Nel panorama digitale attuale, le PA rappresentano un bersaglio di elezione per gli attori malevoli. Dalla protezione dei dati sensibili dei cittadini alla continuità operativa dei servizi essenziali, la sicurezza informatica non è più opzionale ma un imperativo normativo e reputazionale. In questo contesto critico, il penetration test emerge come strumento fondamentale per identificare e colmare le vulnerabilità prima che vengano sfruttate.

Tuttavia, l’approccio a un penetration test per la Pubblica Amministrazione presenta sfide uniche: dalla complessità degli ecosistemi IT, spesso eterogenei e legati a legacy system, alla necessità di rispettare rigidi framework normativi come il NIS2 e il Perimeter Unico. La scelta del provider giusto e la valutazione accurata dei costi diventano quindi passaggi cruciali, dove l’offerta più economica può rivelarsi la più costosa in termini di rischi e non conformità.

Questa guida si propone di fare luce su come valutare un penetration test per la tua PA, analizzando i fattori che determinano il costo e fornendo criteri pratici per selezionare un provider affidabile. Dalla definizione del scope ai modelli di pricing, fino ai criteri di valutazione del fornitore, ti accompagneremo nella scelta più sicura per la tua amministrazione.

Introduzione: Perché la valutazione del costo del Penetration Test nella PA è critica oggi

La Pubblica Amministrazione (PA) è oggi uno dei bersagli più appetibili per gli attori cybercriminali, non solo per la mole di dati sensibili trattati, ma anche per l’impatto strategico che una compromissione potrebbe avere sull’intera collettività. Il diffusionarsi di ransomware, attacchi mirati a infrastrutture critiche e vulnerabilità sfruttate su larga scala rendono la sicurezza informatica una priorità assoluta, non più delegabile.

In questo scenario, il penetration test (PT) rappresenta lo strumento più efficace per proattività e validazione concreta. Tuttavia, per molte amministrazioni, il costo rappresenta una barriera percepita che ne rallenta l’adozione. La valutazione del budget dedicato al PT non è un mero calcolo contabile: è un’analisi di rischio che deve tenere conto della complessità del patrimonio IT, della normativa di riferimento (come il NIS2 e il PER/PNRR) e delle sanzioni amministrative che possono raggiungere percentuali significative del fatturato globale.

Il rischio più grande è quello di considerare il PT come un costo “una tantum” e di scegliere l’offerta più economica in termini di prezzo, senza valutare il valore reale. Un test eseguito superficialmente o da fornitori non allineati ai requisiti specifici della PA può generare falsi rassicuranti, lasciando scoperte vulnerabilità critiche. Di qui l’importanza di un allineamento strategico tra budget, obiettivi di sicurezza e profilo del provider.

La corretta valutazione dei costi deve includere non solo la prova di penetrazione stessa, ma anche fasi preparatorie (scoping e raccolta requisiti), eventuale analisi di codice (se applicabile) e, soprattutto, l’attività di remediation management e di verifica delle patch. Inoltre, è essenziale considerare il “Total Cost of Ownership” (TCO): un provider che offra un report dettagliato e una roadmap chiara ridurrà il tempo e i costi necessari per chiudere le falle, ottimizzando il ROI della sicurezza.

Infine, nel contesto delle procedure di gara e degli appalti pubblici, la scelta del provider deve basarsi su criteri chiari di competenza, esperienza pregressa in ambito PA, capacità tecnica e compliance con le normative vigenti (come la certificazione ISO 27001 o la compliance con il Quadennale ICT). Investire nella valutazione preliminare di costo e nella selezione del partner giusto significa trasformare una spesa di compliance in un investimento strategico per la resilienza dell’intera amministrazione.

Per approfondire come strutturare una gara efficace e calcolare il budget ottimale per i tuoi progetti di sicurezza, contatta subito Culture Digitali Srl per una consulenza dedicata.

L’impatto della normativa europea e nazionale (NIS2, PSNC)

Le pubbliche amministrazioni sono soggette a una normativa stringente che impatta direttamente sulla scelta del provider per i penetration test. Il riferimento principale è la direttiva europea NIS2 (Network and Information Security 2), che impone misure di sicurezza avanzate per la resilienza dei servizi essenziali. In Italia, il recepimento della NIS2 e il regolamento PSNC (Presidenza del Consiglio dei Ministri – Servizi di innovazione e digitalizzazione) definiscono requisiti precisi per la valutazione della sicurezza informatica.

