Introduzione: La Sicurezza Cibernetica nelle Pubbliche Amministrazioni è una Priorità Assoluta

Perché il Vulnerability Assessment nelle PA è diverso dal settore privato

I rischi specifici per i dati dei cittadini e le infrastrutture critiche

Il Quadro Normativo: Obblighi e Standard per la PA Italiana

Il Decreto NIS 2 e le nuove soglie di sicurezza

Il Piano Nazionale di Ripresa e Resilienza (PNRR) e la missione ‘Digitalizzazione’

Il perimetro di sicurezza nazionale e le linee guida dell’ACN

Cos’è il Vulnerability Assessment e come funziona nella PA

Scansione passiva vs. scansione attiva: differenze e utilizzi

Il ciclo di vita di una vulnerabilità: identificazione, validazione e patch

Differenza tra Vulnerability Assessment e Penetration Test

Il Processo di Assessment: Fasi operative per la Pubblica Amministrazione

Fase 1: Inventario e mappatura delle asset critiche (IT/OT)

Fase 2: Configurazione degli scan e definizione dello scope

Fase 3: Esecuzione dello scan e analisi dei falsi positivi

Fase 4: Reporting e presentazione al Responsabile della Sicurezza (RSS)

La Guida al Preventivo: Costi del Vulnerability Assessment per le PA

Modelli di pricing: Abbonamenti SaaS vs Progetti One-Shot

Costi variabili: numero di IP, intervalli di scansione e scope (Web, Reti, Cloud)

Il fattore compliance: Costi aggiuntivi per reportistica dedicata PA

Per le Pubbliche Amministrazioni, un report tecnico standard non è sufficiente. La compliance normativa richiede documentazione specifica che spieghi non solo le vulnerabilità riscontrate, ma anche come esse impactano la continuità operativa dei servizi al cittadino e la sicurezza dei dati sensibili.

Questa reportistica dedicata prevede l’inserimento di analisi di impatto, giustificazioni normative e piani di rimedio dettagliati conformi alle linee guida ANAC e al Piano Triennale. Per questa tipologia di deliverable è necessario prevedere un costo aggiuntivo che copra il lavoro di analisi legale e la stesura della documentazione amministrativa a corredo del Technical Report.

Esempio di stima costi per un comune medio (500-1000 dispositivi)

Per un comune medio, con una rete che conta tra i 500 e i 1000 dispositivi (PC, server, stampanti di rete, dispositivi IoT), lo stima di costo si articola su due livelli principali di assessment, determinati dalla superficie di attacco e dalla criticità dei dati trattati.

Il Piano Base mira a identificare le vulnerabilità superficiali ed esterne. Include una scansione automatizzata dei servizi pubblici (portali web, email) e dei dispositivi a diretto contatto con il pubblico. L’obiettivo è una mappatura rapida dei punti deboli visibili dall’esterno e una simulazione di attacco di bassa intensità.

• Preventivo stimato: da 1.800 € a 3.500 €.
• Tempistiche: 3-5 giorni lavorativi.

Il Piano Advanced è consigliato per garantire la conformità NIS2 e GDPR. Comprende test di penetrazione approfonditi (Red Teaming leggero) su tutto il perimetro di rete, analisi delle postazioni di lavoro dipendenti, verifiche sui sistemi di autenticazione e valutazione della sicurezza degli ambienti cloud.

• Preventivo stimato: da 4.500 € a 8.000 €.
• Tempistiche: 10-15 giorni lavorativi.

Il costo finale dipende dalla complessità infrastrutturale e dal numero di servizi da testare. Per una valutazione precisa, richiedi un preventivo personalizzato.

