Quanto costa un Vulnerability Assessment o un Penetration Test

Prima o poi la domanda arriva sempre:

• quanto costa un vulnerability assessment?
• quanto un penetration test?

È una domanda legittima, ma la risposta onesta spiazza chi se la pone: non esiste un prezzo di listino, e diffidate di chi ve ne dà uno senza aver prima guardato i vostri sistemi. Non è una scappatoia commerciale, è il contrario: un’analisi di sicurezza seria è un servizio su misura e il suo costo dipende da cosa c’è davvero da analizzare.

1. Perché non esiste un listino
2. Cosa determina il costo
3. Vulnerability assessment e penetration test: costi diversi perché diverso è il lavoro
4. Quando un prezzo troppo basso è un campanello d’allarme
5. Cosa state pagando davvero
6. Come orientarsi nella scelta

Perché non esiste un listino

Un’analisi di sicurezza non è un prodotto a scaffale con un prezzo stampato sopra. È un’attività di servizio il cui contenuto cambia radicalmente da azienda ad azienda: due imprese dello stesso settore possono avere infrastrutture, applicazioni e livelli di esposizione completamente diversi, e quindi richiedere quantità di lavoro molto diverse.

Per questo qualsiasi fornitore serio, prima di formulare un preventivo, ha bisogno di capire cosa deve analizzare: quanti sistemi, quali applicazioni, con quale profondità, entro quali tempi. Chi salta questo passaggio e spara una cifra al telefono sta vendendo qualcosa di standardizzato, che con un’analisi su misura ha poco a che fare. La definizione del prezzo, in altre parole, comincia da una conversazione sul vostro caso specifico, non da una tabella.

Cosa determina il costo

Pur senza arrivare a cifre, è possibile capire quali fattori spostano il preventivo verso l’alto o verso il basso. Il primo è l’ampiezza del perimetro: il numero di sistemi, dispositivi, applicazioni o indirizzi IP da analizzare. Una piccola infrastruttura con pochi servizi esposti richiede molto meno lavoro di una rete estesa con decine di server, postazioni e dispositivi connessi.

Conta poi la profondità dell’analisi: una verifica delle vulnerabilità note è un’attività diversa, e meno onerosa, di un test approfondito che le sfrutta una per una. Pesa la quantità di lavoro manuale richiesto rispetto a quello automatizzabile, perché il tempo di un analista esperto è la voce di costo principale. Incide la presenza di componenti particolari, come applicazioni web complesse, sistemi industriali o ambienti cloud, che richiedono competenze specifiche. E infine pesa l’urgenza: un’analisi da concludere in pochi giorni, magari per rispettare la scadenza di un contratto, comprime i tempi tecnici e si riflette sul costo.

Vulnerability assessment e penetration test: costi diversi perché diverso è il lavoro

Una parte della confusione sui prezzi nasce dal trattare come equivalenti due servizi che equivalenti non sono: il vulnerability assessment e il penetration test comportano un lavoro profondamente diverso. Il vulnerability assessment è un’analisi ampia e in larga parte automatizzata, che individua e cataloga le vulnerabilità note su tutto il perimetro: copre molto, è ripetibile, ed è il punto di partenza naturale. Il suo costo riflette l’ampiezza dell’analisi.

Il penetration test è un’altra cosa: un’attività con una forte componente manuale, in cui un analista prova attivamente a sfruttare le vulnerabilità per dimostrare fin dove un attaccante arriverebbe. Richiede più tempo, più competenza specialistica e più ore di lavoro umano su ogni obiettivo, e questo si riflette su un costo per singolo asset più alto. Non è “più caro” in senso assoluto: è un lavoro diverso, che risponde a una domanda diversa. Confrontare il prezzo di un VA con quello di un pentest è come confrontare il costo di un check-up generale con quello di un intervento mirato.

Quando un prezzo troppo basso è un campanello d’allarme

Sul mercato capita di trovare offerte di “penetration test” a cifre sorprendentemente basse. Vale la pena capire cosa c’è dietro, perché spesso non è competitività, ma una differenza di sostanza: ciò che viene venduto come pentest è, in realtà, una semplice scansione automatica rietichettata.

Una scansione automatica costa poco perché la fa un software in tempi rapidi, senza l’analisi manuale che distingue un test reale. Produce un elenco di vulnerabilità potenziali, non la verifica di cosa quelle vulnerabilità consentono davvero. Non è inutile, ma è un vulnerability assessment, e va pagato e considerato come tale. Il problema nasce quando lo si compra credendo di avere un penetration test: si paga poco, ma si ottiene metà del lavoro, e si resta convinti di essere protetti su rischi che nessuno ha realmente verificato. Il prezzo, in questo caso, è l’indizio che qualcosa non torna.

Cosa state pagando davvero

La domanda “quanto costa” andrebbe ribaltata in “cosa sto comprando”. In un’analisi di sicurezza seria non pagate un software, ma il tempo e l’esperienza di chi la conduce: la capacità di un analista di ragionare come un attaccante, di concatenare debolezze che prese singolarmente sembrano innocue, di distinguere il falso allarme dal rischio reale.

Pagate anche il report: non un elenco grezzo di avvisi, ma un documento che ordina le criticità per priorità e vi dice da dove cominciare, in modo che il vostro reparto IT sappia esattamente dove intervenire. E pagate la possibilità di dimostrare, con un documento alla mano, di aver verificato i vostri sistemi: un valore concreto quando una normativa come NIS2 o un cliente importante vi chiedono garanzie. Visto così, il costo dell’analisi si confronta non con “zero”, ma con il costo di una violazione mai prevenuta.

Come orientarsi nella scelta

Di fronte a più preventivi, il prezzo non dovrebbe mai essere l’unico criterio. Vale la pena verificare cosa comprende esattamente l’analisi: il perimetro coperto, la presenza di lavoro manuale e non solo automatico, il tipo di report consegnato, le certificazioni di chi esegue il test. Due preventivi molto diversi nascondono quasi sempre due servizi diversi, e capirlo prima di scegliere evita di pagare per qualcosa che non corrisponde a ciò che serve.

Il modo più sensato di affrontare la questione del costo, quindi, non è cercare una cifra online, ma confrontarsi con chi il servizio lo eroga, descrivere la propria situazione e farsi spiegare cosa comprende il preventivo. È l’unico modo per ottenere un numero che abbia davvero senso per la vostra azienda.