Cybersecurity, Gestione IT

Vulnerability Assessment: serve davvero?

28 Giugno 2022

Cosa vuol dire sicurezza?

Se partiamo dal dato che un attacco su due che va a buon fine è dovuto alle vulnerabilità presenti sui sistemi, allora per sicurezza non si intende solo un insieme di prodotti, ma anche una ricerca continua delle falle da tappare.

I più tecnici sanno sicuramente tutte le difficoltà e le insidie che si celano dietro un Vulnerability Assessment… ma sanno anche che non se ne può più fare a meno.

Si potrebbe dire che il “Vulnerability Assessment is the new antivirus”, ma ci sono alcune domande che sicuramente ti imperversano nella testa.

In questo articolo ci porremo queste domande e gli daremo delle risposte.

Discuteremo, inoltre, di come un Vulnerability Assessment sia importante per determinare non solo lo stato di sicurezza in cui versano le reti dei tuoi clienti, ma anche per sapere quali soluzioni implementare per essere sempre al riparo dagli attacchi informatici e affronteremo, infine, un discorso tabù, quello dei costi.

Pronto? Iniziamo.

Che cos’è un Vulnerability Assessment?

Un Vulnerability Assessment è un test volto a determinare tutte le vulnerabilità presenti all’interno di una rete o di un sistema informatico. Questo tipo di test è spesso necessario per stabilire il livello di sicurezza di una rete, di un sito o di un’applicazione.

L’utilità di un Vulnerability Assessment non si ferma, però, alla sua capacità di identificare tutti i punti deboli e le criticità di un sistema informatico; è infatti in grado di identificare anche le relative soluzioni per porvi rimedio. L’intero reparto tecnico della tua azienda potrà concentrare le sue operazioni dove è necessario e saprà già in che modo intervenire.

Dove si esegue un Vulnerability Assessment

Abbiamo visto che il Vulnerability Assessment si esegue, di solito, sulla rete informatica di un’azienda, ma c’è di più: questo test è così completo da analizzare sia l’interno della rete (LAN) sia il perimetro esterno (WAN). In questo modo otteniamo una visuale a 360° dello stato di sicurezza di una rete.

All’interno di una rete poi, riesce ad analizzare l’integrità di ogni dispositivo connesso: computer, smartphone, tablet, server, NAS, access point e, in generale, tutto ciò che è connesso in azienda.

Può capitare che un cliente richieda un’analisi web. In questo caso si ha un Web Vulnerability Assessment, un servizio, cioè, in grado constatate lo stato di salute di un’applicazione o di un sito web.

Vulnerability Assessment

Vulnerability Assessment sulle macchine industriali

Negli ultimi anni, gli attacchi ai dispositivi IoT sono in costante aumento con migliaia di tentate violazioni al mese.

Il Vulnerability Assessment è davvero innovativo grazie alla possibilità di monitorare le vulnerabilità informatiche in un ambiente industriale, dando ampia visibilità a tutti quei dispositivi, come sensori, altoparlanti, serrature, telecamere, sempre più diffusi nelle aziende di ogni tipo e dimensione.

Spesso non si fa caso a questi dispositivi, ma il loro funzionamento è dovuto a un software che inevitabilmente è soggetto agli stessi pericoli di tutte le altre tecnologie esposte in rete. Le vulnerabilità che si riscontrano in fase di test sono infatti molte, tra servizi non protetti e componenti non sicure.

Perché fare un Vulnerability Assessment è importante?

Mettiamo un attimo da parte il modo in cui viene eseguito un Vulnerability Assessment e vediamo quali sono i motivi che possono spingere un tuo cliente a richiedere questo servizio.

Di sicuro permette di:

  • monitorare la sicurezza di un sistema informatico o di un’infrastruttura web;
  • aggiornare l’ambiente IT in funzione dell’evoluzione degli attacchi informatici;
  • verificare l’efficacia delle soluzioni di cybersecurity già presenti in azienda;
  • concentrare il lavoro nell’infrastruttura IT solo dove è necessario;
  • evitare lo spreco di risorse preziose e limitate.

Concentriamoci proprio su quest’ultimo punto. Sappiamo che i budget di una azienda sono un elemento critico da valutare. Da qui l’idea di trattare l’argomento del prossimo paragrafo.

Quali elementi incidono sul costo del Vulnerability Assessment?

Come per qualsiasi servizio, il costo di un Vulnerability Assessment varia al variare di alcuni elementi. Vediamo quali.

  • Complessità e struttura di rete

Il numero di dispositivi e la complessità dell’ambiente da analizzare costituiscono un elemento fondamentale per determinare il costo di un Vulnerability Assessment, in quanto più una rete aziendale risulterà estesa, maggiore sarà il tempo da dedicare all’analisi della struttura.