Tabelle Riepilogative per la Stima del Budget

Voce di Costo	Descrizione	Fascia di Costo (IVA esclusa)	Note
Scoping e Raccolta Informazioni	Definizione del perimetro, interviste con il personale chiave, analisi documentale (policy, architetture).	€ 800 – € 1.500	Costo forfettario o orario (8-16 ore). Variabile per complessità organizzativa.
Scansione e Analisi Tecnica	Scansione vulnerabilità (automatizzata e manuale), analisi configurazioni, test di accesso logico (simulazione interna/esterna).	€ 1.500 – € 3.000	Dipende dal numero di asset (server, reti, applicazioni web). Escluse attività di penetration testing approfondito (richiede scope dedicato).
Analisi Documentale e Compliance	Valutazione dei processi esistenti rispetto a NIS2 e normative di settore (GDPR, ISO 27001).	€ 1.000 – € 2.000	Essenziale per le PA per identificare gap normativi che comportano rischi legali.
Redazione Report e RAC Matrix	Elaborazione del report tecnico-manageriale, stima del rischio (probabilità x impatto), piano di mitigazione (RAC – Rischi, Azioni, Controlli).	€ 1.200 – € 2.200	Inclusa presentazione dei risultati (max 2 ore). Il report è il documento chiave per la direzione.
Gestione Progetto e Coordimento	Project management, reporting avanzato, gestione delle comunicazioni con l’organo di supervisione della PA.	10-15% sul totale	Applicato sul valore delle voci tecniche. Garantisce l’allineamento con le esigenze istituzionali.

Stima Budget Totale per Fascia Dimensionale

Di seguito una stima orientativa per un singolo esercizio di Vulnerability Assessment (on-site o remoto), basata sulla tipologia della Pubblica Amministuzione. I costi sono indicativi e soggetti a validazione dello scope definitivo.

Tipologia Ente PA	Estensione Perimetro (Stima)	Budget Stimato (IVA esclusa)	Tempistica di Esecuzione
Piccolo Comune / Ufficio Locale	5-10 Server/Dispositivi, 1-2 Applicazioni Web.	€ 3.500 – € 5.500	5-7 giorni lavorativi
Ente Medio / Azienda Ospedaliera / Province	10-50 Server, Reti LAN/WAN, Applicazioni critiche (ERP, Dematerializzazione).	€ 6.000 – € 12.000	10-15 giorni lavorativi
Regione / Ministero / Grande Ente	50+ Server, Data Center, Infrastruttura Istituzionale, Piattaforme integrate.	€ 15.000 – € 30.000+	20-30 giorni lavorativi (o più su più fasi)

Nota bene: I prezzi sopra riportati non includono eventuali costi per licenze software di terze parti necessarie per lo svolgimento delle attività. I prezzi sono riferiti a servizi di consulenza e non costituiscono offerta commerciale vincolante.

Tabella 1: Fascia di costo per numero di asset (con range indicativi)

Il costo di un vulnerability assessment per la Pubblica Amministrazione varia principalmente in base al numero di asset (server, postazioni, dispositivi di rete, applicazioni) da analizzare. Di seguito una tabella indicativa che illustra le fasce di costo, pensata per darti un’idea del budget necessario prima di richiedere un preventivo ufficiale.

È importante sottolineare che questi sono importi indicativi, suscettibili di variazioni in base alla complessità dell’infrastruttura, ai requisiti normativi specifici (es. NIS2, GDPR) e al livello di profondità richiesto (scansione superficiale vs. test di penetrazione mirati).

Fascia Numero Asset	Descrizione Infrastruttura	Range Costo Indicativo
Micro (1-10)	Uffici piccoli, studi professionali, piccole amministrazioni locali.	€ 800 – € 2.500
Small (11-50)	Medie amministrazioni, enti culturali, piccoli comuni.	€ 2.500 – € 6.000
Medium (51-200)	Aziende sanitarie locali, università piccole, amministrazioni provinciali.	€ 6.000 – € 15.000
Large (201-1.000)	Grandi enti centrali, regioni, ASL complesse, holding pubbliche.	€ 15.000 – € 45.000
Enterprise (>1.000)	Infrastrutture critiche nazionali, grandi ministeri, gruppi di enti.	Su preventivo