Questo significa che il costo di un penetration test non è solo una spesa da valutare, ma un investimento necessario per la compliance. Le PA devono selezionare provider in grado di garantire metodologie riconosciute, documentazione dettagliata e report conformi agli standard richiesti dalla normativa. La scelta di un partner non qualificato o non allineato ai requisiti di PSNC potrebbe comportare rischi di non conformità e sanzioni. La valutazione del costo deve quindi integrare il valore della conformità normativa e la capacità del provider di interpretare le specifiche richieste dal contesto PA.

Il gap tra budget disponibili e rischi di sicurezza crescenti

Il finanziamento dedicato alla sicurezza informatica nelle Pubbliche Amministrazioni è spesso insufficiente e frammentato, creando un divario pericoloso rispetto alla realtà dei rischi.

Mentre i budget operativi rimangono vincolati, le minacce informatiche crescono in complessità e frequenza. Le PA sono bersagli strategici per cyberattacchi mirati, spesso con risorse limitate per rispondere tempestivamente. Questo disallineamento tra risorse disponibili e rischi reali non rappresenta un problema da sottovalutare: un singolo incidente può compromettere servizi essenziali, danneggiare la reputazione e generare costi di ripristino elevatissimi.

È cruciale, quindi, prioritizzare gli interventi e identificare soluzioni che garantiscano un massimo valore di sicurezza per ogni euro investito. La sfida non è solo economica, ma strategica: come garantire una resilienza informatica robusta in un contesto di risorse limitante?

I fattori che determinano il costo di un Penetration Test nella PA

Definire il costo di un penetration test nella Pubblica Amministrazione non è un esercizio lineare. Il prezzo finale dipende da una complessa architettura di variabili tecniche, normative e operative che rendono ogni progetto unico. Per una PA, il rischio non è solo tecnico, ma di compliance e reputazionale.

In questo capitolo analizziamo in dettaglio i fattori che determinano il costo di un penetration test, offrendo una griglia di valutazione utente per pianificare il budget e confrontare i preventivi dei provider.

Complessità dell’ambiente IT e superficie di attacco

Il primo driver di costo è l’estensione e la complessità dell’infrastruttura digitale da testare. Una PA moderna non è un monolite, ma un ecosistema eterogeneo:

• Numero di asset critici: Ogni server, database, applicazione web, API e endpoint mobile rappresenta un potenziale obiettivo. Più asset devono essere analizzati, maggiore è il tempo di testing richiesto.
• Rete integrata: La coesistenza di reti Istituzionali, reti di dati sensibili (es. anagrafiche, sanità) e reti per il lavoro agile (VPN, dispositivi BYOD) aumenta la superficie di attacco e la complessità del testing.
• Legacy vs Cloud: Testare sistemi mainframe o applicazioni legacy richiede competenze specifiche e tempi diversi rispetto a ambienti cloud (AWS, Azure, GCP) o ibridi.

Tipologia e scope del Penetration Test

Il tipo di test scelto incide direttamente sul budget. Ecco le principali varianti:

• Black Box vs White Box vs Grey Box:
  • Black Box (senza credenziali): Simula un attacco esterno, richiede più tempo per l’enumerazione dei servizi. Costo medio-alto.
  • White Box (con accesso completo a codice e configurazioni): Ideale per audit di sicurezza profondi su applicazioni custom. Tempi più brevi, ma richiede expertise tecnica avanzata.
  • Grey Box (accesso limitato con credenziali standard): Equilibrio tra realismo e efficienza, spesso usato per test di applicazioni web e portali cittadini.
• Web Application Security Testing: Focus su OWASP Top 10, configurazione dei server, logiche applicative. Costo dipende dal numero di applicazioni e dalla loro complessità logica (es. portali e-booking, sportelli unici online).
• Network Penetration Testing: Valutazione di switch, firewall, server e dispositivi di rete. Il costo è legato al numero di indirizzi IP o subnet da analizzare.
• Red Teaming / APT Simulation: Attacchi mirati e multi-fase che durano settimane. Richiedono l’uso di tecniche avanzate (es. social engineering, fisica). Costo significativamente più elevato rispetto a test standard.

Normativa di riferimento e requisiti di compliance

Per una PA, la sicurezza informatica non è opzionale. Il provider deve allinearsi a framework normativi che influenzano la metodologia e il report.

