Vulnerability Assessment
Vulnerability Assessment: che cos'è, come funziona e come lo esegue Nexsys
Il vulnerability assessment è l'analisi sistematica di un'infrastruttura IT alla ricerca delle vulnerabilità note che la rendono attaccabile: sistemi non aggiornati, servizi esposti, configurazioni deboli, credenziali predefinite, software fuori supporto. Non simula un attacco e non sfrutta le falle: le censisce, le classifica per gravità reale e le trasforma in un elenco ordinato di cose da correggere.
E l'attività di base di qualsiasi programma di sicurezza serio, ed è anche la più sottovalutata: quasi tutti gli incidenti che gestiamo partono da una vulnerabilità nota, con patch disponibile, che nessuno aveva mappato. Nexsys esegue vulnerability assessment su reti aziendali, sistemi esposti su Internet, applicazioni web, ambienti cloud e Microsoft 365, endpoint e Active Directory, restituendo un report leggibile e un piano di remediation con priorità.
Differenze tra VA e PT (in breve)
Un vulnerability assessment risponde alla domanda "quali falle note ho, dove sono e quali devo chiudere per prime". Un penetration test risponde a "queste falle sono davvero sfruttabili e fin dove si arriva". Il primo serve a tutte le aziende e va ripetuto; il secondo serve a verificare, e va fatto quando il primo e sotto controllo.
Che cos'è un vulnerability assessment
Il vulnerability assessment è un processo di identificazione, classificazione e prioritizzazione delle vulnerabilità presenti su sistemi, reti e applicazioni. Si appoggià a scanner professionali e a database pubblici di vulnerabilità note, ma non si esaurisce nella scansione: il valore sta nella verifica dei risultati e nella lettura in funzione del contesto aziendale.
Una scansione grezza produce centinaia di segnalazioni, molte delle quali sono falsi positivi o criticità teoriche su sistemi irrilevanti. Un vulnerability assessment fatto bene elimina il rumore e consegna un elenco corto di cose che contano davvero.
Che cosa NON è un vulnerability assessment
- Non è un penetration test. Non sfrutta le vulnerabilità, non tenta l'escalation dei privilegi, non simula la catena d'attacco.
- Non è un risk assessment. Non valuta l'impatto sul business né il rischio residuo accettabile: si ferma al livello tecnico.
- Non è un audit di conformità. Può alimentarlo, ma non certifica nulla.
- Non è l'output di uno scanner. Un PDF esportato da un tool non è un assessment: è materia prima.
Vulnerability Assessment o Penetration Test? La differenza che conta
È la domanda che riceviamo più spesso, e la confusione costa: molte aziende comprano un penetration test quando avrebbero bisogno di un vulnerability assessment, e viceversa. La distinzione è semplice.
| Vulnerability Assessment | Penetration Test |
Obiettivo | Censire le vulnerabilità note | Verificare se sono davvero sfruttabili |
Approccio | Ampio: copre tutto il perimetro | Profondo: segue una catena d'attacco |
Sfruttamento | No, nessun exploit | Si, exploit controllato e documentato |
Automazione | Prevalentemente automatizzato, con verifica manuale | Prevalentemente manuale |
Frequenza | Ricorrente (mensile o trimestrale) | Periodica (annuale o su cambiamento rilevante) |
Output | Elenco prioritizzato + piano di remediation | Percorso d'attacco + prova di impatto |
Quando serve | Sempre, come igiene di base | Quando la superficie è già sotto controllo |
Limite principale | Nessuna fase di sfruttamento: le vulnerabilità restano potenziali finché non vengono verificate | Costo elevato se ripetuto spesso o su molti sistemi |
Impatto sui sistemi | Migliaia di richieste automatiche: più invasivo di quanto si creda | Poche richieste, controllate manualmente in tempo reale |
In pratica: il vulnerability assessment dice quante porte hai lasciato aperte; il penetration test dimostra che cosa succede se qualcuno entra da una di quelle. Nella maggior parte dei casi ha senso partire dal primo: se una scansione trova cinquanta sistemi non patchati, il pentest confermera l'ovvio spendendo budget che sarebbe meglio investire nelle patch. Quando invece l'igiene di base c'e, il penetration test è il passo successivo naturale, e i due servizi si alimentano a vicenda.