Tabella 2: Costo aggiuntivo per tipologia di servizio (VA continuo vs VaU)

Tipologia di Servizio	Caratteristiche	Costo Aggiuntivo
Vulnerability Assessment Continuo (VA)	Scan automatizzati periodici (settimanali/mensili) su una lista fissa di asset. Monitoraggio passivo e reportistica standard. Intervento umano solo su richiesta.	+ € 50 – € 150 / mese Varia in base al numero di IP/asset monitorati.
Vulnerability Assessment + Penetration Test (VAU)	Approccio offensivo (simulazione attacco reale) con manuale, exploit e analisi del business logic. Esegue azioni di VA e oltre.	+ € 1.500 – € 3.000 / engagement Varia in base alla complessità del perimetro e alla profondità.

Nota bene: I costi indicati sono aggiuntivi rispetto al pacchetto base di consulenza (preventivo a progetto o retainer). Per enti con asset critici (es. Anagrafe, Dati Sanitari) è richiesto un approccio VAU annuale obbligatorio per normativa (GDPR/DPS), con costi che rientrano nel pacchetto di adeguamento normativo.

Metodologia di Selezione del Vendor: Cosa chiedere in gara d’appalto

Requisiti tecnici indispensabili: CVE, CVSS e integrazione con gli scanner

Un vulnerability assessment tecnico efficace per la Pubblica Amministrazione si basa su tre pilastri fondamentali: CVE, CVSS e l’integrazione con gli scanner.

Il Common Vulnerabilities and Exposures (CVE) è l’identificatore universale per ogni vulnerabilità nota. Il nostro servizio non si limita a cercare CVE generiche, ma le correlate alle tecnologie specifiche usate dalla tua amministrazione, garantendo una copertura mirata.

Il Common Vulnerability Scoring System (CVSS) è invece il metro di misura del rischio. Utilizziamo le versioni più recenti (CVSS v3.1 o v4.0) per assegnare un punteggio di gravità reale (da 0.0 a 10.0) a ogni scoperta. Questo ci permette di distinguere tra bug minori e falle critiche che richiedono interventi immediati, ottimizzando le risorse della PA.

Cruciale è l’integrazione con gli scanner (come Nessus, OpenVAS o Acunetix). Non ci affidiamo a scansioni superficiali; configuriamo gli scanner per operare in profondità, incrociando i risultati con le intelligence database più aggiornati. Questo approccio ibrido (automazione + analisi umana) riduce i falsi positivi e mappa l’intera superficie di attacco.

Per essere complianti con il NIS2 e gli standard ISO 27001, la documentazione finale deve riportare in modo chiaro i CVE identificati, i relativi score CVSS e le criticità rilevate.

Certificazioni e reputazione: ISO 27001, Cyber Essentials e esperienza PA

Nella scelta di un partner per la vulnerability assessment, le certificazioni e l’esperienza consolidata sono indicatori inequivocabili di affidabilità e competenza, specialmente per le Pubbliche Amministrazioni.

Presso Culture Digitali Srl, operiamo con standard riconosciuti a livello internazionale:

• ISO 27001: La nostra metodologia di analisi e gestione dei rischi è conforme alla norma ISO 27001 per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI). Questo garantisce un approccio strutturato, documentato e ciclico alla sicurezza, non un intervento occasionale.
• Cyber Essentials Ready: Siamo pronti a supportare la tua PA nel raggiungimento della certificazione Cyber Essentials, fondamentale per dimostrare un livello base di sicurezza cibernetica e per accedere a bandi di gara che lo richiedono.
• Esperienza PA: Abbiamo maturato una significativa esperienza diretta con enti pubblici e servizi essenziali. Conosciamo le specifiche criticità normative (GDPR, NIS2) e le esigenze di continuità operativa tipiche del settore pubblico.

Questa combinazione di certificazioni e know-how settoriale ci permette di offrire valutazioni di vulnerabilità che non sono solo tecnicamente accurate, ma anche strategicamente allineate ai requisiti di compliance e sicurezza della tua Amministrazione.