  • Vulnerability Assessment tool and skills

I test vengono eseguiti sfruttando tecniche manuali o automatiche e competenze diverse a seconda delle necessità di un cliente. Tuttavia, alcuni richiedono competenze specifiche riservate a un numero specifico di tecnici incidendo sul costo del servizio.

  • Attività urgente o servizio pianificato

Per eseguire un Vulnerability Assessment sono necessari tempi tecnici di esecuzione e di monitoraggio dei risultati: un’analisi frettolosa e superficiale rende vago lo sforzo sia dell’azienda che richiede il test che dell’azienda che fornisce il servizio. Detto ciò, le tempistiche cambiano a seconda della struttura da analizzare e, a seconda dell’urgenza del test, anche i costi cambiano.

Riassumendo, è difficile fare un prezzo senza prima essersi confrontati sul tipo di struttura da analizzare e sulle necessità tecniche e aziendali.

Tutti i benefici di un Vulnerability Assessment

benefici di un Vulnerability Assessment sono riscontrabili in diversi aspetti operativi di un’azienda. In primo luogo si tratta di uno servizio di prevenzione e monitoraggio in grado di rilevare i problemi di sicurezza causati da configurazioni errate o obsolete, errori di codice o mancanza di aggiornamentipassword deboli.

In secondo luogo, considerando che molti di questi elementi sono la principale fonte di accesso fraudolento ai sistemi informatici, un Vulnerability Assessment eseguito costantemente permette, oltre all’identificazione delle falle di sistema, anche di ottenere indicazioni precise su come porvi rimedio ed evitare quindi che un hacker possa violare i sistemi.

Ma come abbiamo visto, un test di vulnerabilità non ha solamente funzioni tecniche. Ha infatti un ruolo commerciale importante; le aziende sottoposte vantano inoltre il beneficio di poter utilizzare eventuali certificati di cybersecurity emessi come garanzia di azienda sicura e usarli come elementi distintivi di valore.

Conclusioni

Per concludere ti dico che è necessario far capire ai clienti che, se gli si consiglia un vulnerability assessment, è nel loro interesse. Sfortunatamente, quando si parla di sicurezza, la maggior parte delle aziende si ferma a ciò che ritiene sufficiente, senza considerare ciò che è necessario.

Oggi, il solo antivirus non è certo sufficiente come difesa. Le minacce sono in continua evoluzione e i cybercriminali sono sempre più abili a comprendere la tecnologia e hanno risorse sempre più sofisticate.

Tutto questo unito alla condizione precaria dei sistemi informatici aziendali rende sempre più impegnativo per i fornitori di servizi IT proteggere i propri clienti. La gestione della sicurezza deve diventare perciò un processo continuo, un’attività integrata nel piano aziendale e un Vulnerability Assessment è un ottimo strumento per stare al passo con gli sviluppi della tecnologia e per far fronte a pericoli sempre più temibili.

Un consiglio da dare al tuo cliente? Non guardare solo il costo del servizio, ma soppesa i benefici e l’utilità che il test può dare a tutta l’azienda.

Un altro consiglio? CyberCNS: una piattaforma cloud e multitenant studiata apposta per gli MSP, che permette di rilevare, gestire e proteggere gli asset e le reti dei clienti in maniera automatizzata.

Per approfondire il suo funzionamento ed entrare nel dettaglio di un vulnerability assessment, abbiamo preparato un webinar on demand che fa al caso tuo.

Guarda il Webinar On Demand

Autore
Claudio Panerai
Gli ultimi prodotti che vi ho portato, nel 2020: Vade Secure Il primo sistema antispam/antihishing/antimalware basato sull'intelligenza artificiale e appositamente progettato per Office 365. Naturalmente a misura di MSP. ID Agent Piaffaforma che consente agli MSP di monitorare le credenziali (proprie e dei clienti) che sono in vendita nel dark web.
Nato a Ivrea nel 1969, è sposato e padre di due figlie. Laureato in Scienze dell’Informazione nel 1993, ha dapprima svolto numerose consulenze e corsi di formazione per varie società per poi diventare responsabile IT per la filiale italiana del più grande editore mondiale di informatica, IDG Communications. Dal 2004 lavora in Achab dapprima come Responsabile del Supporto Tecnico per poi assumere dal 2008 la carica di Direttore Tecnico. Giornalista iscritto all’albo dei pubblicisti, dal 1992 pubblica regolarmente articoli su riviste di informatica e siti web di primo piano. E' stimato da colleghi e clienti per la schiettezza e onestà intellettuale. Passioni: viaggi, lettura, cinema, Formula 1, sviluppo personale, investimenti immobiliari, forex trading. Claudio è anche su LinkedIn e Facebook.
Commenti (0)
guest
0 Commenti
Inline Feedbacks
Guarda tutti i commenti

Tieniti aggiornato

Inserisci il tuo indirizzo e-mail per restare aggiornato su tutte le nostre iniziative