Le due attività vengono spesso vendute insieme con la sigla VAPT (Vulnerability Assessment and Penetration Testing). È una combinazione sensata, ma solo se le fasi restano distinte e il report le tiene separate: sono due lavori diversi con due risultati diversi.
Dove finisce il vulnerability assessment e comincia il risk assessment
Il vulnerability assessment lavora sul piano tecnico: quali falle esistono e quanto sono gravi in astratto. Il risk assessment aziendale lavora sul piano del business: quanto pesa davvero quella falla per la tua azienda, considerando l'asset coinvolto, i processi che sostiene, la probabilità di sfruttamento e l'impatto economico e reputazionale.
Una CVE con punteggio 9.8 su un sistema di test isolato conta meno di una CVE 7.5 sul server che regge la produzione. Il vulnerability assessment produce i due numeri; il risk assessment decide quale delle due si corregge stanotte. Per questo i due servizi funzionano meglio in sequenza: prima si vede, poi si decide.
Quando serve un vulnerability assessment
- Non hai un inventario aggiornato di cosa e esposto su Internet.
- Il parco sistemi e cresciuto per stratificazione e nessuno sa cosa gira ancora su versioni fuori supporto.
- Devi adeguarti alla direttiva NIS2 o stai lavorando su ISO/IEC 27001 e ti serve evidenza documentata della gestione delle vulnerabilità.
- Un cliente, un fornitore o un'assicurazione ti ha chiesto prova del livello di sicurezza.
- Hai subito un incidente e devi capire quali altre porte sono rimaste aperte.
- Hai appena completato una migrazione, aperto una nuova sede o esposto un nuovo servizio.
- Fai patch management ma non hai modo di verificare che stia davvero funzionando.
Come si svolge: le sei fasi
Nexsys segue una metodologià allineata alle linee guida NIST SP 800-115 per il technical security testing, adattata alla dimensione e alla complessità dell'organizzazione.
- Definizione del perimetro. Si stabilisce cosa entra nell'analisi: indirizzi pubblici, reti interne, applicazioni, tenant cloud, endpoint. Si concordano finestre temporali, referenti e vincoli operativi.
- Discovery e inventario. Prima di cercare vulnerabilità bisogna sapere cosa esiste. Si mappano host attivi, servizi esposti, porte, versioni e tecnologie. In quasi tutti gli assessment questa fase da sola fa emergere sistemi che nessuno ricordava più.
- Si eseguono scansioni autenticate e non autenticate con scanner professionali, calibrate per non impattare la produzione. La scansione autenticata è quella che vede davvero: senza credenziali si legge solo la superficie.
- Verifica e riduzione dei falsi positivi. Ogni segnalazione rilevante viene controllata manualmente. È la fase che distingue un assessment da un export automatico ed è dove si concentra il lavoro dei nostri analisti.
- Le vulnerabilità confermate vengono ordinate incrociando gravità tecnica, esposizione reale, disponibilita di exploit pubblici e criticità dell'asset per l'azienda.
- Report e piano di remediation. Consegna del documento, presentazione dei risultati a tecnici e management, definizione delle azioni con responsabili e tempi. Se previsto, retest di verifica dopo le correzioni.
Da che cosa dipende la durata
Il vulnerability assessment è in larga parte automatizzato, ma il tempo non lo determina la scansione: lo determinano le fasi umane che le stanno attorno. Il setup e la calibrazione degli strumenti, la verifica dei risultati con eliminazione dei falsi positivi e la stesura del report pesano più della scansione stessa.
Le variabili che spostano davvero i tempi sono quattro: il numero di sistemi in perimetro, la loro tipologia, il tipo di report richiesto (documento ragionato e personalizzato oppure export dello strumento) e la lingua in cui va prodotto. Per questo la stima si fa dopo aver definito il perimetro, non prima: un numero dato a scatola chiusa è un numero sbagliato.
