Security Assessment
Verifica in corso
Security assessment e test di sicurezza
Security Assessment e test di sicurezza: vulnerability assessment e penetration test per aziende
Un security assessment misura quanto sono efficaci, oggi, i controlli che proteggono sistemi, dati e accessi della tua azienda. 360 Consulenza esamina il perimetro concordato con verifiche tecniche e organizzative, distingue le vulnerabilità reali dai falsi allarmi e le ordina in base all’impatto sui processi.
Il risultato è una base concreta per decidere: cosa correggere per primo, cosa pianificare e quali investimenti hanno senso, senza basarsi su percezioni o su un elenco di avvisi automatici.
>_ asset · test · evidenze · priorità▍
Vulnerability assessment, penetration test e analisi del rischio in un unico percorso
Test solo su perimetro e regole autorizzati per iscritto
Dal 2008 su infrastrutture IT e cybersecurity, con team interno e senza outsourcing
Dall'esposizione alle priorità
01
Asset nel perimetro concordato
Ciò che viene esaminato
Server
Postazioni
Servizi esposti
Account cloud
02
Segnali raccolti
Scansioni, configurazioni, interviste, documenti
03
Evidenze verificate
Falsi positivi esclusi, criticità confermate
P1
Correggere subito
P2
Pianificare
P3
Tenere sotto controllo
Schema illustrativo del metodo: perimetro, strumenti e livelli di priorità si definiscono per ogni incarico.
Quando serve
Quando un'azienda ha bisogno di un security assessment?
Quando non è più possibile rispondere con certezza a tre domande: cosa è esposto, quali controlli funzionano davvero e da dove partire con gli interventi. Succede dopo cambiamenti dell’infrastruttura, all’arrivo di richieste di clienti o normative, dopo un incidente o semplicemente quando i sistemi sono cresciuti per strati senza una verifica d’insieme.
Non sai con precisione cosa è raggiungibile da internet.
Convivono sistemi datati e servizi nuovi.
Hai spostato posta, file o gestionali nel cloud.
Più persone lavorano da remoto o da altre sedi.
Hai aperto una nuova sede, acquisito un’azienda o cambiato fornitore IT.
Un cliente o un bando ti chiede evidenze sulla sicurezza.
C’è stato un incidente, anche solo sospetto.
Non è chiaro chi abbia accessi e privilegi su quali sistemi.
Installato non significa efficace
Cosa cambia tra avere i controlli e verificarli?
Molti controlli risultano attivi nei contratti e nelle console, ma nessuno ne ha controllato l’efficacia dopo l’installazione. L’assessment parte da ciò che c’è e ne misura il funzionamento.
Risulta
Firewall installato
L'assessment verifica
Le regole consentono solo il traffico necessario e sono state riviste?
Risulta
Antivirus su tutti i PC
L'assessment verifica
Gli allarmi arrivano a qualcuno e i dispositivi sono davvero tutti coperti?
Risulta
Backup programmati
L'assessment verifica
Un ripristino è stato provato, con tempi compatibili con l'operatività?
Risulta
Password robuste
L'assessment verifica
Gli accessi remoti e gli account amministrativi hanno l'MFA?
Le differenze
Security assessment, vulnerability assessment e penetration test: che differenza c'è?
Rispondono a domande diverse. Il security assessment valuta l’adeguatezza dei controlli nel loro insieme; il vulnerability assessment trova e classifica le vulnerabilità note; il penetration test verifica, con un’autorizzazione scritta, se una debolezza è sfruttabile e con quali conseguenze; l’analisi del rischio collega tutto questo all’impatto sui processi aziendali. Spesso si combinano nello stesso incarico.
01
Security assessment
Domanda: Quanto sono adeguati i controlli tecnici e organizzativi nel loro insieme?
Valutazione ampia dello stato di sicurezza: configurazioni, accessi, procedure, ruoli, continuità. Combina verifiche tecniche, analisi documentale e colloqui.