• GDPR e Privacy: Se il test coinvolge dati personali sensibili, il provider deve operare come Responsabile del Trattamento (Art. 28 GDPR). Questo richiede accordi specifici, assessment preliminari e garanzie contrattuali che aumentano l’overhead amministrativo e tecnico.
• Circolare NIS2 e Standard di Sicurezza: Le PA italiane devono rispettare le linee guida dell’AGID e del CNIS. Un penetration test deve mappare i controlli a tali standard. Se il test include la verifica specifica dei requisiti NIS2, il costo aumenta per l’analisi dettagliata dei gap.
• Prescrizioni di legge (Decreto 181/2023 e DM 131/2024): La normativa sulla sicurezza cibernetica delle PA richiede specifiche verifiche di sicurezza. Il provider deve essere in grado di attestare la conformità.

Metodologia di reportistica e livello di dettaglio

Il risultato tangibile di un penetration test non è solo la lista delle vulnerabilità, ma la capacità di agire su di esse.

• Report tecnico vs Executive Summary: Una PA richiede solitamente due documenti: un report tecnico dettagliato per i sistemisti (con PoC, CVSS score, remediation passo-passo) e un report dirigenziale (Executive Summary) per il Responsabile della Sicurezza (RPSS) e il Gestore della Continuità Operativa. La stesura di due documenti distinti richiede tempo e competenza comunicativa.
• Raccomandazioni contestualizzate: Il costo è più alto se il fornitore offre raccomandazioni non generiche, ma misurate sul contesto PA, considerando budget di intervento, tempi di patch e impatto operativo sui servizi al cittadino.
• Re-test (o pentest ripetuto): Verificare l’efficacia delle patch correttive dopo un periodo (solitamente 30-60 giorni) ha un costo aggiuntivo, spesso calcolato come % del test originale.

Qualifica del provider e garantismo

Nella PA, il rischio di “cattivo esito” (falsi positivi o falsi negativi) è inaccettabile. Si paga l’esperienza.

• Certificazioni del team: Un team di senior ethical hacker (con certificazioni come OSCP, OSCE, CISSP, CISM) costa di più rispetto a team junior. Nella PA, dove la documentazione deve essere inattaccabile legalmente, l’esperienza è fondamentale.
• Garanzie e assicurazione: I provider top-level offrono garanzie contrattuali (SLA) e polizze assicurative sulla responsabilità civile. Questi costi operativi si riflettono sul preventivo, ma proteggono la PA da eventuali danni causati durante il test.
• Discrezione e riservatezza: Il testing di sistemi pubblici richiede estrema cautela per evitare interruzioni di servizio. Metodologie “safe-check” e orari di intervento ridotti (es. notturni o weekend) possono generare costi aggiuntivi.

Modello di pricing: tempo vs fixed price

Il modo in cui viene calcolato il prezzo varia notevolmente tra i fornitori.

• Time & Materials (a ore): Flessibile ma rischioso per il budget della PA. È usato per progetti complessi e in evoluzione. Se il testing rivela più vulnerabilità del previsto, il costo sale.
• Fixed Price (a progetto): Prevalente nel mercato PA. Il costo è definito in base a un scope ben delimitato (es. “Test di sicurezza del portale web XYZ”). È consigliato per budget certi, ma richiede una definizione precisa dei requisiti per evitare Change Request costosi.
• Abbonamento / Managed Service: Alcuni provider offrono pacchetti annuali che includono più test (web, rete, social engineering). Per le PA con ecosistemi digitali in rapida evoluzione, questo modello può offrire un miglior ROI.

Contesto territoriale e logistico

Sebbene molti test siano remoti, alcune PA richiedono attività fisiche (test di sicurezza fisica, rack, data center).

• Presenza fisica: Se il provider deve accedere fisicamente a sedi comunali, ministeriali o data center dedicati, i costi includono trasferte, vitto, alloggio e assicurazioni.
• Dislocazione geografica del provider: Scegliere un provider locale per una PA territoriale (es. Regione, Provincia) riduce i costi di trasferta e facilita le comunicazioni, ma è fondamentale valutare la sua expertise indipendentemente dalla sede.

