Chi cerca un hacker su internet parte da due esigenze molto diverse. La prima è personale: recuperare un profilo perduto, rientrare in un account, sapere cosa fa qualcun altro. La seconda è aziendale: capire se i propri sistemi sono attaccabili, e da dove.
Questo articolo risponde alla seconda. La verifica di sicurezza informatica è un’attività che si svolge su mandato scritto del titolare dei sistemi, con un perimetro concordato in anticipo e un contratto che ne definisce i limiti. È questo che distingue un professionista da chiunque prometta risultati senza chiedere un’autorizzazione.
Per le esigenze del primo tipo il riferimento corretto sono la Polizia Postale e le procedure di recupero previste dal servizio interessato, non un fornitore privato.
Cosa fa un hacker etico
Un hacker etico cerca vulnerabilità nei sistemi di un’azienda usando le stesse tecniche di chi attaccherebbe per danneggiarla, ma con tre differenze che cambiano tutto: opera su incarico del titolare, entro un perimetro definito, e documenta ciò che trova invece di sfruttarlo.
Nel linguaggio dei servizi questa attività si chiama penetration test. L’obiettivo non è dimostrare che una vulnerabilità esiste, ma stabilire fino a dove porta: quali sistemi diventano raggiungibili partendo da quel punto, quali dati si possono leggere, dove la segmentazione della rete tiene e dove è solo dichiarata.
È la differenza rispetto a una analisi delle vulnerabilità, che produce l’inventario delle debolezze presenti. L’inventario dice dove sono le porte, la verifica attiva dice cosa c’è dietro. Le due attività sono complementari e rispondono a domande diverse.
Va detta anche una cosa sul perimetro. Un professionista non verifica sistemi che non appartengono a chi lo incarica: i server di un fornitore, una piattaforma in cloud gestita da terzi o l’infrastruttura di un partner richiedono un’autorizzazione propria. Questo vale anche quando esiste un rapporto contrattuale fra le due aziende.
Quando serve davvero
Non tutte le aziende hanno bisogno di una verifica attiva, e non tutte ne hanno bisogno subito. Sono tre le situazioni in cui serve.
La prima è dopo un incidente. Quando qualcosa è già accaduto, la domanda non è più se esistono vulnerabilità: è capire quanto in profondità l’attaccante potrebbe essere arrivato, e quali percorsi restano aperti. La chiusura della vulnerabilità iniziale non chiude l’incidente, perché nel frattempo l’attaccante può essersi spostato all’interno della rete.
La seconda è la pressione normativa. Le specifiche di base per i soggetti rientranti nel perimetro NIS2 prevedono attività periodiche di identificazione delle vulnerabilità che comprendano almeno un’analisi delle vulnerabilità o un penetration test, da eseguire anche prima della messa in esercizio dei sistemi. Il requisito parla di vulnerabilità confermate, e una scansione automatica da sola non conferma nulla: produce un elenco che comprende anche falsi positivi.
La terza è la qualifica come fornitore. Un cliente più grande vi manda un questionario di sicurezza e chiede la data dell’ultima verifica. In quel caso serve un documento con una data, un perimetro e un esito, non una dichiarazione di buone intenzioni.
Come si riconosce un professionista
La distinzione si fa prima di firmare, e si basa su come il fornitore si comporta durante la trattativa. I segnali sono pochi e chiari.
| Segnale | Professionista | Da evitare |
|---|---|---|
| Autorizzazione | Chiede un mandato scritto prima di qualsiasi attività, anche di prova | Propone una verifica gratuita immediata per mostrarvi cosa sa fare |
| Perimetro | Vi chiede quali sistemi includere e quali escludere, e lo mette per iscritto | Parla di verifica completa senza chiedere com’è fatta la vostra infrastruttura |
| Identità | Ragione sociale, partita IVA, sede verificabile, referenze contattabili | Contatto solo tramite messaggistica, nessun soggetto giuridico dietro |
| Pagamento | Preventivo, fattura, condizioni di pagamento ordinarie | Anticipo in criptovaluta o pagamento non tracciabile |
| Risultato promesso | Descrive il metodo e i limiti di ciò che la verifica può stabilire | Garantisce l’esito prima di aver visto i sistemi |
| Consegna | Un report con date, perimetro, gravità e indicazioni di correzione | Immagini dello schermo e un elenco di problemi senza contesto |
Il segnale più affidabile è il primo. Chi propone di provare subito, senza autorizzazione scritta, vi sta proponendo un’attività che nessuno dei due potrebbe difendere. Sui criteri più generali per valutare un fornitore di sicurezza abbiamo scritto una guida dedicata alla scelta dell’azienda.
