NIST SP 800-115
Guida tecnica del NIST per test e valutazioni di sicurezza delle informazioni.
Prima di affidarci un vulnerability assessment è giusto sapere cosa riceverete e come lavoriamo. In questa pagina trovate il nostro metodo e un fac-simile del report che consegniamo ai clienti, con dati inventati di un'azienda di esempio.
Come lavoriamo, in sei passi
Autorizzazione
Firmiamo con voi un'autorizzazione scritta: perimetro (indirizzi, domini, sistemi), finestre orarie, referenti. Senza, non si parte.
Scansione
Analisi dall'esterno, come un attaccante, e dall'interno della rete, con scansioni autenticate dove possibile.
Verifica
Ogni risultato viene controllato da un tecnico, anche con il supporto dell'AI: eliminiamo i falsi positivi e valutiamo l'impatto reale.
Report
Sintesi per la direzione e dettaglio tecnico: ogni vulnerabilità con CVE, punteggio CVSS, impatto e rimedio.
Correzione
Correggete voi o lo facciamo noi con i servizi gestiti, nell'ordine di priorità indicato.
Verifica finale
Una seconda scansione attesta quali vulnerabilità sono state risolte: è il documento che fa da prova.
Il metodo dichiarato
OWASP
Web Security Testing Guide e Top 10 per le applicazioni web.
PTES
Penetration Testing Execution Standard per le attività di test di penetrazione.
CVE e CVSS
Identificativi pubblici delle vulnerabilità e punteggio di gravità standard.
Come scegliamo gli strumenti
Gli strumenti cambiano, i criteri no. Usiamo solo piattaforme che rispettano questi requisiti:
Dati in Europa
Risultati delle scansioni ospitati in UE, con accordo di trattamento dei dati conforme al GDPR.
Scansioni autenticate
Accesso ai sistemi con credenziali dedicate e limitate: risultati molto più precisi di una scansione "dall'esterno" soltanto.
Verifica umana
Nessun risultato va nel report senza il controllo di un tecnico: niente elenchi automatici pieni di falsi positivi.
Nessun vincolo
I report e i dati sono vostri: se un giorno cambiate fornitore, li portate con voi.
Fac-simile
Il report che ricevete
Un esempio con dati fittizi: azienda inventata, indirizzi IP riservati alla documentazione (192.0.2.x). Le vulnerabilità citate sono reali e documentate nel nostro Threat Alert.
Rapporto di
vulnerability assessment
vulnerability assessment
Cliente: Azienda Esempio Srl — Porto San Giorgio (FM)
- Codice
- VA-2026-014
- Periodo
- 6–8 ottobre 2026
- Verifica finale
- 20 ottobre 2026
- Autorizzazione
- Firmata il 1 ottobre 2026
1. Sintesi per la direzione
L'infrastruttura presentava due vulnerabilità critiche sfruttabili da un attaccante esterno o da un account compromesso: una sul firewall perimetrale e una sul server di backup. Entrambe sono state corrette e verificate il 20 ottobre. Restano due problemi di gravità media e bassa sul sito e sul portale, da risolvere entro 30 giorni.
2Critiche (risolte)
1Alta (risolta)
1Media (aperta)
1Bassa (aperta)
Medio-bassoRischio residuo
2. Perimetro e metodo
Perimetro autorizzato: rete 192.0.2.0/24 (sede), firewall perimetrale, 2 server, 38 postazioni, dominio azienda-esempio.it e portale clienti. Esclusi: sistemi di produzione industriale (OT). Metodo: NIST SP 800-115 e OWASP WSTG; scansione esterna e interna autenticata; verifica manuale dei risultati. Strumenti: indicati per nome e versione nel report originale.