02
Vulnerability assessment
Domanda: Quali vulnerabilità note sono presenti su sistemi e applicazioni del perimetro?
Individuazione sistematica delle vulnerabilità con strumenti di scansione, verifica manuale dei risultati e classificazione per gravità e priorità.
03
Penetration test
Domanda: Una debolezza può essere sfruttata davvero, e fin dove porterebbe?
Tentativo controllato di sfruttare le vulnerabilità, autorizzato per iscritto ed entro regole concordate, per dimostrarne l’impatto reale.
04
Analisi del rischio e audit tecnico
Domanda: Quali scenari danneggerebbero di più il business e i controlli rispondono ai requisiti scelti?
Valuta asset, minacce, probabilità e impatto sui processi; l’audit confronta i controlli con un riferimento (policy interne, NIS2, ISO/IEC 27001) e ne raccoglie le evidenze.
| Attività | Domanda di business | Perimetro tipico | Metodo | Cosa si ottiene | Quando è indicata | Limiti |
|---|---|---|---|---|---|---|
| Security assessment | I controlli in essere sono adeguati ai rischi dell’azienda? | Infrastruttura, accessi, cloud, procedure e ruoli | Verifiche tecniche, analisi di configurazioni e documenti, colloqui | Quadro dello stato attuale e piano di miglioramento con priorità | Per decidere investimenti e priorità, o prima di un adeguamento normativo | Ampiezza a scapito della profondità: non dimostra lo sfruttamento delle vulnerabilità |
| Vulnerability assessment | Quali vulnerabilità note abbiamo, e dove? | Indirizzi, sistemi e applicazioni concordati, esposti o interni | Scansioni autenticate o meno, verifica manuale, classificazione | Elenco delle vulnerabilità confermate con gravità, priorità e correzione suggerita | Periodicamente e dopo modifiche rilevanti ai sistemi | Non prova che una vulnerabilità sia sfruttabile nel contesto reale |
| Penetration test | Un attaccante riuscirebbe a entrare, e cosa otterrebbe? | Sistemi o applicazioni scelti, con regole di ingaggio scritte | Tentativi controllati di sfruttamento entro limiti e finestre autorizzati | Scenari di attacco riusciti o falliti, evidenze e correzioni necessarie | Su sistemi critici o esposti, dopo aver corretto le vulnerabilità più evidenti | Fotografa un perimetro e un momento: non sostituisce le verifiche periodiche |
| Analisi del rischio cyber | Quali scenari causerebbero il danno maggiore ai processi? | Asset, processi, fornitori e dati critici | Valutazione di minacce, probabilità e impatto con i responsabili aziendali | Registro dei rischi con priorità e piano di trattamento | All’avvio di un percorso di sicurezza o di conformità | Non individua da sola le vulnerabilità tecniche |
| Audit tecnico e verifica di conformità | I controlli rispettano i requisiti che abbiamo scelto o che ci sono richiesti? | Controlli e processi rispetto a un riferimento (policy, NIS2, ISO/IEC 27001) | Raccolta di evidenze, campionamento, confronto con i requisiti | Elenco degli scostamenti e delle azioni correttive | Prima di verifiche di clienti, enti o organismi di certificazione | Non rilascia certificazioni né attestazioni ufficiali di conformità |
Vulnerability assessment e penetration test non sono intercambiabili: il primo è ampio e ripetibile, il secondo è profondo e mirato. Le guide di riferimento, come la NIST SP 800-115 sui test di sicurezza e la OWASP Web Security Testing Guide per le applicazioni web, li trattano infatti come tecniche distinte e complementari.
Ambiti di verifica
Quali aree dell'azienda può esaminare un security assessment?
Il perimetro si sceglie in base agli obiettivi: un primo assessment complessivo, una verifica mirata dei servizi esposti, un test approfondito di un’applicazione. Queste sono le aree che possono rientrarvi.