Il servizio post-vendita: Qual è l’SLA atteso per la gestione delle criticità?

Il servizio post-vendita è un elemento cruciale che garantisce la continuità operativa delle PA dopo l’intervento di Vulnerability Assessment. L’SLA (Service Level Agreement) atteso per la gestione delle criticità deve essere definito chiaramente per evitare ambiguità e garantire tempi di risposta certi. In linea generale, ci si aspetta che un fornitore specializzato offra livelli di servizio differenziati in base alla gravità del rischio identificato. Per le criticità di massima priorità (es. vulnerabilità critiche esposte su sistemi accessibili dal pubblico), l’azione di contenimento deve essere attivata entro 4 ore dalla segnalazione, con una risoluzione o mitigazione definitiva entro 24 ore. Per i rischi di media priorità, l’intervento è previsto entro 24 ore, mentre per quelli a bassa priorità entro 5 giorni lavorativi. È fondamentale che l’SLA includa non solo i tempi di intervento, ma anche le modalità di comunicazione, gli orari di copertura (24/7 per criticità urgenti) e le procedure di esclusione da responsabilità. Chiedi sempre un report di conformità all’SLA come parte del preventivo.

Best Practices per un Vulnerability Assessment Efficace in PA

Per una Pubblica Amministrazione (PA) e una PMI, eseguire un **vulnerability assessment** (valutazione delle vulnerabilità) non è solo un passaggio tecnico, ma un processo strategico che richiede una pianificazione meticolosa per garantire conformità normativa, riservatezza dei dati e continuità operativa.
Di seguito, le best practice operative per orchestrare una valutazione efficace, allineata agli standard internazionali come NIST e ISO/IEC 27001, e alle normative nazionali come il NIS2 e il Perimetro Nazionale di Sicurezza Cibernetica.

1. Definizione del Perimetro e Identificazione delle Risorse

Il primo passo, spesso trascurato, è delimitare con precisione il **perimetro di valutazione**. Non è possibile proteggere ciò che non si conosce.

• Inventario completo: Censire tutte le risorse IT e OT (Operational Technology), includendo server, endpoint, dispositivi IoT, reti cloud e applicazioni legacy tipiche delle PA.
• Mappatura dei dati sensibili: Identificare la localizzazione dei dati personali (GDPR) e delle informazioni critiche (NIS2). La valutazione deve focalizzarsi sui sistemi che trattano questi dati, prioritarizzando i servizi essenziali (ad esempio, sistemi di anagrafe, tributi, o piattaforme di e-governance).
• Esclusione temporanea: Definire esplicitamente le risorse da escludere temporaneamente (ad esempio, sistemi di emergenza sanitaria) per evitare interruzioni critiche durante i test.

2. Pianificazione e Acquisizione delle Autorizzazioni (Scope of Work)

In ambito PA, la procedura formale è fondamentale per evitare rischi legali e operativi.

• Scope of Work (SOW) dettagliato: Definire le regole di ingaggio: tipologia di assessment (grey box/black box), orari di esecuzione (preferibilmente notturni o weekend), e tecniche di test (inclusa la scansione passiva e attiva).
• Conformità normativa: Assicurarsi che il fornitore esterno sia qualificato e che il processo sia conforme al Perimetro Nazionale di Sicurezza Cibernetica (se applicabile). Per le PA locali, è essenziale il coordinamento con il Dipartimento per la Trasformazione Digitale.
• Approvazione formale: Acquisire la firma del responsabile della sicurezza informatica (RSS) e, ove necessario, del responsabile del trattamento dei dati (RPD).

3. Scansione e Gestione del Ciclo di Vita delle Vulnerabilità

L’esecuzione tecnica deve essere sistematica e non invasiva.