3. Vulnerabilità rilevate
| ID | Gravità | CVSS | CVE | Sistema | Descrizione e impatto | Rimedio | Stato |
|---|---|---|---|---|---|---|---|
| VA-01 | Critica | 9.8 | CVE-2024-55591 | Firewall perimetrale (192.0.2.1) | Bypass dell'autenticazione dell'interfaccia di gestione del firewall, raggiungibile da internet: un attaccante può diventarne amministratore. | Aggiornare FortiOS alla 7.0.17 o successiva; rendere l'interfaccia di gestione raggiungibile solo dalla rete interna o via VPN. | Risolta |
| VA-02 | Critica | 9.9 | CVE-2025-23120 | Server di backup (192.0.2.20) | Esecuzione di codice sul server di backup da parte di un qualsiasi utente del dominio: rischio di cancellazione dei backup. | Aggiornare Veeam Backup & Replication alla 12.3.1; separare il server di backup dal dominio di produzione. | Risolta |
| VA-03 | Alta | 8.8 | CVE-2025-8088 | 14 postazioni di lavoro | WinRAR 7.12 o precedente: un archivio ricevuto via email può installare malware all'apertura. | Aggiornare WinRAR alla 7.13 su tutte le postazioni; inserire WinRAR nel patch management. | Risolta |
| VA-04 | Media | 5.3 | — | Portale clienti (portale.azienda-esempio.it) | Protocollo TLS 1.0 ancora accettato dal server web. | Disattivare TLS 1.0 e 1.1; mantenere solo TLS 1.2 e 1.3. | Aperta |
| VA-05 | Bassa | 3.1 | — | Sito web (www.azienda-esempio.it) | Intestazioni di sicurezza HTTP mancanti (Content-Security-Policy, HSTS). | Aggiungere le intestazioni nella configurazione del server web. | Aperta |
4. Piano di rientro
- Entro 72 ore — vulnerabilità critiche (completato).
- Entro 15 giorni — vulnerabilità alte (completato).
- Entro 30 giorni — vulnerabilità medie e basse.
- Prossimo assessment — gennaio 2027 (cadenza trimestrale).
Redatto da Giorgio Monticelli
CEO e consulente di sicurezza informatica
Cybernix — VAY Srl
CEO e consulente di sicurezza informatica
Cybernix — VAY Srl
Il presente rapporto descrive lo stato dei sistemi nel perimetro autorizzato alle date indicate.
Non costituisce certificazione.
Non costituisce certificazione.
L'autorizzazione alla scansione
È il primo documento che firmiamo insieme. Contiene:
- Parti e referenti — chi autorizza (con i poteri per farlo) e chi contattare durante le attività, da entrambe le parti.
- Perimetro — indirizzi IP, domini, sistemi e applicazioni inclusi, e cosa è escluso.
- Tipo di attività — scansione esterna, interna, autenticata, test di penetrazione, simulazione di phishing.
- Finestre orarie — quando si può operare e come fermare tutto in caso di problemi.
- Riservatezza — come trattiamo i risultati e i dati, secondo il GDPR.
FAQ
Report e assessment: domande frequenti
Il report è una certificazione?
No, e diffidate di chi lo chiama così: in Italia non esiste una certificazione del vulnerability assessment. Il report documenta in modo verificabile lo stato dei sistemi a una certa data, con un metodo dichiarato, ed è firmato dal tecnico che ha eseguito l'attività.
Serve per la NIS2?
Sì. La NIS2 chiede di gestire le vulnerabilità in modo continuativo e di poterlo dimostrare: report periodici e verifiche dopo le correzioni sono l'evidenza documentale più diretta, utile anche verso i clienti che vi chiedono garanzie di sicurezza come fornitori.
Perché serve un'autorizzazione scritta?
Perché scansionare sistemi altrui senza consenso può configurare un accesso abusivo a sistema informatico (art. 615-ter del codice penale). L'autorizzazione definisce perimetro, orari e referenti e tutela entrambe le parti.
Le scansioni rallentano i sistemi?
Sono progettate per non interferire con l'operatività; le attività più invasive, come i test di penetrazione, si svolgono in finestre orarie concordate, spesso fuori dall'orario di lavoro.