← Torna alla pagina precedente
Sicurezza e controlli
Si può avere il firewall, l'antivirus e i backup, e restare comunque esposti per un aggiornamento mai fatto o una password rimasta quella di fabbrica. Il vulnerability assessment serve a scoprirlo prima che lo scopra qualcun altro.
È un controllo sistematico di tutto quello che in azienda è collegato alla rete — server, computer, stampanti, telecamere, il gestionale, il firewall stesso — alla ricerca dei punti deboli già noti: programmi non aggiornati, servizi accesi che non servono a nessuno, password predefinite mai cambiate, configurazioni sbagliate. Il risultato non è un giudizio: è un elenco di cose da sistemare, ordinate per gravità.
• Un computer o un server con gli aggiornamenti fermi da mesi, spesso perché «ì sopra gira il gestionale e non si tocca».
• Apparecchi collegati alla rete di cui nessuno si ricorda più: una vecchia stampante di rete, un NAS, il videoregistratore delle telecamere raggiungibile da internet.
• Accessi da fuori aperti in fretta durante un'emergenza e mai richiusi.
• Utenze di persone che non lavorano più in azienda, ancora attive e spesso con la stessa password di anni fa.
Il vulnerability assessment cerca e cataloga i punti deboli: è ampio, ripetibile e ha senso farlo periodicamente. Il penetration test prova a sfruttarli davvero, come farebbe chi attacca, e serve a dimostrare fin dove si riuscirebbe ad arrivare: è mirato, costa di più e ha senso quando c'è già una base di sicurezza da mettere alla prova. Per una piccola impresa l'ordine giusto è quasi sempre il primo, ripetuto una o due volte l'anno e dopo ogni cambiamento importante: un server nuovo, un trasloco, l'apertura di un accesso dall'esterno.
Leggi anche: il firewall in azienda, a cosa serve e quando non basta →Il controllo non serve a niente se finisce in un cassetto. Un rapporto di trecento pagine che nessuno legge è un costo, non una protezione. Quello che conta è la parte dopo: chi mette mano alle cose trovate, in che ordine, con quali tempi, e chi ricontrolla che siano state chiuse davvero.
Partiamo dall'inventario — sapere che cosa c'è collegato è già metà del lavoro — poi facciamo la scansione e consegniamo un elenco in italiano, diviso fra quello che va chiuso subito, quello che si pianifica e quello che si può accettare consapevolmente. Le correzioni le facciamo noi o il tecnico interno, e alla fine si ricontrolla. È anche il modo più rapido per rispondere a un cliente che chiede evidenze sulla sicurezza.
Scopri i servizi di sicurezza informatica →Reti, server e infrastruttura: come le teniamo in ordine →