Un nuovo portale clienti va online, il personale inizia a lavorare da remoto, viene attivato un gestionale cloud o si integra un’azienda acquisita. Sono momenti in cui chiedersi quando serve penetration test non è un esercizio tecnico: significa valutare se l’impresa sta esponendo dati, servizi o processi critici a rischi che non ha ancora individuato.

Il penetration test, o test di intrusione, simula in modo controllato le tecniche che un attaccante potrebbe usare per entrare in un sistema, muoversi nella rete o raggiungere informazioni riservate. Non serve a dimostrare che l’infrastruttura è perfetta. Serve a scoprire dove potrebbe cedere, con quale impatto sul business e quali interventi hanno la priorità.

Per una PMI, il valore non è ricevere un report pieno di sigle. È ridurre la possibilità che un problema di sicurezza diventi fermo operativo, perdita di dati, blocco della posta, indisponibilità del gestionale o danno reputazionale.

Quando serve un penetration test: i casi più concreti

Un penetration test è particolarmente indicato prima della messa in produzione di un sistema esposto su Internet. Un sito e-commerce, un’area riservata per clienti e fornitori, un’app mobile, un portale per prenotazioni o un’API che dialoga con applicativi esterni gestiscono spesso dati personali, credenziali e processi commerciali. Correggere una vulnerabilità prima del rilascio costa in genere molto meno che intervenire dopo un incidente.

Serve anche dopo cambiamenti rilevanti nell’infrastruttura. La migrazione al cloud, l’apertura di accessi VPN, l’adozione di Microsoft 365 o Google Workspace, l’introduzione di nuove sedi e la revisione della rete Wi-Fi modificano la superficie di attacco. Una configurazione apparentemente secondaria, come un account con privilegi eccessivi o una condivisione accessibile dall’esterno, può creare un varco concreto.

Un altro caso frequente riguarda il lavoro ibrido. Quando notebook aziendali, smartphone, servizi cloud e applicazioni interne vengono usati fuori dalla sede, il perimetro non coincide più con il firewall dell’ufficio. Il test può verificare se un accesso sottratto a un dipendente, una postazione non aggiornata o una configurazione remota errata consentano di raggiungere sistemi più sensibili.

È opportuno pianificarlo anche quando un cliente importante, un partner o una gara richiedono evidenze sulla sicurezza. In questi casi, il penetration test non dovrebbe essere svolto solo per soddisfare una richiesta formale. Può diventare l’occasione per mettere ordine nelle priorità, documentare le misure adottate e dimostrare un presidio reale degli asset digitali.

Dopo un incidente o un sospetto di compromissione

Se l’azienda ha subito ransomware, frodi via email, accessi anomali o una fuga di dati, il penetration test può aiutare a capire se la via d’ingresso è ancora aperta. Non sostituisce l’analisi forense, che ricostruisce quanto accaduto e preserva le evidenze, ma completa l’intervento verificando quali debolezze restano sfruttabili.

In questa fase occorre agire con metodo. Limitarsi a ripristinare i sistemi e cambiare le password può riportare rapidamente l’operatività alla normalità, senza eliminare la causa che ha permesso l’attacco. Il test deve quindi concentrarsi anche sulle configurazioni, sulla segmentazione della rete, sui privilegi e sulle modalità di accesso dei fornitori.

Non è una scansione automatica delle vulnerabilità

Scanner automatici e penetration test sono entrambi utili, ma rispondono a domande diverse. Uno scanner individua versioni software esposte, configurazioni note o vulnerabilità potenziali su un insieme di sistemi. È uno strumento efficace per controlli ricorrenti e per avere una prima visione tecnica.

Il penetration test aggiunge l’analisi di un professionista autorizzato. Valuta se più debolezze, singolarmente moderate, possano essere concatenate per ottenere un risultato grave. Per esempio, una credenziale poco protetta, una cartella condivisa accessibile e privilegi non correttamente separati possono consentire a un attaccante di passare da un account ordinario a dati amministrativi o gestionali.

Il test considera quindi il contesto: quali informazioni sono realmente raggiungibili, quanto è plausibile lo sfruttamento, quali controlli fermano l’attacco e quale danno operativo potrebbe derivarne. Questa differenza è decisiva per evitare due errori opposti: ignorare un rischio serio o spendere risorse per problemi privi di impatto concreto.

Con quale frequenza eseguire il test

Non esiste una cadenza identica per tutte le imprese. Per molte PMI, un penetration test annuale sugli asset più esposti è un punto di partenza ragionevole, soprattutto se l’azienda gestisce dati personali, pagamenti, informazioni riservate o servizi disponibili online.