• Scansione automatica vs. Manuale: Utilizzare strumenti di scanning (es. Nessus, OpenVAS) per identificare vulnerabilità note (CVE), ma integrare sempre con un analisi manuale per scoprire vulnerabilità logiche o di business logic, spesso trascurate nei sistemi di pagamento o nelle apposite piattaforme.
• Stima del rischio (CVSS): Ogni vulnerabilità deve essere classificata utilizzando il Common Vulnerability Scoring System (CVSS). In PA, però, il punteggio va contextualizzato: una vulnerabilità “Media” su un server web contenente dati sensibili diventa “Critica”.
• Validazione (False Positives): Verificare sempre i risultati. Le scansioni automatiche sui sistemi legacy delle PA spesso generano falsi positivi; la verifica manuale evita spreco di risorse e interruzioni non necessarie.

4. Analisi del Rischio e Prioritizzazione (Approccio Risk-Based)

Il principio cardine è: “Chiudere prima le vulnerabilità a più alto rischio”.

• Matrice di rischio PA: Combina gravità tecnica con l’impatto operativo. Se un sistema di raccolta dati è in downtime, qual è l’impatto sul servizio al cittadino?
• Focus sui sistemi critici (NIS2): Per le Enti Prescritti (Operatori di Servizi Essenziali), le vulnerabilità che interessano i sistemi informativi critici devono essere risolte entro 30 giorni (patch critical) o immediatamente (zero-day).
• Debito tecnico: Prioritizzare le patch che risolvono più vulnerabilità contemporaneamente per massimizzare l’efficienza delle risorse IT, spesso limitate nelle PA.

5. Patch Management e Mitigazione

Applicare le patch in un ambiente PA complesso richiede un approccio strutturato.

• Testing pre-deployment: Non applicare mai patch direttamente in produzione. È fondamentale testare le correzioni in un ambiente sandbox che replica la produzione, specialmente per le applicazioni custom o i sistemi gestionali.
• Mitigazione temporanea: Se la patch non è disponibile o applicabile (tipico per i sistemi legacy), implementare controlli compensativi: blocco di porte firewall, disabilitazione di servizi non necessari, o utilizzo di sistemi di Intrusion Prevention System (IPS).
• Manutenzione pianificata: Comunicare agli utenti finali (cittadini e dipendenti) le finestre di manutenzione per ridurre l’impatto sull’esperienza d’uso.

6. Reportistica e Documentazione per Audit

La documentazione è la prova della compliance normativa.

• Report esecutivo e tecnico: Preparare due versioni: una tecnica dettagliata per i sistemisti (con prove vulnerabilità, PoC) e una sintetica per il management e le autorità di controllo (AGID, ACN).
• Tracciabilità: Documentare l’intero ciclo (vulnerabilità individuata -> rischio stimato -> azione correttiva -> verifica chiusura). Questo è essenziale in caso di audit o ispezioni successivi.
• Indicatori di Performance (KPI): Monitorare metriche come “MTTD” (Mean Time To Detect) e “MTTR” (Mean Time To Respond) per migliorare continuamente la postura di sicurezza.

7. Formazione e Cultura della Sicurezza

La tecnologia da sola non basta; il fattore umano è spesso il primo vettore di attacco.

• Simulazioni mirate: Oltre al vulnerability assessment tecnico, condurre campagne di Phishing Simulation rivolte al personale PA.
• Aggiornamento continue: Formare gli amministratori di sistema sulle nuove minacce (es. Ransomware-as-a-Service) e sulle procedure di incident response.

La gestione dei falsi positivi: un problema comune e come risolverlo

I falsi positivi rappresentano una sfida ricorrente nelle valutazioni di vulnerabilità presso la Pubblica Amministrazione, generando allarmi ingiustificati e disperdendo risorse preziose.

Per mitigare il problema, è fondamentale integrare una fase di validazione contestuale immediatamente dopo la scansione. Questo processo prevede l’analisi manuale delle segnalazioni critiche, verificando l’effettivo impatto operativo e la sfruttabilità reale della vulnerabilità nel contesto specifico dell’organizzazione.