Che cosa analizziamo
Il perimetro si definisce insieme in fase iniziale. Un assessment può concentrarsi su una singola area o coprire tutta la superficie tecnologica.
Perimetro esterno
Tutto ciò che e raggiungibile da Internet: servizi pubblicati, VPN, portali, posta, accessi remoti, certificati, servizi esposti per errore. È il punto di partenza obbligato perché è la superficie che chiunque può scansionare senza chiedere permesso.
Rete interna e sistemi
Server, client, apparati, segmentazione, protocolli legacy ancora attivi, sistemi fuori supporto, condivisioni aperte, servizi non necessari. Qui l'assessment si integra bene con la revisione dei firewall aziendali e della gestione degli endpoint.
Applicazioni web e API
Portali, gestionali esposti, aree riservate, API. Si verificano configurazioni, componenti di terze parti con vulnerabilità note, header di sicurezza, gestione delle sessioni e librerie non aggiornate.
Microsoft 365 e ambienti cloud
Configurazioni del tenant, ruoli amministrativi, condivisioni esterne, autenticazione, superfici cloud esposte. Per un'analisi verticale sul tenant il vulnerability assessment si affianca al Microsoft 365 Security Assessment e alle attività di cloud security.
Active Directory e identità
Account privilegiati, password policy, deleghe, protocolli di autenticazione deboli, vulnerabilità note di Active Directory. Quando emergono criticità strutturali, il naturale approfondimento è l'Active Directory Security Assessment.
Credenziali, ambiente e impatto sui sistemi
Tre domande pratiche arrivano sempre prima della firma, e vale la pena rispondere qui perché determinano scope, tempi e rischio operativo.
Con o senza credenziali?
Una scansione autenticata vede molto più di una scansione dall'esterno: legge le versioni dei pacchetti installati, le configurazioni locali, le patch mancanti. È la modalità che restituisce il quadro più completo, ed è quella che consigliamo su ambienti dedicati o di pre-produzione.
Su sistemi di produzione la valutazione è diversa. Uno strumento automatico con credenziali valide compie operazioni che nessuno controlla riga per riga e può lasciare dati sporchi difficili da ripulire. In questi casi concordiamo in anticipo che cosa lo strumento è autorizzato a fare, oppure lavoriamo senza credenziali accettando una profondità minore. La scelta si fa insieme, non per default.
Produzione o pre-produzione?
Dove esiste un ambiente di pre-produzione allineato ai dati reali o popolato con dati fittizi, l'assessment si esegue lì. Dove non esiste, si lavora comunque sulla produzione: si limita il traffico generato verso i sistemi, si concordano le fasce orarie da evitare in base ai picchi di carico e si definisce un canale diretto per fermare l'attività in qualsiasi momento.
Quanto è invasivo davvero?
Qui c'è un equivoco diffuso che conviene sciogliere. Quasi tutti danno per scontato che il penetration test sia l'attività più rischiosa per i sistemi, e che il vulnerability assessment sia la versione innocua. Nella pratica è spesso il contrario.
Un penetration test è condotto manualmente: le richieste verso il sistema sono relativamente poche e un rallentamento o un malfunzionamento viene percepito dal tester nell'istante in cui si verifica, che può fermarsi subito. Un vulnerability assessment, al contrario, lancia migliaia di richieste automatiche che possono occupare CPU, memoria e banda; lo strumento rallenta solo quando il disservizio si è già prodotto. È esattamente il motivo per cui il perimetro, le finestre temporali e i limiti di intensità vanno concordati prima e non durante.
Come leggiamo i risultati: gravità non significa priorità
Ogni vulnerabilità nota ha un punteggio CVSS da 0 a 10. È un buon punto di partenza e un pessimo criterio unico: descrive la gravità tecnica in astratto, non quanto sei esposto tu. Se ordini le correzioni solo per CVSS, passerai settimané su criticità teoriche mentre resta aperta una falla media che qualcuno sta già sfruttando.
