Vulnerability assessment: cos'è, cosa controlla e quando basta

In breve

Cos'è

Un controllo ampio dei punti deboli già noti di siti, app e server: lo fanno programmi automatici, lo verifica una persona esperta.

Cosa ricevi

I problemi veri, con gravità da 0 a 10 e correzione, in ordine di urgenza.

Cosa fare

Ripeterlo con regolarità e dopo ogni cambiamento importante. Per andare a fondo, affiancargli un penetration test.

Vulnerability assessment: cos'è, in parole semplici?

È un controllo a tappeto dei punti deboli già conosciuti. Programmi automatici passano in rassegna siti, app e server; poi una persona esperta verifica i risultati e ti dice cosa sistemare, e in che ordine.

Il NIST, l'istituto americano degli standard tecnici, lo definisce un esame sistematico di un sistema informatico, per capire se le misure di sicurezza bastano e dove mancano.

Somiglia alla revisione dell'auto: il tecnico non porta la macchina in pista, controlla una lista di punti noti, come freni, luci e gomme.

Cosa vuol dire «noto»?

Che qualcuno l'ha già scoperto e messo in un catalogo pubblico, con un codice CVE (Common Vulnerabilities and Exposures): una specie di targa.

Un esempio famoso è CVE-2021-44228, detto Log4Shell: un difetto di Log4j, un pezzo di codice Java pronto all'uso (una «libreria») che tiene il registro di cosa fa un programma, usatissimo secondo l'agenzia americana per la cybersicurezza (CISA). Gravità per il NIST: 10 su 10.

Il bello di un difetto noto è che ha un nome, quindi si può cercare: gli scanner, i programmi che fanno il controllo, confrontano programmi e versioni installati con i cataloghi.

In cosa è diverso da un penetration test?

Il vulnerability assessment va in largo, il penetration test in fondo. Il primo segnala su tutto il perimetro dove potrebbero esserci difetti noti; il secondo ne prova alcuni davvero, anche combinati, per vedere fin dove si arriva.

Combinati è la parola chiave: per il NIST, più difetti piccoli messi insieme possono pesare di più, e uno scanner non vede tutte le combinazioni.

Il largo e il fondo

1. Vulnerability assessment

   La domanda

   Cosa c'è di vecchio o di impostato male?

   Cosa trova

   Difetti noti e configurazioni deboli

   Ogni quanto

   Spesso, e dopo ogni cambiamento importante

2. Penetration test

   La domanda

   Fin dove arriva chi attacca?

   Cosa trova

   Cosa si riesce a fare davvero, anche combinando più difetti

   Ogni quanto

   Più di rado, per esempio una volta l'anno

Scendendo, il controllo va più a fondo e chiede più lavoro di una persona

Cosa controlla un vulnerability assessment?

Tutto quello che si raggiunge e ha una versione o un'impostazione:

• Applicazioni web. Lo scanner prova pagine e moduli da fuori e cerca errori classici, come un campo di ricerca che esegue comandi invece di cercare parole.
• API (Application Programming Interface), i canali da cui i programmi si scambiano dati.
• Server, cloud e rete. Porte di rete aperte inutilmente, servizi dimenticati, archivi nel cloud aperti a chiunque.
• Programmi e librerie vecchi, comprese le librerie usate dalle tue librerie.
• Configurazioni. La password di fabbrica mai cambiata, una pagina di prova rimasta online, un messaggio d'errore che racconta troppo.

Se l'ultima voce ti sembra roba da distratti, consolati: è la norma. Nei dati della classifica dei rischi 2025 di OWASP, la fondazione no profit che pubblica guide gratuite sulla sicurezza del software, il 100% delle applicazioni analizzate aveva almeno un errore di configurazione.

Come funziona un vulnerability assessment, passo per passo?

1. Perimetro e permesso

   Si scrive cosa si controlla, e chi è titolare dei sistemi firma l'autorizzazione.

2. Inventario

   Si scopre cosa risponde davvero: indirizzi, porte, servizi, versioni. Già questo dice cosa hai esposto.

3. Scansione

   Scanner aggiornati agli ultimi difetti noti confrontano ciò che trovano con i cataloghi: da fuori, come un estraneo, o con un accesso, che mostra più dettagli.

4. Verifica di una persona

   Gli scanner segnalano anche problemi che non esistono, i falsi positivi, e qualcosa lo lasciano sfuggire. Una persona esperta fa pulizia e adatta la gravità al tuo caso.

5. Rapporto

   I problemi veri, in ordine di urgenza, con le correzioni.

6. Nuova verifica

   Dopo le correzioni si ricontrollano i punti trovati.

Il passo 4 fa la differenza. Un esempio del NIST: uno scanner dà rischio medio a un servizio per scambiare file che fa passare le password in chiaro; ma se è un archivio pubblico senza password, il rischio vero può essere molto più basso.

Per chi sviluppaScansioni autenticate, CVE, CVSS e dipendenze

• Da fuori o con credenziali. Una scansione di rete senza credenziali vede porte e servizi esposti; con credenziali amministrative, o con lo scanner installato sull'host, trova configurazioni e vulnerabilità con più dettaglio (NIST SP 800-115, sezione 4.3).
• CVE e NVD. Ogni voce CVE ha un identificativo, una descrizione e almeno un riferimento pubblico; la NVD (National Vulnerability Database) del NIST aggiunge nomi dei prodotti e metriche d'impatto. Il controllo RA-5 del NIST SP 800-53 suggerisce scanner che esprimono le vulnerabilità con nomi CVE e l'impatto con il CVSS (Common Vulnerability Scoring System).
• CVSS 4.0. Quattro gruppi di metriche: Base, Threat, Environmental e Supplemental. Il punteggio Base assume il caso peggiore per Threat ed Environmental; FIRST (Forum of Incident Response and Security Teams), che cura lo standard, chiede di dichiarare quali metriche si sono usate (CVSS-B, CVSS-BT, CVSS-BE, CVSS-BTE).
• Priorità oltre il CVSS. Il catalogo KEV (Known Exploited Vulnerabilities) della CISA elenca le vulnerabilità già sfruttate in attacchi reali e va usato come input per le priorità. L'EPSS (Exploit Prediction Scoring System) di FIRST stima la probabilità che un CVE venga sfruttato nei 30 giorni successivi.
• Dipendenze. OWASP Top 10:2025, A03 Software Supply Chain Failures: inventario delle versioni lato client e lato server, anche delle dipendenze transitive, con una SBOM (Software Bill of Materials) e strumenti come OWASP Dependency-Check, OWASP Dependency-Track o retire.js; monitoraggio di CVE, NVD e OSV (Open Source Vulnerabilities).
• Configurazioni. OWASP Top 10:2025, A02 Security Misconfiguration: account predefiniti attivi, funzioni e porte inutili, messaggi d'errore troppo dettagliati, header di sicurezza mancanti, permessi dello storage cloud aperti.
• Web. Gli scanner DAST (Dynamic Application Security Testing) provano l'applicazione in esecuzione, di solito da fuori. OWASP ne tiene un elenco, commerciali e open source, senza raccomandarne nessuno.

Cosa ricevi alla fine di un vulnerability assessment?

Un rapporto con i problemi veri, senza falsi allarmi e in ordine di urgenza, ognuno con una scheda breve. Per esempio:

• Cosa. Una libreria per le immagini, in una versione con un difetto noto e il suo codice CVE.
• Dove. Il server delle API, raggiungibile da internet.
• Gravità. 7,5 su 10: alta.
• Cosa fare. Aggiornare la libreria, prima delle altre voci perché è esposta.

Il voto viene dal CVSS (Common Vulnerability Scoring System), lo standard aperto per misurare la gravità dei difetti: da 0,1 a 3,9 bassa, da 4,0 a 6,9 media, da 7,0 a 8,9 alta, da 9,0 a 10 critica.

Il voto però misura il difetto, non la tua situazione: CVSS e NIST invitano ad adattarlo al proprio ambiente. Lo stesso difetto pesa di più sul sito dove i clienti pagano che su un computer interno, irraggiungibile da internet.

Ogni quanto si fa un vulnerability assessment?

A intervalli regolari, e in più quando qualcosa cambia. Un controllo è una fotografia del giorno in cui si fa: il giorno dopo può uscire un difetto nuovo.

Una regola uguale per tutti non c'è: il NIST lascia la cadenza a ogni organizzazione, più un controllo quando esce un difetto che la riguarda. In pratica:

• a cadenza fissa, più fitta per i sistemi importanti;
• prima di mettere online un sistema nuovo;
• dopo un cambiamento importante, come un nuovo server o una nuova versione dell'app;
• quando esce un difetto grave, come fu per Log4j.

Per i soggetti essenziali della NIS2, la direttiva europea sulla sicurezza informatica, è anche un obbligo: le misure dell'Agenzia per la cybersicurezza nazionale (ACN) chiedono vulnerability assessment e/o penetration test periodici sui sistemi rilevanti e prima che entrino in funzione, salvo eccezioni documentate.

Perché fa coppia con il penetration test?

Perché uno tiene in ordine tutto il perimetro, spesso e con meno lavoro, l'altro scava dove conta, più di rado. Per il NIST, scansioni regolari intervallate da penetration test periodici aiutano a prevenire molti tipi di attacco e a ridurre i danni di quelli riusciti.

In più, dice il NIST, i risultati del primo indicano dove puntare il secondo.

Quando basta un vulnerability assessment e quando serve un penetration test?

Basta per tenere in ordine sistemi e programmi; per sapere cosa può fare davvero chi entra serve il penetration test.

Cosa ti serve adesso?

Se vuoi sapere cosa hai esposto e tenerlo in ordine

Vulnerability assessment

• Una prima fotografia di ciò che si vede da internet.
• Un controllo ricorrente tra un penetration test e l'altro.
• Una verifica dopo aver aggiornato server o librerie.

Se vuoi sapere fin dove arriva chi attacca

Penetration test

• Utenti, ruoli e dati di clienti: i problemi di permessi li trova soprattutto una persona.
• Un lancio delicato, come i pagamenti o un'area riservata.
• Un cliente che chiede il rapporto di un penetration test.

Non sai da dove partire? Comincia dal vulnerability assessment: è più rapido, costa meno e ti dice dove scavare.

Domande frequenti

Un vulnerability assessment può rallentare il sito?

Può succedere, perché la scansione manda molte richieste: per questo si concordano gli orari e si escludono le prove di blocco del servizio.

Posso farlo da solo con uno strumento gratuito?

Per cominciare, sì: esistono molti scanner, anche open source. Ma i risultati vanno letti da una persona esperta, perché segnalano problemi che non ci sono e ne perdono altri.

Che differenza c'è tra vulnerability scan e vulnerability assessment?

La scansione è la parte automatica. L'assessment aggiunge il lavoro di una persona: verifica, gravità adattata al tuo caso, priorità e correzioni.

Il vulnerability assessment è obbligatorio?

Non per tutti: le misure ACN per la NIS2 lo chiedono ai soggetti essenziali, insieme o in alternativa al penetration test. Il GDPR, il regolamento europeo sui dati personali, cita tra le misure possibili le verifiche regolari della sicurezza.