Checklist: Cosa verificare nel preventivo

Per valutare correttamente il costo di un penetration test nella tua PA, assicurati che il preventivo specifichi chiaramente:

1. Scope esatto: Numero di IP, URL, applicazioni e tipologia di test (Black/White/Grey box).
2. Metodologia: Quale framework segue il provider (OSSTMM, OWASP, NIST)?
3. Esclusioni (Out of Scope): Cosa NON viene testato? (es. DDoS, Test di resistenza fisica estrema).
4. Tempi di esecuzione: Giorni effettivi di testing vs giorni di calendario (le pause tra le fasi non sono gratis).
5. Deliverable: Formato dei report, numero di revisioni incluse, sessioni di debriefing.
6. Continuity: Se è incluso un re-test e a che condizioni.
7. Compliance: Se il provider offre supporto per audit successivi o integrazione con il sistema di gestione della sicurezza (SGSI).

Investire in un penetration test di qualità per la PA non è solo una spesa, ma un risparmio atteso: evita sanzioni, protegge i dati dei cittadini e garantisce la continuità dei servizi essenziali.

Il perimetro dell’assessment: Web App, Reti Interne (LAN) e Cloud

Il perimetro dell’assessment: Web App, Reti Interne (LAN) e Cloud

Definire con precisione il perimetro dell’assessment di penetration test è il primo passo per garantire che la valutazione sia completa e utile. Per una Pubblica Amministrazione, il perimetro non si limita alla superficie esterna, ma deve includere tutti i punti di accesso digitali.

Le Web App sono spesso il primo target visibile, poiché ospitano servizi online per cittadini e imprese. La valutazione deve coprire sia le applicazioni custom che quelle di terze parti, verificando la sicurezza dei form di login, delle API e delle integrazioni con sistemi di identità digitale (SPID/CIE). Tuttavia, un sito funzionante non garantisce che non vi siano vulnerabilità critiche nel backend.

Le Reti Interne (LAN) costituiscono il cuore operativo. Qui risiedono i server di dominio, i sistemi di posta elettronica, le basi dati e le infrastrutture critiche. Un test interno simulazioni di attacchi da parte di un insider malintenzionato o di un attaccante che ha già brecciato la perimetrale, evidenziando rischi come la propagazione laterale e l’accesso privilegiato.

Il Cloud è ormai onnipresente. Il perimetro deve estendersi agli ambienti SaaS, IaaS e PaaS. È fondamentale valutare la configurazione dei servizi cloud (bucket S3, gruppi di sicurezza, IAM), spesso fonte di data breach a causa di errori di impostazione. Definire chiaramente questi confini permette al provider di stimare tempi e costi in modo accurato.

Black Box vs. White Box vs. Grey Box: come cambia il prezzo

La metodologia di penetration test – definita anche come “caixa” (black, white, grey) – incide in modo significativo sul costo del penetration test per la Pubblica Amministrazione. Non esiste un prezzo unico, ma una variazione legata alla complessità, al tempo e alle informazioni fornite al team di sicurezza.

Black Box: simulazione realistica ma più costosa

In un penetration test in modalità “black box” l’etichettatore agisce esattamente come un hacker esterno: non ha alcuna informazione preventiva sull’architettura IT dell’amministrazione, né credenziali di accesso.
Questo approccio richiede una fase preliminare di reconnaissance e intelligence che allunga i tempi di esecuzione. Per questo motivo, il prezzo del penetration test in modalità black box è solitamente il più elevato, ma offre la miglior valutazione della reale capacità di difesa contro minacce esterne.

White Box: massima completezza analitica

Al contrario, il penetration test in modalità “white box” (o “caixa trasparente”) viene condotto con la piena conoscenza del sistema da parte dei tester: sono forniti codice sorgente, diagrammi di rete, documentazione e spesso accessi privilegiati.
Essendo un’analisi approfondita di interna, questa modalità richiede tempo ridotto per la ricognizione iniziale, ma un lavoro intenso di analisi del codice e delle logiche interne. Il prezzo è generalmente inferiore rispetto alla black box, ma l’obiettivo è diverso: individuare vulnerabilità strutturali e logiche di sviluppo.

Grey Box: l’equilibrio tra realismo ed efficienza

La modalità “grey box” rappresenta il compromesso più richiesto per i test di sicurezza su portali e applicativi web della PA. Il tester ha una conoscenza parziale del sistema (ad esempio, l’accesso con un profilo utente standard o conoscenza superficiale dell’architettura), ma non le credenziali amministrative complete.
Permette di simulare attacchi condotti da utenti interni malevoli o hacker esterni con accesso a dati pubblici. Il prezzo del penetration test grey box si posiziona solitamente tra le due modalità, offrendo un ottimo rapporto costo/beneficio per la Pubblica Amministrazione.