Nexsys incrocia quattro dimensioni:
- Gravità tecnica (CVSS): quanto e grave la vulnerabilità in se.
- Sfruttamento reale: esiste un exploit pubblico? La vulnerabilità compare fra quelle attivamente sfruttate secondo CISA?
- Esposizione: il sistema è raggiungibile da Internet o sta dietro tre livelli di segmentazione?
- Criticità dell'asset: quel sistema regge un processo aziendale o è un ambiente di prova?
Il risultato è un ordine di intervento che si può davvero eseguire, con un blocco di quick win in testa: le correzioni a basso sforzo e alto impatto da chiudere nella prima settimana.
Il report e il piano di remediation
Il report è pensato per essere letto da due pubblici diversi nello stesso documento.
- Sintesi per la direzione: quadro dell'esposizione, tre o quattro criticità che contano, impatto in linguaggio non tecnico, decisioni richieste.
- Dettaglio tecnico: ogni vulnerabilità confermata con sistema interessato, riferimento CVE, punteggio, evidenza, spiegazione e indicazione di correzione.
- Quick win: le azioni a basso costo da chiudere subito.
- Roadmap di remediation: attività ordinate per priorità, con responsabile e tempi indicativi.
- Confronto con l'assessment precedente, quando il servizio e ricorrente: cosa e stato chiuso, cosa e rimasto aperto, cosa e comparso di nuovo.
Sul report facciamo sempre una sessione di presentazione: un documento consegnato via email è un documento che nessuno legge.
Vulnerability Assessment as a Service: perché una volta all'anno non basta
Ogni giorno vengono pubblicate nuove vulnerabilità. Un assessment fotografa una situazione che comincia a invecchiare il giorno dopo la consegna: a distanza di sei mesi il quadro è sistematicamente diverso, e non in meglio.
Per questo Nexsys propone anche il vulnerability assessment in modalità continuativa: scansioni ricorrenti sul perimetro concordato, confronto automatico con la rilevazione precedente, segnalazione delle nuove esposizioni e report periodico con l'andamento nel tempo. Si smette di ragionare per progetti isolati e si comincia a misurare se la postura sta migliorando davvero.
La modalità continuativa si integra naturalmente con il monitoraggio del SOC as a Service: l'assessment individua cosa e vulnerabile, il SOC vede se qualcuno sta provando a sfruttarlo.
Vulnerability assessment e conformità: NIS2, ISO 27001, GDPR
La gestione delle vulnerabilità è un requisito esplicito o implicito di tutti i principali riferimenti normativi. Le misure di sicurezza di base previste dalla NIS2 includono la gestione delle vulnerabilità e delle patch; la ISO/IEC 27001:2022 la tratta nei controlli tecnici; il GDPR richiede misure adeguate al rischio, e un sistema non aggiornato con vulnerabilità note documentate è difficile da difendere davanti a un'autorita.
Un vulnerability assessment ricorrente produce esattamente ciò che serve in questi contesti: evidenza documentata, tracciabile e ripetibile. Se stai lavorando sull'adeguamento normativo, la pagina di riferimento è la nostra guida NIS2 per le PMI italiane, mentre il corso NIS2 copre l'implementazione lato organizzazione.
Perché Nexsys
Nexsys lavora ogni giorno sulle infrastrutture che poi analizza: reti aziendali, ambienti Microsoft 365, Active Directory, endpoint, backup, firewall. Questo cambia il risultato di un assessment, perché chi ha configurato e mantenuto quei sistemi sa distinguere una segnalazione rilevante da una teorica, e sa proporre una correzione che si può davvero applicare senza fermare la produzione. Le attività sono condotte da personale con certificazioni offensive e difensive riconosciute (CEH, CRPT), lo stesso profilo che porta in aula i nostri corsi di ethical hacking e penetration test.
A differenza di chi vende solo la scansione, restiamo anche dopo: la fase di remediation è quella che riduce davvero il rischio, e possiamo seguirla con hardening, patch management, revisione delle configurazioni e consulenza cybersecurity continuativa. Siamo soci Clusit e certificati ISO 9001:2015, e operiamo su tutto il territorio nazionale con base in Veneto: se cerchi un riferimento locale, vedi anche cybersecurity a Verona.