La frequenza deve aumentare quando crescono l’esposizione e la criticità. Un’impresa che aggiorna spesso il proprio portale, sviluppa applicazioni proprietarie o collega numerosi sistemi cloud può avere bisogno di verifiche più ravvicinate. Al contrario, una realtà con infrastruttura stabile può concentrare il test dopo modifiche significative, mantenendo nel frattempo controlli di vulnerabilità e aggiornamenti regolari.

Conta più la qualità della pianificazione della semplice periodicità. Se il test viene effettuato ogni anno ma non include il nuovo portale, la VPN appena attivata o il gestionale collegato ai fornitori, offre una sicurezza solo apparente. Lo scope deve seguire l’evoluzione reale dell’azienda.

Quale penetration test scegliere

Il termine penetration test copre attività diverse. Un test esterno simula un attaccante che parte da Internet e cerca punti di ingresso nei servizi pubblici. È indicato per siti, posta, VPN, firewall, applicazioni web e servizi cloud esposti.

Un test interno verifica invece cosa potrebbe fare un soggetto già presente nella rete aziendale, per esempio dopo il furto di una credenziale o la compromissione di un computer. È particolarmente utile per valutare segmentazione, privilegi, condivisioni e protezione dei server.

Per applicazioni web e portali, il test applicativo esamina autenticazione, gestione delle sessioni, protezione degli input, autorizzazioni e logiche di business. Non basta verificare che il sito sia online e protetto da HTTPS: un utente autenticato potrebbe riuscire, ad esempio, a visualizzare documenti di altri clienti se i controlli applicativi non sono progettati correttamente.

La scelta dipende dagli asset che sostengono il lavoro quotidiano. Un’azienda manifatturiera potrebbe dare priorità alla rete che collega uffici, produzione e magazzino. Uno studio professionale potrebbe concentrarsi su posta, archivi documentali e accessi remoti. Un e-commerce deve porre particolare attenzione al portale, ai pagamenti e ai dati dei clienti.

Come si svolge un test senza mettere a rischio l’operatività

Un penetration test serio parte da regole chiare. Prima dell’attività si definiscono sistemi coinvolti, finestre temporali, contatti di emergenza, tecniche consentite ed esclusioni. Questo passaggio è essenziale: testare un ambiente produttivo senza autorizzazioni e limiti precisi può creare disservizi e, sul piano legale, essere assimilato a un accesso non autorizzato.

Segue la ricognizione tecnica, l’analisi delle vulnerabilità e la verifica controllata delle debolezze individuate. Il principio è dimostrare il rischio senza superare quanto necessario. Se una vulnerabilità permette teoricamente di raggiungere un archivio riservato, il professionista deve raccogliere una prova adeguata, non copiare indiscriminatamente dati reali.

Il lavoro si chiude con un report leggibile anche dal management. Le vulnerabilità dovrebbero essere classificate per gravità tecnica e impatto aziendale, accompagnate da evidenze, indicazioni di correzione e priorità. Un buon documento distingue ciò che va risolto subito da ciò che può essere pianificato, indicando anche le responsabilità operative: fornitore, team interno, sviluppatore o gestore del cloud.

Il risultato conta solo se porta a interventi verificabili

Il penetration test non è un certificato da archiviare. Il suo valore emerge nella fase successiva: correzione delle configurazioni, aggiornamento dei sistemi, revisione dei privilegi, introduzione dell’autenticazione a più fattori, separazione delle reti e miglioramento del monitoraggio.

Alcuni interventi sono rapidi, altri richiedono investimenti e pianificazione. Sostituire un software non supportato, ridisegnare una rete o correggere un’applicazione sviluppata nel tempo può comportare costi e periodi di transizione. Rimandare senza una valutazione del rischio, però, lascia l’azienda esposta. La scelta corretta è costruire un piano sostenibile, con misure compensative nel frattempo e responsabilità definite.

È utile prevedere anche un retest delle vulnerabilità più critiche. Senza una verifica successiva, non si ha la certezza che la correzione sia stata applicata correttamente e che non abbia introdotto nuovi problemi.

Per le imprese di Milano, della Lombardia e del resto d’Italia, il punto non è inseguire ogni allarme tecnologico. È sapere quali sistemi sono davvero essenziali, come potrebbero essere colpiti e quali azioni proteggono continuità, dati e produttività. Un penetration test ben progettato trasforma questa domanda in decisioni concrete, prima che sia un incidente a imporle.