Una strategia efficace include la sintonizzazione degli strumenti di scanning sui benchmark specifici del settore pubblico e la creazione di una whitelist di applicazioni note, riducendo il rumore di fondo. L’automazione di questa fase tramite script dedicati può velocizzare l’analisi, ma la supervisione umana rimane essenziale per evitare l’omissione di criticità reali.

Documentare ogni segnalazione scartata con la relativa giustificazione tecnica non solo pulisce il report finale, ma costituisce un prezioso archivio storico per audit futuri e miglioramento continuo del processo di valutazione.

Optimizza la tua valutazione di vulnerabilità con un approccio mirato.

Richiedi una consulenza personalizzata

Cicli di scansione consigliati: mensile vs trimestrale per sistemi critici

Cicli di scansione consigliati: mensile vs trimestrale per sistemi critici

La frequenza delle scansioni di vulnerabilità dipende dalla criticità dell’infrastruttura e dal tasso di aggiornamento dei sistemi. Per le PA, stabilire il ritmo giusto è fondamentale per bilanciare sicurezza e risorse operative.

• Scansione Mensile: Consigliata per sistemi ad altissimo rischio (es. portali cittadini, database di anagrafe, sistemi di pagamento). È indispensabile se si utilizzano componenti open-source o applicazioni che subiscono frequenti aggiornamenti. Questo ciclo garantisce che le nuove vulnerabilità (Zero-Day) vengano intercettate in tempi brevissimi, riducendo la finestra di esposizione al minimo.
• Scansione Trimestrale: Adatta per sistemi stabili e meno esposti, o per ambienti di test e sviluppo. Questo intervallo permette di pianificare interventi manutentivi senza sovraccaricare il reparto IT, mantenendo comunque un livello di sicurezza accettabile e conforme ai requisiti normativi di base.

Ogni scansioni è seguita da una fase di Prioritizzazione e Fix (remediation): le criticità vengono classificate per severità e impatto reale, per risolvere prima i rischi più gravi.

Integrazione tra VA e SIEM/SOC per una sicurezza proattiva

Un Vulnerability Assessment efficace non si esaurisce nel report dei punti deboli: per trasformare i dati in sicurezza operativa, devono essere integrati con i sistemi di rilevamento e risposta. Ecco come fare in modo proattivo.

• Ingestione automatica dei risultati nel SIEM: i CVE, i score CVSS e le evidenze di scansione vengono inglesi come eventi normalizzati; così, un Vulnerability Assessment diventa un indicatore contestuale per il SOC (es. “Critical Vulnerability Detected su server prod” è una minaccia immediata, non solo un aggiornamento da installare).
• Correlazione con il flusso di minacce: abbinare i findings di VA agli alert del SIEM (login anomali, exploit attempt, traffico su porte critiche) permette di elevare la priorità di intervento. Una vulnerabilità di classe critica su un sistema esposto, con segnali di scansione attiva, diventa un incidente immediato da contenere.
• Automazione della risposta (SOAR): integrare il VA con playbook del SOC: se rilevi una vulnerabilità nota a un CVE sfruttato attivamente in rete, puoi isolare automaticamente il sistema, avviare la patching emergency e aprire un ticket di integrazione con l’amministratore di sistema; riduci i tempi da giorni a ore.
• Dashboard e metriche condivise: creare KPI congiunti (MTTR delle vulnerabilità, % di scansione coperta, correlazione false positive) per misurare l’efficacia del processo e orientare i budget di sicurezza.

Conclusione: Proteggere il Patrimonio Digitale della PA

Proteggere il patrimonio digitale della Pubblica Amministrazione non è solo un obbligo normativo, ma un imperativo strategico per garantire la continuità dei servizi essenziali e la fiducia dei cittadini. Un vulnerability assessment condotto con metodo e rigore non offre una difesa statica, bensì una postura di sicurezza dinamica e proattiva, capace di anticipare le minacce informatiche sempre più sofisticate.