Il numero di indirizzi IP e di applicazioni da testare

Il numero di indirizzi IP e applicazioni da testare è un fattore di costo primario e inderogabile per qualsiasi penetration test in PA. Ogni IP pubblico o sottorete esposta rappresenta un punto di attacco potenziale, così come ogni applicazione web, servizio cloud o API esposta. Più vasto è il perimetro digitale, maggiore sarà il tempo di scansione e di analisi manuale necessario per validare i risultati e i falsi positivi. È fondamentale fornire al provider un inventario aggiornato (CMDB) di tutti gli asset critici e non critici inclusi nel test, distinguendo tra infrastrutture (rete) e applicazioni (web, mobile, API). Una pianificazione precisa del perimetro evita costosi ampliamenti a metà progetto e garantisce che le risorse di sicurezza vengano concentrate sulle aree a più alto rischio, ottimizzando il budget senza sacrificare l’efficacia della valutazione.

Complessità tecnologica e tecnologie legacy (Mainframe, SCADA)

La presenza di tecnologie legacy, come mainframe e sistemi SCADA, rappresenta una sfida critica nelle valutazioni di costo per il penetration testing su PA e PMI. Questi sistemi, spesso ancora fondamentali per processi core, presentano vulnerabilità uniche e sono complessi da testare senza compromettere la continuità operativa. Il costo di un pen test in questi ambienti aumenta significativamente: richiede specialisti con competenze di nicchia e metodologie di testing specifiche e non invasive. Il provider deve dimostrare esperienza concreta in questi sistemi operativi e di controllo. Valuta attentamente le quote per questo expertise specializzato: un costo troppo basso può nascondere un tester non qualificato, con conseguenti rischi elevati. Per una stima realistica, richiedi un preventivo dettagliato che includa la fase di scoperta e pianificazione specifica per questi sistemi.

Modelli di pricing e tariffe medie di mercato per la PA

Modelli di pricing e tariffe medie di mercato per la PA

Quando una Pubblica Amministrazione italiana valuta l’acquisto di servizi di penetration test, il primo passo operativo è comprendere come viene strutturato il pricing nel mercato della cybersecurity. La domanda non è solo “quanto costa?”, ma “cosa si include nel prezzo?” e “quali sono le variabili che determinano la tariffa?”.

Il mercato offre modelli flessibili, ma la scelta per la PA deve rispettare il Codice degli Appalti, garantire massima trasparenza e ottenere il miglior rapporto qualità-prezzo. Non esiste un listino unico: ogni fornitore applica criteri diversi, e la tariffa finale dipende dalla complessità dell’ambiente target.

In questa guida analizziamo nel dettaglio i modelli di pricing, le tariffe medie di mercato e come la Pubblica Amministrazione può confrontare le offerte in modo oggettivo.

1. I principali modelli di pricing nel penetration testing

Il mercato della cybersecurity prevede principalmente tre modelli di tariffazione per i penetration test. La scelta del modello dipende dagli obiettivi di sicurezza, dalla complessità dell’infrastruttura IT e dal budget disponibile.

A. Modello a progetto (fisso o a target)

È il modello più diffuso nella Pubblica Amministrazione perché garantisce prevedibilità economica e massima chiarezza. Il costo viene stabilito in base al numero di target (IP, applicazioni web, reti interne) da testare e alla durata dell’attività.

• Vantaggi per la PA: Budget definito a preventivo, nessuna sorpresa in fatturazione, deliverables ben definiti.
• Come funziona: Il fornitore valuta la superficie di attacco (numero di indirizzi IP, pagine web, API, server) e applica una tariffa a pacchetto.
• Esempio pratico: Un test su 3 server, 10 indirizzi IP pubblici e 2 applicazioni web avrà un costo fisso, indipendentemente dal tempo impiegato (salvo scoperte di criticità fuori scope).

B. Modello a tempo (Time & Materials)

Questo modello prevede un costo per ora di lavoro del team di red team o del penetration tester. È usato per attività di lunga durata, come campagne di attacco simulato o esercitazioni su più fasi.