Il nostro penetration test parte da un mandato scritto e da un perimetro concordato con voi. Lo sfruttamento delle vulnerabilità è condotto in modo controllato, per stabilire quali percorsi di attacco sono realmente praticabili nella vostra infrastruttura e quali no.
Cosa deve contenere il contratto
Il documento che autorizza la verifica ha una funzione precisa: rende lecita un’attività che senza mandato non lo sarebbe. Per questo la sua qualità conta più delle competenze tecniche dichiarate.
Il perimetro va indicato per esteso: indirizzi, domini, applicazioni, sistemi inclusi e sistemi esplicitamente esclusi. Se un’applicazione è ospitata presso un fornitore terzo, serve anche la sua autorizzazione. Un perimetro descritto in modo vago produce una verifica che copre meno di quanto sembra, e nessuno se ne accorge fino all’audit successivo.
Serve poi una finestra temporale, con le date e le fasce orarie in cui l’attività può svolgersi. Sui sistemi di produzione questo è ciò che evita che una verifica coincida con la chiusura contabile o con un turno critico.
Va disciplinata la gestione dei dati raccolti durante l’attività. Una verifica attiva può portare l’analista a leggere informazioni riservate: il contratto stabilisce come vengono trattate, per quanto tempo sono conservate e quando vengono distrutte, con obbligo di riservatezza esteso a tutto il personale coinvolto.
Infine il canale di comunicazione durante l’attività. Se l’analista individua qualcosa di grave, deve esistere un referente da avvisare subito, con un recapito che risponda anche fuori dall’orario di lavoro.
Da cosa dipende il costo
Il prezzo di una verifica non si stabilisce a listino, perché dipende da quanto c’è da verificare. Le variabili sono l’ampiezza del perimetro, il tipo di sistemi coinvolti, il grado di conoscenza iniziale concesso all’analista e la profondità richiesta.
Un’applicazione web con poche funzionalità richiede un impegno diverso da una rete con centinaia di dispositivi e sistemi industriali collegati. E una verifica condotta senza alcuna informazione preliminare costa più di una in cui vi vengono forniti credenziali e documentazione, perché parte del lavoro consiste nel ricostruire ciò che avreste potuto consegnare.
Su questo abbiamo scritto un approfondimento che elenca gli elementi che determinano il costo di una verifica, utile per capire cosa chiedere in fase di preventivo e cosa confrontare fra due offerte.
Un criterio pratico: due preventivi molto distanti fra loro raramente descrivono lo stesso lavoro. Prima di confrontare le cifre conviene confrontare i perimetri, perché è quasi sempre lì che sta la differenza.
Cosa chiedere alla consegna
La verifica finisce con un documento, e da quel documento dipende se il lavoro produrrà qualcosa o resterà in un cassetto.
Il report deve indicare il perimetro effettivamente coperto, che non sempre coincide con quello concordato, e spiegare le eventuali differenze. Deve riportare ogni vulnerabilità con il livello di gravità e, soprattutto, con l’indicazione di come correggerla. Un elenco di problemi senza indicazioni di rimedio sposta il lavoro su di voi senza ridurre il rischio.
Serve inoltre una sintesi comprensibile a chi non è tecnico. È la parte che porterete in riunione, e sulla quale la direzione deciderà se finanziare gli interventi.
C’è un ultimo elemento, e viene dimenticato quasi sempre: la riverifica dopo la correzione. Una vulnerabilità corretta e non ricontrollata resta una vulnerabilità dichiarata chiusa, e in sede di audit la distinzione è quella che conta. Il momento per concordare la riverifica è la firma del contratto, non la consegna del report.
Se non avete ancora l’inventario delle vulnerabilità presenti sui vostri sistemi, il punto di partenza è quello. Il nostro Vulnerability Assessment le rileva e le valida una per una, distinguendo quelle reali dai falsi positivi e restituendole in ordine di priorità, con un report utilizzabile anche come evidenza documentale.
- Autore articolo
- Gli ultimi articoli
Responsabile Marketing per due aziende leader nel settore della Sicurezza Informatica: organizzo e progetto iniziative di diffusione della cultura cybersecurity e dei rischi cyber-crime attraverso contenuti web, eventi on e off line e materiale info-grafico. Ho una naturale propensione per far coesistere il lato metodico e preciso del mio carattere con la parte più creativa, visionaria e ambiziosa di me. Sono curiosa, riflessiva e non metto freni alla mia fame di conoscenza.