Investire in una valutazione periodica delle vulnerabilità significa trasformare la sicurezza da costo fisso a valore aggiunto: si riducono i rischi di interruzioni operative, si mitiga l’esposizione a sanzioni economiche e si preserva la reputazione istituzionale. Il processo permette inoltre di mappare con precisione il patrimonio informatico, spesso sottostimato o disperso, e di allineare le risorse tecnologiche ai livelli di sicurezza richiesti dalla normativa vigente, come il perimetro di sicurezza per la PA.

Il passo successivo è l’azione. I risultati di un assessment tecnico sono l’inizio, non la fine: prioritizzare le criticità, applicare le patch e implementare politiche di sicurezza sono azioni concrete che trasformano i dati raccolti in difesa reale.

Non aspettare che un incidente informatico imponga una risposta d’emergenza. Agisci oggi per proteggere domani. Richiedi una consulenza preliminare senza impegno e scopri come possiamo strutturare un vulnerability assessment su misura per le tue esigenze.

Domande Frequenti (FAQ)

Un Vulnerability Assessment è obbligatorio per le Pubbliche Amministrazioni?

Sì, a seguito del recepimento della Direttiva NIS2 e delle indicazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN), le PA che gestiscono infrastrutture critiche o servizi essenziali sono obbligate a implementare cicli regolari di scansione delle vulnerabilità. Inoltre, è un requisito fondamentale per la compliance con il PNRR e per la certificazione di sicurezza dei sistemi informativi.

Qual è la differenza tra Vulnerability Assessment e Penetration Test per una PA?

Il Vulnerability Assessment è un processo automatizzato che mira a identificare e quantificare tutte le vulnerabilità note su un’ampia superficie di attacco (come un inventario di server e dispositivi). È ideale per la scansione di routine. Il Penetration Test, invece, è un’attività manuale condotta da un etichico hacker (red team) che cerca di sfruttare specifiche vulnerabilità per ottenere l’accesso al sistema, simulando un attacco realistico. Le PA dovrebbero integrare entrambi: VA per la scansione costante e PT per la validazione approfondita dei sistemi più critici.

Quali sono i costi medi di un servizio di Vulnerability Assessment per un Comune?

I costi variano in base alla complessità dell’infrastruttura. Per un piccolo Comune con una rete semplice, i costi possono partire da 2.000 – 4.000 euro annui (modelli SaaS). Per un Comune medio o una PA con infrastrutture miste (IT e OT), il costo può variare tra 8.000 e 20.000 euro annui. Bisogna considerare i costi di setup iniziale, la licenza software e il costo per la reportistica dedicata conforme allo standard PA.

Quanto dura un progetto di Vulnerability Assessment?

La durata dipende dalla dimensione dello scope. Per una scansione di rete completa di una PA media, la fase di scansione attiva dura solitamente tra le 24 e le 72 ore. Tuttavia, l’intero progetto (dall’inventario all’analisi del report finale) può richiedere dalle 2 alle 4 settimane, considerando il tempo necessario per la validazione delle vulnerabilità e la pianificazione delle patch.

Il Vulnerability Assessment richiede l’installazione di agenti software?

Dipende dalla metodologia scelta. Esistono due approcci: ‘Agentless’ (scansione remota, più comune e meno invasiva) e ‘Agent-based’ (richiede un piccolo software installato sui server/client, utile per una visibilità più profonda, soprattutto su endpoint mobili o cloud). La scelta deve essere valutata in base alle policy di sicurezza della PA e alla disponibilità delle risorse.

Il fornitore esterno può accedere direttamente alla rete della PA?

Spesso sì, ma attraverso connessioni VPN sicure o gateway dedicati, in conformità con le linee guida sulla sicurezza dei fornitori (Supply Chain Security). Tuttavia, la scansione può anche essere condotta da remoto o tramite appliance hardware/software fornite dalla PA stessa (on-premise), per massimizzare il controllo sui dati sensibili.

Contattaci

contattaci per saperne di più