La scansione delle vulnerabilità compare nel preventivo ma non ci capisco molto: cos'è ed è sufficiente o serve per forza un pentest?

Pensatela così: la scansione delle vulnerabilità è come una guardia giurata che gira attorno all'edificio per controllare dall'esterno se tutte le porte e le finestre sono chiuse a chiave. Il pentest è quando prova a entrare da una finestra lasciata aperta per aprire la cassaforte sulla scrivania. La scansione indicata nel preventivo farà probabilmente un controllo di porte e servizi confrontandoli con un database predefinito.

Per il nostro sito di distribuzione all'ingrosso a Roma, l'anno scorso abbiamo speso 1.100 EUR per avviare una scansione delle vulnerabilità. Nel primo report sono emerse ben 34 falle, di cui 6 critiche dovute a un plugin del server ormai obsoleto. Abbiamo fatto gli aggiornamenti e nel trimestre successivo le falle critiche si sono azzerate. Per noi è stato utilissimo.

Prima di accettare il preventivo chiedete all'azienda: "Il report della scansione ce lo manderete come semplice PDF grezzo oppure è inclusa un'ora di consulenza per sederci con il nostro responsabile IT e stabilire le priorità per chiudere le falle?". Se intendono solo buttarvi lì un report automatico e sparire, non date loro quei soldi.

Le scansioni automatiche delle vulnerabilità generano tantissimi "falsi positivi", cioè falsi allarmi. Possono far passare per rischio elevato anche una configurazione minore di un header che non crea alcun pericolo reale. Se nel vostro team non c'è qualcuno in grado di leggere quel report e distinguere cosa sia reale e cosa irrilevante, vi ritroverete con un pugno di mosche.

secondo me se nn salvaet dati di carte sul portale il pentest x adesso è una spesa inutile ma fare scansioni regolari e nn saltare gli aggiornamenti del server salva già il 90% delle piccole aziende.

Ai sensi delle normative sulla protezione dei dati vigenti in Italia e nell'Unione Europea, sussiste l'obbligo di adottare misure tecniche a tutela dei dati commerciali dei clienti. Eseguire scansioni periodiche delle vulnerabilità e archiviarne i report costituisce un valido riscontro formale a dimostrazione del vostro impegno proattivo in materia di sicurezza in caso di controlli.

I disegni tecnici presenti sul vostro portale sono di vostra proprietà o sono progetti riservati dei clienti? Perché se custodite progetti registrati che costituiscono segreti industriali dei vostri clienti, uno di loro potrebbe richiedere contrattualmente un penetration test all'anno. Avete verificato i contratti?

Non c'è bisogno di complicarsi la vita: scegliete il pacchetto da 1.200 EUR per non sforare il budget, ma chiarite con lo stesso fornitore anche la parte relativa alla risoluzione delle falle segnalate. Lasciate che sistemino per bene il sistema il primo anno se l'anno prossimo il giro d'affari cresce penserete al pentest.

Questo thread è archiviato.

anchhe da noi è così.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se scrivete qui il risultato, sarà utile anche ad altri.

Secondo voi funziona a tutte le scale? Chiunque abbia fretta su cos'è la scansione delle vulnerabilità si blocca nello stesso punto.

Se avete domande, scrivete, rispondo per quanto possibile.

Corretto.

Sono emerse tre opinioni diverse, si completano a vicenda... insomma non fidatevi di una sola misura di sicurezza; procedete per livelli.

Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Racconto cosa mi è successo, magari vi è utile. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Se scrivete qui il risultato, sarà utile anche ad altri.

Su questo punto non sono d'accordo. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Buon lavoro.

Raro trovare articoli che spiegano le cose così chiaramente.

scusate ma questo non vale in ogni caso. l'errore commesso da cos'è la scansione delle vulnerabilità è generalmente reversibile ma costoso.

quuesta è la mia opinione, non la scrivo come verità assoluta.