FAQ – Domande frequenti
Che cos'è un vulnerability assessment?
E l'analisi sistematica di sistemi, reti e applicazioni per identificare le vulnerabilità note, classificarle per gravità e definire l'ordine con cui vanno corrette. Non prevede lo sfruttamento delle vulnerabilità individuate.
Qual è la differenza tra vulnerability assessment e penetration test?
Il vulnerability assessment individua e classifica le vulnerabilità su un perimetro ampio, senza sfruttarle. Il penetration test parte da quelle vulnerabilità e verifica se sono realmente sfruttabili, seguendo una catena d'attacco. Il primo è ricorrente e serve come igiene di base, il secondo è periodico e serve come verifica.
Qual è la differenza tra vulnerability assessment e risk assessment?
Il vulnerability assessment lavora sul piano tecnico e risponde a "quali falle ho". Il risk assessment lavora sul piano del business e risponde a "quanto mi costano e quali devo affrontare per prime, considerando asset, processi e impatto".
Ogni quanto va ripetuto?
Dipende dall'esposizione. Per il perimetro esterno consigliamo una cadenza mensile o trimestrale, perché nuove vulnerabilità vengono pubblicate ogni giorno. Sulla rete interna una cadenza semestrale è spesso sufficiente, salvo cambiamenti rilevanti dell'infrastruttura.
Il vulnerability assessment blocca i sistemi in produzione?
No, se è calibrato correttamente. Le scansioni vengono configurate per intensita e concordate su finestre temporali definite. Sui sistemi più delicati si adottano profili non intrusivi e si concorda in anticipo il comportamento in caso di anomalia.
Serve per la NIS2 o per la ISO 27001?
Sì. La gestione delle vulnerabilità e delle patch rientra nelle misure di sicurezza di base previste dalla NIS2 ed e trattata nei controlli tecnici della ISO/IEC 27001:2022. Un assessment ricorrente produce l'evidenza documentata richiesta in entrambi i contesti.
Sono più invasivi i penetration test o i vulnerability assessment?
Contrariamente a quanto si pensa, di solito il vulnerability assessment. Il penetration test è manuale: genera poche richieste e il tester si accorge immediatamente di qualsiasi rallentamento. Lo strumento di scansione invece invia migliaia di richieste e rallenta solo dopo che il disservizio si è verificato. Per questo intensità, perimetro e finestre temporali vanno concordati prima.
Devo fornire le credenziali?
Su ambienti dedicati o di pre-produzione sì: la scansione autenticata restituisce un quadro molto più completo. Su sistemi di produzione la scelta va valutata insieme, perché uno strumento automatico con credenziali valide può lasciare dati difficili da ripulire. In quel caso si concorda in anticipo il perimetro di azione dello strumento oppure si lavora senza credenziali.
E se non ho un ambiente di test separato?
Si lavora sulla produzione, con precauzioni concordate: limitazione del traffico generato verso i sistemi, esclusione delle fasce orarie di maggior carico e un canale diretto per interrompere l'attività in qualsiasi momento.
Quanto dura un vulnerability assessment?
Dipende dall'ampiezza del perimetro, dal numero di sistemi e dal livello di verifica manuale richiesto. Per un perimetro esterno di una PMI il lavoro si concentra in pochi giorni; per un'infrastruttura articolata su più sedi serve una pianificazione più estesa.
Vuoi capire come proteggere meglio la rete della tua azienda? Contattaci per una consulenza gratuita: analizziamo i rischi, ti proponiamo soluzioni concrete e ti accompagniamo passo dopo passo verso una protezione efficace e sostenibile.
Preferisci compilare il modulo? Scrivi i tuoi dati qui sotto
Il servizio telefonico è attivo dal lunedì al venerdì dalle 8:00 alle 18:00 al numero 0452456669. Puoi anche compilare il modulo sottostante:
