |
Approfondisci le differenze nei nostri articoli dedicati: Vulnerability Assessment vs Penetration Test e Penetration Test vs Red Teaming.
Il report di penetration test: cosa deve contenere
Il report è la deliverable finale e il vero valore percepito dal cliente. Un report ben strutturato include cinque elementi essenziali:
Executive summary
Visione di alto livello del rischio e dell'impatto aziendale, con linguaggio non tecnico. Pensato per dirigenti, CFO, CEO che devono prendere decisioni di investimento. Deve far comprendere la posta in gioco senza richiedere competenze tecniche.
Panoramica dei rischi tecnici
Categorizzazione delle vulnerabilità per severità (Critical, High, Medium, Low) con scoring oggettivo CVSS. Per ogni vulnerabilità: descrizione tecnica, contesto di sfruttamento, asset interessati.
Evidenze tecniche
Screenshot, log, payload usati, dump di credenziali (mascherate), output dei tool. Le evidenze permettono al team IT di replicare ed effettuare il fix.
Potenziale impatto della vulnerabilità
Probabilità di sfruttamento + impatto business potenziale. Un rischio è composto dalla combinazione di queste due dimensioni — non solo dalla probabilità tecnica.
Opzioni di remediation
Per ogni vulnerabilità, più alternative di mitigazione (non solo "disabilita il servizio"). Esempi: patching, riconfigurazione, segmentazione, controllo compensativo, accettazione del rischio motivata. Ogni opzione con stima di effort e impatto operativo.
Aspetti legali e contrattuali
Il penetration test, anche se condotto a fini etici, è giuridicamente delicato. La differenza tra ethical hacker e criminale informatico — dal punto di vista del codice penale italiano — sta interamente nella autorizzazione formale.
Statement of Work (SoW)
Contratto formale firmato dal proprietario legale dei sistemi che definisce: scope tecnico (quali asset), perimetro temporale (quando), tipologia di test, esclusioni, limitazioni operative, gestione di compromissioni accidentali, riservatezza. Senza SoW si configurano reati ex artt. 615 ter, 615 quater, 617 quater c.p.
Rules of Engagement (RoE)
Documento operativo che dettaglia le regole specifiche durante il test: orari di esecuzione, sistemi off-limits, gestione di credenziali catturate, comunicazioni di emergenza, protocollo di stop-test in caso di criticità operative.
Confidentiality Agreement
NDA dedicato alla gestione delle informazioni raccolte. Le evidenze di un pen test sono dati altamente sensibili (vulnerabilità non patchate, password reali, configurazioni interne) e devono essere gestiti con rigore.
Cyber-insurance
Verifica che la polizza cyber copra eventuali incidenti accidentali generati durante un pen test (es. downtime non previsto). Le polizze moderne lo prevedono ma è sempre meglio confermarlo prima dell'attività.
Frequenza, costi e ROI
Best practice di frequenza: almeno una volta l'anno, oppure dopo modifiche significative dell'infrastruttura (nuovo sito web, migrazione cloud, M&A, dispiegamento di nuove tecnologie). Settori regolamentati (finanziario, sanità, PCI-DSS scope) richiedono frequenze maggiori, spesso semestrali. Aziende mature implementano programmi continui di Red Team su scope rotanti.
Per il dettaglio dei costi, abbiamo una guida dedicata: Costo del Penetration Test: prezzi, variabili e scenari reali. In sintesi, una PMI con perimetro standard parte da 3-7k euro per un external pen test; ambienti enterprise complessi possono superare i 30-50k euro per progetti completi.
ROI: il costo medio di una violazione cybersecurity in Italia secondo il Rapporto Clusit 2025 è di circa 3,8 milioni di euro. Un pen test annuale rappresenta una frazione percentuale di questo rischio.
Penetration test e conformità normativa
Le normative vigenti che richiedono o raccomandano penetration test:
| Normativa | Requisito sul pen test |
|---|---|
| NIS2 (D.Lgs. 138/2024) | L'art. 21 prevede "valutazione di efficacia delle misure di gestione del rischio cyber". Vulnerability assessment e pen test sono lo strumento operativo tipico. Vedi la nostra guida NIS2 in 7 step. |
| GDPR (Reg. UE 2016/679) | Art. 32 richiede "misure tecniche e organizzative adeguate". Pen test considerato strumento di valutazione efficacia. |
| PCI-DSS v4 | Esplicito: pen test annuale + dopo modifiche significative all'ambiente cardholder data. External + internal entrambi richiesti. |
| ISO/IEC 27001:2022 | Controllo A.8.29 (Security testing in development and acceptance) prevede attività di test della sicurezza durante sviluppo e accettazione di sistemi. |
| DORA (Reg. UE 2022/2554) | Per il settore finanziario impone Threat-Led Penetration Testing (TLPT) per entità critiche. |
Come scegliere il fornitore di penetration test
Il mercato è eterogeneo. Quattro criteri operativi per non sbagliare la scelta:
- Certificazioni del team: cerca team con certificazioni hands-on (OSCP, CRPT) e teoriche (CEH, CompTIA PenTest+, GPEN). Le certificazioni vendor-neutral sono più affidabili di quelle vendor-specific.
- Metodologia documentata: chiedi quale standard segue (OWASP, NIST, PTES). Diffida di chi parla solo di "tool propri" senza framework di riferimento.
- Esempio di report sanitizzato: prima di firmare, chiedi un report di esempio (con dati anonimizzati). La qualità del report finale è il principale differenziatore tra fornitori.
