Conosci le tue vulnerabilità
prima che le trovi qualcun altro.

Il vulnerability assessment è una ricognizione sistematica: scansione, automatica e manuale, di reti, server, endpoint, servizi cloud e applicazioni per trovare vulnerabilità note, configurazioni insicure e software non aggiornato, con una classificazione per rischio. Il penetration test va oltre: prova davvero a sfruttare quelle debolezze, in modo controllato e concordato, per dimostrare cosa un attaccante otterrebbe. Lo conducono specialisti, anche con strumenti assistiti da intelligenza artificiale di cui validiamo ogni risultato. Il primo dice dove sei esposto, il secondo quanto fa male. Servono entrambi, con frequenze diverse.

Nel 2025 sono state pubblicate 48.185 nuove CVE, circa 131 al giorno: un test fatto una volta l’anno fotografa una situazione che cambia ogni settimana. La nostra indicazione è un vulnerability assessment continuo o almeno mensile sugli asset esposti, un penetration test almeno annuale e a ogni cambiamento rilevante (nuova applicazione, migrazione, fusione), e un re-test dopo ogni remediation. La NIS2 chiede esplicitamente una gestione delle vulnerabilità come processo, non come evento.

Un vulnerability assessment ha un impatto trascurabile, ed è configurato per non saturare rete e sistemi. Un penetration test può avere effetti su servizi fragili, per questo ogni fase è concordata prima: perimetro, regole d’ingaggio, finestre temporali, sistemi esclusi, contatti di emergenza e criteri di stop. Sui sistemi critici lavoriamo in finestre dedicate o su ambienti di replica. Un penetration test assistito da intelligenza artificiale simula un attaccante vero e può modificare dati, inviare moduli o far partire notifiche: per questo lo consigliamo su ambienti di test e, se si lavora in produzione, prima servono backup, snapshot e una prova di ripristino, che possiamo eseguire noi come attività prevista nel contratto. Il test si può fermare in qualsiasi momento: lo stop blocca le azioni successive, non annulla quelle già eseguite. Non promettiamo “zero impatti”: promettiamo di dirti prima dove possono esserci e di gestirli.

Non con il solo punteggio CVSS. Una vulnerabilità con CVSS 9 su un server isolato può contare meno di una con CVSS 6 esposta su Internet e già sfruttata in attacchi reali. Per questo combiniamo tre segnali: la gravità tecnica (CVSS 4.0), la probabilità che venga sfruttata nei prossimi trenta giorni (EPSS) e la presenza nel catalogo KEV delle vulnerabilità sfruttate attivamente. Il risultato è una lista corta di cose da fare subito, poi il resto in ordine, invece di quattrocento righe tutte rosse.

Due documenti. L’executive summary in italiano, scritto da noi per la direzione: livello di rischio complessivo, i cinque o dieci problemi che contano, priorità secondo CVSS, EPSS e catalogo KEV, cosa succede se non si interviene. Il report tecnico, per chi deve correggere: ogni vulnerabilità con evidenze, impatto dimostrato e raccomandazione; nei penetration test assistiti da intelligenza artificiale è il report della piattaforma, in inglese. Prima della consegna verifichiamo ogni risultato ed escludiamo i falsi positivi. Il report si può condividere con auditor, autorità e clienti per dimostrare le verifiche fatte. Dopo la remediation il re-test si concorda nel preventivo: nessuna vulnerabilità viene data per chiusa senza verifica.

L’articolo 21 della Direttiva NIS2 impone misure di gestione dei rischi che includono la gestione e la divulgazione delle vulnerabilità, la sicurezza nell’acquisizione e manutenzione dei sistemi e politiche per valutare l’efficacia delle misure adottate. Non nomina il penetration test come tale, ma è il modo più diretto per dimostrare quella valutazione di efficacia davanti all’ACN (Agenzia per la Cybersicurezza Nazionale). Il Cyber Resilience Act, dal 2026, aggiunge obblighi di gestione delle vulnerabilità anche per chi produce hardware e software con componenti digitali.

L’EUVD (European Union Vulnerability Database) è il database europeo delle vulnerabilità gestito da ENISA, operativo dal 2025 e previsto dalla NIS2. È nato anche per un problema pratico: nel 2025 il database americano NVD ha arricchito con dettagli completi solo circa il 28% delle nuove CVE, con un arretrato che rende più lenta la valutazione. Nella nostra gestione delle vulnerabilità usiamo entrambe le fonti, più EPSS e il catalogo KEV, così le priorità non dipendono dai tempi di un solo ente.

Dipende dal perimetro. I vulnerability assessment, la gestione continua delle vulnerabilità e i test sull’infrastruttura e sulle identità li eseguiamo con il nostro team, che poi segue anche la remediation e il re-test. Per i penetration test usiamo anche una piattaforma assistita da intelligenza artificiale di un fornitore con sede nel Regno Unito: il perimetro, le autorizzazioni, la validazione dei risultati e l’executive summary restano nostri. Per i penetration test più specialistici, applicazioni complesse, ambienti industriali, red team, coinvolgiamo partner specializzati con cui lavoriamo da tempo, sotto il nostro coordinamento e con un unico interlocutore: il contratto, le regole d’ingaggio e il report restano nostri. In entrambi i casi ti diciamo prima chi farà cosa.

Sì, come strumento e non come sostituto. Un agente di intelligenza artificiale esplora i sistemi concordati come farebbe un attaccante, adatta le mosse a quello che trova e dimostra le vulnerabilità sfruttabili. Proprio per questo non si comporta mai due volte allo stesso modo, può riportare falsi positivi e non trova tutto: ogni risultato lo verifichiamo prima della consegna, e sulle applicazioni complesse resta il test manuale. I dati raccolti durante il test restano isolati per ciascun cliente e non vengono usati per addestrare modelli di intelligenza artificiale.

Su tutto ciò che controlla processi fisici o la salute delle persone: impianti industriali e sistemi OT (Operational Technology), SCADA e PLC, sistemi di sicurezza e antincendio, dispositivi medici e sistemi ospedalieri, veicoli e sistemi di navigazione. Qui un’azione imprevista può fare danni reali, quindi lavoriamo con test manuali di partner specializzati, in finestre concordate e con criteri di stop precisi. Lo stesso vale per sistemi di terzi senza un’autorizzazione scritta del proprietario.

Sì, in quattro modi. Test singolo: un vulnerability assessment o un penetration test con report e, dopo la remediation, re-test. Programma continuo: gestione delle vulnerabilità come servizio, con scansioni ricorrenti, prioritizzazione e supporto alla remediation. Sola consulenza: scriviamo il capitolato del test, valutiamo le offerte di altri fornitori o leggiamo insieme un report che avete già. Verifica: re-test indipendente di remediation fatte dal vostro team o da terzi. Il punto di partenza gratuito, per tutti, è l’assessment NIST CSF 2.0 sulla nostra piattaforma.