Perimetro esposto su internet
Siti, portali, posta, VPN e servizi raggiungibili dall'esterno: cosa si vede e con quali versioni e configurazioni.
Rete interna e server
Segmentazione, regole del firewall, servizi attivi, aggiornamenti e configurazioni di server e apparati.
Postazioni ed endpoint
Copertura e configurazione della protezione, privilegi locali, aggiornamenti, dispositivi non gestiti.
Identità e accessi
Account amministrativi, MFA, accessi remoti, utenti cessati, accessi dei fornitori.
Servizi cloud
Configurazione di Microsoft 365 e di altri servizi: ruoli, criteri di accesso, condivisioni esterne, registrazione degli eventi.
Processi e organizzazione
Policy, ruoli e responsabilità, gestione degli incidenti, backup e prove di ripristino, formazione.
Dispositivi industriali e connessi
Per macchinari e dispositivi interconnessi l’assessment verifica la separazione dalla rete degli uffici: sottoreti dedicate, regole di traffico tra i segmenti, accessi remoti dei costruttori. La progettazione delle sottoreti è descritta nelle soluzioni di cybersecurity. Altre attività sugli ambienti di produzione si valutano caso per caso.
Come si svolge
Come si svolge un security assessment, passo per passo?
Ogni incarico segue lo stesso schema logico, ma la profondità delle singole fasi dipende dal perimetro e dalle discipline scelte. Un vulnerability assessment dei servizi esposti può richiedere pochi giorni; un assessment complessivo con penetration test coinvolge più referenti e più settimane.
01
Obiettivi e perimetro
Cosa si vuole sapere, quali sistemi e sedi includere, cosa escludere. Si decide quali discipline servono: assessment, vulnerability assessment, penetration test, analisi del rischio.
02
Regole e autorizzazioni
Autorizzazione scritta, finestre temporali, contatti di riferimento, eventuali permessi di fornitori e provider cloud.
03
Raccolta di informazioni
Inventario degli asset del perimetro, documenti e configurazioni disponibili, colloqui con i referenti.
04
Verifiche e test
Scansioni, controlli di configurazione e, se previsti, tentativi di sfruttamento controllati entro le regole stabilite.
05
Validazione e priorità
Esclusione dei falsi positivi, conferma delle criticità, priorità calcolata su gravità, sfruttabilità ed esposizione.
06
Restituzione e piano d'azione
Report tecnico e sintesi per la direzione, incontro di presentazione, piano degli interventi; verifica delle correzioni se concordata.
Prima di ogni test
Regole di ingaggio: cosa si concorda prima di iniziare
- autorizzazione scritta del responsabile dei sistemi, con perimetro e indirizzi esatti;
- sistemi esclusi e operazioni non consentite;
- finestre orarie compatibili con produzione e servizi critici;
- contatti di emergenza per sospendere i test in qualsiasi momento;
- permessi di terzi quando i sistemi sono ospitati da provider o fornitori;
- trattamento dei dati raccolti durante le verifiche e loro conservazione.
I test si svolgono solo entro questi limiti. Le attività più invasive, come lo sfruttamento di vulnerabilità su sistemi di produzione, richiedono un consenso esplicito e si pianificano per ridurre i rischi di interruzione.
Cosa si riceve
Cosa riceve l'azienda al termine di un security assessment?
Un report che separa le criticità confermate dai falsi allarmi e le ordina per priorità, accompagnato da una sintesi leggibile dalla direzione e da un piano degli interventi. Contenuti e formato dipendono dal perimetro e dalle discipline concordate nell’incarico.
Sintesi per la direzione
Lo stato della sicurezza, i rischi principali e le decisioni da prendere, in linguaggio non tecnico.
Elenco delle evidenze
Per ogni criticità: descrizione, sistemi coinvolti, prove raccolte, gravità e priorità.
Perimetro verificato
Cosa è stato esaminato, con quali metodi e cosa è rimasto fuori, per leggere correttamente i risultati.
Correzioni raccomandate
Interventi tecnici e organizzativi, con indicazioni su chi deve intervenire e con quale urgenza.
Piano degli interventi
Le azioni ordinate per priorità e sforzo, utilizzabili per budget e pianificazione.
Verifica delle correzioni
Un nuovo controllo sui punti corretti, quando previsto dall'incarico.
Esempio illustrativo di evidenza
Servizio di accesso remoto senza MFA
Asset
Gateway di accesso remoto (esempio)
Cosa è stato rilevato
Accesso con sola password, senza autenticazione a più fattori
Gravità tecnica
Alta
Sfruttabilità
Credenziali sottratte con il phishing basterebbero per entrare
Impatto sui processi
Accesso alla rete interna e ai gestionali
Priorità
P1 — correggere subito
Correzione
Attivare l'MFA, limitare gli accessi per gruppi di utenti, rivedere gli account inattivi
Verifica
Nuovo controllo dopo la correzione, se previsto
Come si decide cosa correggere per primo?
Ordinare le vulnerabilità solo per punteggio tecnico porta spesso a correggere prima ciò che è grave sulla carta e lasciare aperto ciò che è sfruttabile oggi. La priorità nasce dall’incrocio di più criteri.
| Criterio | Domanda | Perché conta |
|---|---|---|
| Gravità tecnica | Quanto è grave la vulnerabilità in sé? | Si misura in genere con il punteggio CVSS, che però descrive la gravità, non il rischio per l’azienda |
| Sfruttamento noto | È già sfruttata da attacchi reali? | Cataloghi come il KEV della CISA segnalano le vulnerabilità sfruttate attivamente |
| Esposizione | È raggiungibile da internet o solo dall’interno? | Una vulnerabilità esposta ha molti più potenziali attaccanti |
| Impatto sui processi | Cosa si fermerebbe o cosa uscirebbe dall’azienda? | Lega il dato tecnico alle conseguenze su produzione, clienti e dati |
| Controlli compensativi | Altre misure ne riducono l’effetto? | Segmentazione o MFA possono abbassare l’urgenza, senza eliminarla |
Tempi e costi
Da cosa dipendono tempi e costi di un security assessment?
Dal perimetro e dalla profondità. Il numero di sistemi, sedi e servizi esposti, le discipline scelte (vulnerability assessment, penetration test, analisi organizzativa), i vincoli di orario e l’eventuale verifica delle correzioni determinano l’impegno. Per questo il preventivo segue un primo confronto sugli obiettivi.
| Fattore | Perché incide |
|---|---|
| Numero e tipo di sistemi | Server, postazioni, apparati e applicazioni da includere determinano il volume delle verifiche |
| Sedi e reti | Più sedi e segmenti di rete richiedono più punti di osservazione |
| Esposizione esterna | Servizi pubblicati su internet, portali e applicazioni web da testare |
| Discipline scelte | Un vulnerability assessment richiede meno tempo di un penetration test approfondito sullo stesso perimetro |
| Componente organizzativa | Analisi di policy, ruoli e procedure e colloqui con i referenti |
| Vincoli operativi | Test fuori orario o in finestre ridotte per non interferire con la produzione |
| Autorizzazioni di terzi | Sistemi ospitati da provider o gestiti da altri fornitori |
| Verifica delle correzioni | Un nuovo controllo dopo gli interventi, se richiesto |
Per il primo confronto
Cosa preparare
- l’obiettivo principale (decidere investimenti, rispondere a un cliente, prepararsi a NIS2 o ISO/IEC 27001);
- numero indicativo di sedi, postazioni e server;
- servizi esposti su internet e applicazioni web principali;
- servizi cloud in uso;
- eventuali verifiche precedenti o incidenti recenti;
- vincoli di orario e sistemi da non toccare.
Non inviare password, indirizzi interni o schemi di rete tramite il modulo di contatto: queste informazioni si raccolgono in modo protetto dopo l’accordo sul perimetro.
Perché 360 Consulenza
Perché affidare assessment e test di sicurezza a 360 Consulenza?
Perché dal 2008 progettiamo, configuriamo e verifichiamo infrastrutture IT: chi conduce l’assessment conosce anche come si correggono i problemi trovati, e lavora dentro un sistema di gestione certificato ISO/IEC 27001 per i servizi di cybersecurity. Le priorità del report tengono conto dei processi dell’azienda, non solo dei punteggi tecnici.
Anni di attività su infrastrutture IT e cybersecurity
Interventi di cybersecurity
Aziende supportate
Persone nel team interno
ISO/IEC 27001 anche per i servizi di cybersecurity
Il sistema di gestione per la sicurezza delle informazioni di 360 Consulenza è certificato UNI CEI EN ISO/IEC 27001:2024 per la progettazione, lo sviluppo e l'assistenza di soluzioni software anche SaaS e per i servizi di cybersecurity, con la linea guida ISO/IEC 27017 sul cloud (certificato Dasa-Rägister IIS-0223-02, valido fino al 12/02/2029).
Competenze certificate nel team
Nel team interno operano Cyber Security Specialist e sistemisti, con qualifiche di Lead Auditor ISO/IEC 27001, Microsoft Certified Professional e DPO ai sensi del GDPR iscritto ad ANORC. Le stesse persone leggono configurazioni, rischi e requisiti normativi.
Verifiche svolte dal team interno
Assessment, test e analisi sono condotti dalle persone di 360 Consulenza, senza affidare le attività in outsourcing. Le informazioni raccolte restano all'interno della stessa organizzazione.
Rating di Legalità ★++
L'Autorità Garante della Concorrenza e del Mercato ha attribuito a 360 Consulenza il Rating di Legalità con una stella e due più (maggio 2025): un indicatore di trasparenza e correttezza nella gestione dell'impresa.
Dalle evidenze agli interventi
Lo stesso team può progettare e configurare le correzioni (firewall, accessi, endpoint, cloud) e collegarle agli adempimenti NIS2 e GDPR, così il report non resta un documento fermo.
Esperienza sul campo
Cosa troviamo più spesso nelle infrastrutture che verifichiamo?
Negli interventi di cybersecurity sulle aziende che seguiamo, molte criticità non dipendono da tecnologie mancanti ma da configurazioni mai riviste. Queste sono le situazioni che emergono con maggiore frequenza:
- accessi remoti protetti dalla sola password, spesso su account rimasti attivi dopo la fine di un rapporto;
- regole del firewall aggiunte nel tempo e mai rimosse, che aprono servizi non più usati;
- backup presenti ma mai provati con un ripristino completo;
- dispositivi di produzione, telecamere e stampanti sulla stessa rete degli uffici;
- servizi cloud con impostazioni di condivisione e accesso rimaste ai valori predefiniti.
Sono problemi che un assessment porta alla luce in poco tempo e che, una volta individuati, si correggono spesso senza acquistare nuovi apparati.
Certificazione e limiti
La certificazione ISO/IEC 27001 riguarda il sistema di gestione di 360 Consulenza: un assessment non rilascia certificazioni all’azienda che lo commissiona. Per un percorso di certificazione aziendale c’è la consulenza ISO/IEC 27001.
FAQ
Domande frequenti su security assessment, vulnerability assessment e penetration test
Le risposte alle domande che arrivano più spesso da titolari, responsabili IT e responsabili della conformità.
Meglio un vulnerability assessment o un penetration test?
Dipende dalla domanda. Se serve sapere quali vulnerabilità note ci sono e dove, il vulnerability assessment è più ampio e ripetibile. Se serve capire se una debolezza su un sistema critico è sfruttabile davvero, serve un penetration test. Spesso si parte dal primo e si usa il secondo sui sistemi più esposti.
