Vulnerability Assessment: cos’è, come funziona e a cosa serve

Il Vulnerability Assessment è considerato da gran parte della comunità di esperti di sicurezza informatica il test più importante per qualsiasi sistema. In questa guida completa spieghiamo cos’è, come funziona, come si svolge, ogni quanto eseguirlo e perché è diventato indispensabile per qualsiasi azienda.

È il nostro articolo di riferimento sul tema: da qui puoi approfondire ogni aspetto specifico nei nostri articoli dedicati.

1. Cos’è un Vulnerability Assessment
2. Come nasce il test di vulnerabilità
3. Le 4 fasi del Vulnerability Assessment
4. Dove viene eseguito e quali tipi esistono
5. Ogni quanto e quanto dura
6. Perché farlo: benefici e differenze con altri test
7. Conclusioni

Cos’è un Vulnerability Assessment

Il Vulnerability Assessment è un’analisi di sicurezza in grado di identificare in modo tempestivo tutte le vulnerabilità di un sistema informatico. Con “vulnerabilità” si intendono le cattive configurazioni, i dispositivi obsoleti, le patch di sicurezza mancanti e ogni altro elemento che comprometta la sicurezza e l’integrità di un sistema.

Molti esperti lo definiscono come l'”analisi del sangue” del sistema informatico: senza, è impossibile scoprire dove si è esposti agli attacchi. I suoi obiettivi fondamentali sono quattro: definire, identificare, classificare le vulnerabilità presenti e indicare le soluzioni per correggerle. Non a caso, circa il 20% degli attacchi informatici noti sfrutta proprio vulnerabilità che un test avrebbe potuto rilevare in anticipo.

Come nasce il test di vulnerabilità

I primi rudimentali software di prevenzione dagli attacchi informatici risalgono agli anni tra il 1973 e il 1980, negli Stati Uniti. Fu però negli anni ’80 che si registrò un forte sviluppo di programmi dedicati alle attività di assessment, per poi conoscere una brusca frenata negli anni ’90.

Oggi gli IT vulnerability test sono diffusi in tutto il mondo e vengono effettuati su reti, dispositivi (incluso il mondo IoT), software web-based e infrastrutture cloud. Il fine è sempre lo stesso: monitorare e identificare tutti i rischi e le vulnerabilità di un’infrastruttura.

Le 4 fasi del Vulnerability Assessment

L’attività si articola in quattro fasi ben definite, riassunte in questa infografica.

La prima fase, di ricerca e identificazione, è la più delicata: una volta ottenuto l’accesso al network, si passano in rassegna tutti i servizi, gli host e le reti per individuare le vulnerabilità presenti, con strumenti automatici affiancati dall’analisi manuale dei tecnici e da algoritmi di intelligenza artificiale. Nella seconda fase si analizza l’origine e la natura di ciascuna vulnerabilità, per identificarne le cause. Con la terza fase si classificano i rischi, assegnando a ogni vulnerabilità un livello di gravità in base all’impatto potenziale e alla sua concreta sfruttabilità. Infine, la quarta fase raccoglie tutto in un report dettagliato che, dispositivo per dispositivo, riporta le vulnerabilità rilevate e — soprattutto — le soluzioni da applicare per ciascuna.

Dove viene eseguito e quali tipi esistono

Un Vulnerability Assessment completo prevede la scansione del network aziendale e di tutti i dispositivi connessi (pc, server, IoT, robot industriali), delle reti wireless, delle web application e dei siti web, oltre a intere strutture o porzioni di database.

Esistono infatti diverse tipologie di test, a seconda dell’obiettivo da analizzare. Il Network Vulnerability Assessment verifica reti e dispositivi connessi, e può essere condotto sulla rete interna o esterna. Il Web Vulnerability Assessment si concentra invece sulla sicurezza delle applicazioni web. A questi si affiancano le analisi su database e reti wireless, e diversi approcci tecnici come SAST, DAST e IAST.

Ogni quanto e quanto dura

Per mantenere un livello di sicurezza elevato, un Vulnerability Assessment andrebbe eseguito con cadenza regolare — idealmente ogni mese, o dopo ogni intervento significativo sulla rete: ogni volta che si modificano le impostazioni, si aggiunge un dispositivo o si attiva un nuovo servizio online, possono infatti aprirsi nuove lacune. È il vantaggio del monitoraggio continuo: sapere sempre in che stato versa il sistema.

Quanto alla durata, un test richiede dalle 24 ore fino a un massimo di 7 giorni lavorativi, a seconda della complessità dell’infrastruttura. Un aspetto importante per le aziende: il Vulnerability Assessment non è invasivo e non comporta fermi, l’operatività resta piena per tutta la durata dell’analisi.

Perché farlo: benefici e differenze con altri test

Il Vulnerability Assessment porta benefici concreti: protegge reti e sistemi, previene attacchi hacker e infezioni da virus informatici, evita rallentamenti dell’attività produttiva, riduce i costi di ripristino e favorisce la compliance normativa (GDPR e NIS2). Abbiamo raccolto il quadro completo nell’articolo dedicato ai benefici del Vulnerability Assessment.

Un test così strutturato è anche riconosciuto dagli standard internazionali: il CIS (Center for Internet Security), nella sua celebre lista delle migliori pratiche di sicurezza, colloca proprio tra le prime azioni quelle risolvibili con un Vulnerability Assessment.

Infine, due chiarimenti utili a inquadrare il VA rispetto ad attività affini. Il Vulnerability Assessment viene spesso confrontato con il Penetration Test: sono due test complementari con obiettivi diversi, e abbiamo spiegato tutte le distinzioni nella guida Vulnerability Assessment vs Penetration Test. Va inoltre distinto dal Security Assessment, la valutazione strategica di più alto livello di cui abbiamo parlato nell’articolo sulle differenze tra Security Assessment e Vulnerability Assessment.

Conclusioni

La convinzione che “un antivirus sia sufficiente” o che “tanto non è mai successo nulla” è tra le più pericolose per un’azienda: per respingere gli attacchi di oggi serve molto di più. Tenere costantemente monitorato il proprio perimetro con un Vulnerability Assessment ricorrente è il modo più efficace per prevenire i problemi invece di rincorrerli — e per trasformare la sicurezza in un vero biglietto da visita di affidabilità.