Guida
Audit, scansione delle vulnerabilità o penetration test: cosa ordinare
Una scansione automatizzata elenca vulnerabilità probabili, un audit le classifica e indica cosa correggere, un penetration test dimostra cosa potrebbe farne un aggressore. Ecco le definizioni dell’ANSSI, cosa deve contenere un rapporto e cosa impongono davvero il GDPR e l’ISO 27001.
Aggiornato il 18 ottobre 2026 · Le cifre hanno la loro fonte in fondo alla pagina; le valutazioni sono quelle di IT CyberWall.
Tre servizi che si confondono
| Servizio | Cosa fa | Cosa riceve |
|---|---|---|
| Scansione delle vulnerabilità | Uno strumento interroga automaticamente le Sue macchine e confronta ciò che vede con un database di vulnerabilità note. | Un elenco di vulnerabilità probabili, spesso lungo, da selezionare. |
| Audit di sicurezza | Degli auditor esaminano la Sua architettura, le Sue configurazioni, il Suo codice o la Sua organizzazione. | Un rapporto che classifica le vulnerabilità e indica cosa correggere per primo. |
| Penetration test | Degli auditor si mettono nei panni di un aggressore e verificano che una vulnerabilità sia realmente sfruttabile, e con quale impatto[1]. | La prova di ciò che un aggressore potrebbe fare, passo dopo passo. |
I cinque tipi di audit secondo l’ANSSI
Lo standard dei fornitori di audit qualificati (PASSI) distingue cinque attività[1]:
- Audit di architettura: la scelta e il posizionamento degli apparati, i collegamenti con internet e con le reti di terzi.
- Audit di configurazione: le impostazioni degli apparati di rete, dei sistemi, delle applicazioni e dei prodotti di sicurezza.
- Audit del codice sorgente: le vulnerabilità nel codice di un’applicazione.
- Penetration test: lo sfruttamento delle vulnerabilità in condizioni reali di attacco.
- Audit organizzativo e fisico: la governance, le procedure, la sicurezza dei locali.
Cosa deve contenere il rapporto
Lo standard PASSI stabilisce il contenuto di un rapporto di audit[1]. È una buona griglia per valutare qualsiasi rapporto:
- una sintesi comprensibile per i non esperti: contesto, perimetro, vulnerabilità critiche e valutazione del livello di sicurezza;
- una tabella delle vulnerabilità classificate in base al loro impatto e alla loro facilità di sfruttamento;
- raccomandazioni collegate a ciascuna vulnerabilità, classificate per criticità e per costo;
- per un penetration test, lo svolgimento del test e il metodo utilizzato;
- i limiti: ciò che non è stato possibile coprire e le fasi realizzate con strumenti automatici.
Un rapporto che è solo l’output di uno strumento, senza sintesi né priorità, non La aiuterà a decidere.
Cosa impone la legge, e cosa non impone
- Il GDPR richiede, per i trattamenti di dati personali, « una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure » di sicurezza (articolo 32), con un livello adeguato al rischio[2]. Non impone espressamente un audit né un penetration test: spetta a Lei scegliere una procedura proporzionata.
- La norma ISO/IEC 27001 è una norma volontaria: è l’azienda stessa a decidere di farsi certificare[3]. Non è un obbligo legale, anche se un cliente può esigerla per contratto.
- Una qualifica PASSI è obbligatoria solo quando un testo o un contratto la richiede. Si verifica sul sito dell’ANSSI.
Sempre un’autorizzazione scritta
Un penetration test consiste nell’attaccare dei sistemi: si effettua solo con il consenso scritto del loro proprietario. Lo standard PASSI prevede una convenzione firmata prima dell’audit e, per un penetration test, una scheda di autorizzazione firmata dal committente, dal soggetto sottoposto ad audit e dai terzi interessati (il Suo hosting provider, ad esempio), che elenca gli obiettivi, le date e gli orari[1].
Cosa ordinare?
| La Sua situazione | Cosa è adatto |
|---|---|
| Non sa a che punto è | Un audit di architettura e di configurazione, con una sintesi per la direzione. |
| Vuole seguire l’evoluzione nel tempo | Una scansione regolare, a complemento di un audit, mai al suo posto. |
| Un sito o un’applicazione esposti su internet | Un penetration test su questo perimetro. |
| Un cliente o una gara d’appalto esige una prova | Legga il requisito: qualifica PASSI, certificazione ISO 27001 o semplice rapporto di audit non sono la stessa cosa. |
I nostri audit sono descritti nella pagina Audit di sicurezza.
Non sa cosa ordinare?
Descriva il Suo contesto e ciò che Le viene chiesto: Le diciamo quale tipo di audit è adatto.
Fonti
Fonti consultate il 18 ottobre 2026. Le tariffe dei fornitori sono indicate IVA esclusa, nella valuta e nella regione del listino pubblicato, e possono cambiare: verifichi sempre la pagina ufficiale prima di decidere.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1° settembre 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (articolo 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html