- Cyber-insurance e SLA chiari: contratto con responsabilità definite, polizza assicurativa attiva, SLA su gestione delle evidenze e tempi di consegna report.
Nexsys soddisfa tutti e quattro i criteri.
Team certificato CEH/CRPT/OSCP, metodologia OWASP + NIST SP 800-115 + MITRE ATT&CK, esempi di report sanitizzati disponibili in fase pre-vendita, contratto con SLA e polizza dedicata.
Domande frequenti sul penetration test
Qual è la differenza tra penetration test e vulnerability assessment?
Il vulnerability assessment usa tool automatici per elencare vulnerabilità potenziali; il penetration test tenta attivamente di sfruttarle dimostrando l'impatto reale. Il VA è ampio e regolare (anche mensile), il pen test è profondo e periodico (annuale o post-modifiche). Sono complementari, non alternativi.
Quanto costa un penetration test?
Variabile in base a scope, complessità e durata. Per una PMI con perimetro standard: external pen test parte da 3-7k euro; internal + web application aggiunge complessità. Per organizzazioni enterprise con scope ampio si arriva a 30-50k euro per progetti completi. Dettagli sulla nostra guida ai costi del penetration test.
Quanto dura un'attività di pen test?
Un external pen test tipico richiede 1-2 settimane di esecuzione più 1 settimana di reportistica. Un internal pen test 2-4 settimane. Red team operations possono durare 1-3 mesi. Il timing dipende dalla complessità del perimetro testato e dalla profondità richiesta dal cliente.
Con che frequenza fare pen test?
Best practice: almeno una volta l'anno, oppure dopo modifiche significative dell'infrastruttura (nuovo sito web, migrazione cloud, M&A). Settori regolamentati (finanziario, sanità, PCI-DSS) richiedono frequenze maggiori, spesso semestrali. Aziende mature implementano programmi continui di Red Team.
Si può fare un pen test in produzione senza causare danni?
Sì, con metodologia controllata. Le tecniche distruttive (denial-of-service test) vanno eseguite solo se esplicitamente concordate, idealmente fuori orario o in ambiente di staging. Le tecniche non-distruttive (information gathering, vulnerability identification, exploitation controllata) sono sicure se eseguite da professionisti con esperienza. Il rischio zero non esiste ma è gestibile contrattualmente.
Cosa contiene un report di penetration test?
Executive summary (per management non-tecnico), metodologia applicata, vulnerabilità identificate con score CVSS, evidenze tecniche (screenshot, log, payload), impatto business, remediation prioritizzata per impatto/sforzo, allegato evidenze. Un report ben fatto è leggibile dal CTO, dal CISO e dal team operativo.
L'ethical hacking è legale in Italia?
Sì, se condotto con autorizzazione formale del proprietario dei sistemi e nel rispetto del contratto. Senza autorizzazione configura reati ex artt. 615 ter (accesso abusivo), 615 quater (detenzione codici accesso), 617 quater (intercettazione comunicazioni informatiche) del codice penale. Il contratto formale è il singolo elemento che distingue ethical hacker da criminale informatico.
Posso formare un pen tester interno invece di affidarmi a consulenti esterni?
Entrambe le strategie hanno valore. Un team interno conosce meglio l'azienda ma rischia di perdere freschezza sui pattern d'attacco esterni. Un consulente porta esperienza eterogenea e prospettiva oggettiva ma conosce meno il contesto. Modello ottimale: team interno per attività continue (vulnerability scanning, awareness) + consulenti esterni per pen test annuali e red team specifici. Per la formazione interna Nexsys eroga Corso Penetration Test, Corso Ethical Hacking Avanzato (CEH) e Corso CompTIA PenTest+.
Pen test e red team sono la stessa cosa?
No. Il pen test ha scope tecnico definito (es. "testare l'applicazione X" o "il perimetro Y") e durata limitata. Il red team ha obiettivo business-driven (es. "esfiltrare un dato critico", "compromettere un account dirigenziale"), durata estesa (settimane-mesi) e scope più ampio. Il red team usa anche social engineering, accesso fisico, supply chain. Dettagli su pen test vs red teaming.
Quali certificazioni dovrebbe avere un ethical hacker?
Le più riconosciute: CEH (EC-Council, entry/mid-level), CompTIA PenTest+ (vendor-neutral, approvata DoD USA), OSCP (Offensive Security, hands-on senior), eCPPT (eLearnSecurity, pratica), GPEN (SANS, enterprise). Il team Nexsys è certificato CEH, CRPT, OSCP e CompTIA.
14. Il servizio Nexsys
Nexsys eroga penetration test per aziende del Nord-Est e del territorio nazionale con un approccio operativo che integra tre dimensioni:
Servizio commerciale
Penetration test gestiti chiavi in mano: pre-engagement, esecuzione, reportistica tecnico-esecutiva, presentazione del report a management e team IT, supporto alla remediation.
Formazione specialistica
Percorsi formativi per sviluppare competenze interne di pen testing:
- Corso Penetration Test — percorso generico
- Corso Web Application Penetration Testing (WAPT) — specializzazione web
- Corso Ethical Hacking Avanzato — preparazione CEH
- Corso CompTIA PenTest+ — certificazione vendor-neutral
- Corso Penetration Test on Azure — specializzazione cloud Microsoft
Assessment verticali
Servizi specifici su tecnologie verticali: