Vulnerability Assessment vs Penetration Test: di cosa ha davvero bisogno la tua azienda

La domanda "mi serve un VA o un pentest?" e una delle piu frequenti che ricevo. E la risposta non e mai semplice, perche la confusione tra vulnerability assessment e penetration test e alimentata da vendor che usano i termini in modo intercambiabile. Non lo sono. Un VA e un pentest sono servizi diversi, con obiettivi diversi, costi diversi, e risultati diversi.

Vulnerability Assessment: la fotografia

Un vulnerability assessment e una scansione sistematica della tua infrastruttura per identificare vulnerabilita note. Usa tool automatizzati (Nessus, OpenVAS, Qualys) per confrontare le tue configurazioni e versioni software con database di vulnerabilita conosciute. E veloce, relativamente economico, e ti da un inventario delle debolezze. Ma non ti dice se quelle debolezze sono effettivamente sfruttabili nel tuo contesto specifico.

Penetration Test: la simulazione

Un penetration test e una simulazione di attacco reale. Un pentester (come me) prova attivamente a sfruttare le vulnerabilita, concatenare exploit, muoversi lateralmente nella rete, escalare privilegi. Il risultato non e una lista di CVE ma una narrativa: "Partendo da questa vulnerabilita web, ho ottenuto accesso al database, da li ho estratto credenziali che mi hanno dato accesso al domain controller." Questo racconta il rischio reale, non teorico.

Nella mia esperienza, la maggior parte delle PMI dovrebbe iniziare con un VA trimestrale e un pentest annuale. Il VA cattura il drift continuo - nuove vulnerabilita, patch mancanti, configurazioni cambiate. Il pentest annuale verifica che le difese funzionino contro un attaccante motivato. Se hai applicazioni web critiche o gestisci dati sensibili, un pentest semestrale e piu appropriato.

Un dato importante: un pentest costa tipicamente 3-5x un VA per scope comparabile. Ma il valore e proporzionalmente piu alto, perche ti mostra il rischio reale, non solo quello potenziale. Se non sei sicuro di cosa ti serva, inizia dal VA - e un ottimo punto di partenza per capire dove concentrare un pentest successivo.