Un security assessment serve anche a una piccola impresa?
Sì, con un perimetro proporzionato. Anche una piccola azienda ha posta elettronica, accessi remoti, dati di clienti e almeno un gestionale. Un assessment mirato su servizi esposti, accessi e backup dà priorità chiare senza un progetto lungo.
Ogni quanto conviene ripetere le verifiche?
Il vulnerability assessment va ripetuto periodicamente, perché ogni mese emergono nuove vulnerabilità, e dopo ogni modifica rilevante a sistemi o servizi esposti. Il penetration test si ripete in genere dopo cambiamenti importanti o sui sistemi più critici. La frequenza giusta dipende dal rischio e dagli obblighi di ciascuna azienda.
I test possono rallentare o fermare i sistemi?
Le scansioni e i test generano traffico e, su sistemi fragili, possono causare rallentamenti. Per questo si concordano finestre orarie, sistemi esclusi e contatti di emergenza, e le attività più invasive si svolgono solo con un consenso esplicito e in momenti pianificati.
Quali accessi bisogna fornire?
Dipende dal tipo di verifica. Un test dei servizi esposti può partire senza credenziali, simulando un attaccante esterno; una verifica interna o autenticata richiede un accesso alla rete o account dedicati, creati per l’occasione e disattivati alla fine. Le credenziali non si scambiano tramite moduli o email non protette.
Un security assessment rende l'azienda conforme alla NIS2 o alla ISO/IEC 27001?
No, da solo non basta. La direttiva NIS2 chiede, tra le misure dell’articolo 21, procedure per valutare l’efficacia delle misure di sicurezza e la gestione delle vulnerabilità: l’assessment contribuisce a queste evidenze, ma la conformità richiede anche governance, procedure e notifiche. Per la ISO/IEC 27001 serve un sistema di gestione certificato da un organismo accreditato. Approfondisci nella pagina sulla direttiva NIS2.
Cosa succede dopo la consegna del report?
Si presentano i risultati ai referenti tecnici e alla direzione, si decide chi corregge cosa e con quali tempi e, se previsto, si verifica che le correzioni siano efficaci. Le criticità possono essere corrette dal personale interno, da altri fornitori o dal team di 360 Consulenza.
Cosa serve per ricevere un preventivo?
Un primo confronto su obiettivi, dimensioni dell’infrastruttura, servizi esposti, discipline di interesse e vincoli operativi. Su queste basi si definiscono perimetro, attività e tempi.
Contenuto a cura del team cybersecurity di 360 Consulenza (Cyber Security Specialist e Lead Auditor ISO/IEC 27001) · Aggiornato il 28 ottobre 2026
Collegamenti correlati
Servizi collegati ad assessment e test di sicurezza
Pagine collegate a questo argomento, per proseguire la lettura o approfondire un servizio specifico.
Cybersecurity per aziende
Tutte le aree di servizio cyber di 360 Consulenza.
Soluzioni di cybersecurity
Firewall, endpoint, MFA e cloud: come si correggono le criticità trovate.
Direttiva NIS2
Applicabilità, gap analysis e misure di adeguamento.
Consulenza GDPR
Protezione dei dati personali e adempimenti privacy.
Certificazione ISO/IEC 27001
Percorso di certificazione del sistema di gestione della sicurezza delle informazioni.
Monitoraggio e continuità operativa
Monitoraggio della sicurezza, incident response, backup e disaster recovery dopo l'assessment.
Richiedi un assessment
Da quale verifica partire per la tua azienda?
Raccontaci obiettivi, sedi, servizi esposti e strumenti di sicurezza in uso. Ti proponiamo il perimetro e le discipline più utili, dal vulnerability assessment dei servizi esposti al penetration test sui sistemi critici.
Nessuna password o dettaglio di rete nel modulo: li concordiamo dopo.