• Vantaggi per la PA: Paga effettivamente le ore lavorate; ideale per attività complesse o in evoluzione.
• Svantaggi: Rischio di costi non controllati se lo scope non è ben definito. È sconsigliato per la PA se non accompagnato da un capitolato tecnico molto dettagliato.
• Contesto d’uso: Viene utilizzato in progetti di Red Teaming avanzati o in attività di Incident Response post-attacco.

C. Modello a consumo (Pay-per-use) o Offerta “As-a-Service”

Alcuni provider offrono servizi di penetration test come servizio continuo (PTaaS – Penetration Test as a Service). La PA paga una tariffa ricorrente (mensile o annuale) che include un certo numero di test o di scanning.

• Vantaggi: Mantenimento della sicurezza nel tempo, aggiornamento continuo, costi operativi contenuti.
• Applicabilità PA: In crescita, specialmente per la gestione di portali web o servizi digitali esposti al pubblico. È spesso abbinato a piattaforme di vulnerability assessment automatizzato con intervento umano di verifica.

2. Tariffe medie di mercato (Orientativi 2024-2025)

Le tariffe variano in base alla reputazione del provider, alla certificazione del team (OSCP, CEH, CREST), alla complessità dell’ambiente e alla necessità di reportistica specifica per la PA. Di seguito una tabella indicativa per la Pubblica Amministrazione italiana.

A. Web Application Penetration Test

Test di applicazioni web, portali istituzionali, servizi online, API REST/SOAP.

• Single Page Application (SPA) o sito vetrina semplice: da € 1.500 a € 3.000
• Portale complesso con autenticazione e database (es. servizi civili, pagamenti): da € 3.500 a € 7.000
• Applicazione enterprise con modulo pagamenti (PCI-DSS compliant): da € 8.000 in su
• Fattori di costo aggiuntivi: Presenza di 2FA, numero di API, complessità dei flussi di business.

B. Network Penetration Test (infrastruttura IT)

Test della rete interna (LAN) o perimetrale (DMZ) della PA.

• Perimetro (IP pubblici): da € 800 a € 1.500 a IP (o blocco di IP). Spesso i provider applicano uno sconto per volumi elevati.
• Rete Interna (singolo segmento VLAN): da € 2.000 a € 4.500
• Infrastruttura completa (multiple VLAN, datacenter): Da € 5.000 in su
• Scope tipico: Server Windows/Linux, Active Directory, router, firewall, stampanti di rete.

C. Social Engineering (Simulazione Phishing & Physical)

Non è un test tecnico, ma testa la resilienza umana (spesso il “collo di bottiglia” nella PA).

• Campagna Phishing standard (2-3 iterazioni): da € 1.000 a € 2.500 per gruppo target (es. uffici finanziari, anagrafe).
• Simulazione fisica (ingresso in sede, USB drop): Costi variabili, solitamente da € 2.500 a € 5.000 + spese logistica.

D. Red Teaming (Simulazione completa di attacco)

Il servizio più completo: obiettivo non è solo violare un sistema, ma raggiungere uno specifico target (es. accesso ai dati anagrafici) senza essere rilevati.

• Progetto base (1 mese): da € 8.000 a € 15.000
• Progetto avanzato (2-3 mesi, incluse fasi di lateral movement e persistence): da € 20.000 a € 50.000+
• Nota: Il Red Teaming richiede un livello di preparazione e reportistica molto elevato, spesso necessario per PA critiche o che gestiscono dati sensibili di alto livello.

3. Come strutturare il Capitolato Tecnico per risparmiare (senza sacrificare la qualità)

Per la Pubblica Amministrazione, la chiave per ottenere il miglior prezzo è definire uno scope chiaro e vincolante. Una richiesta vaga (” voglio un penetration test del sito web “) porta a offerte disparate e incomparabili.

Criteri essenziali da inserire nel Bando o nella Richiesta d’Offerta (RFQ):

1. Definizione precisa dei target: Elencare IP, URL, versioni software attese, dipendenze esterne.
2. Metodologia di riferimento: Chiedere esplicitamente l’adozione di standard riconosciuti (OWASP Top 10 per il Web, NIST SP 800-115, PTES). Questo evita che il fornitore proponga una “scansione veloce”.
3. Livello di interazione: Specificare se è un test “Black Box” (senza credenziali), “Grey Box” (con credenziali standard) o “White Box” (con codice sorgente o documentazione completa). Per la PA, il modello Grey Box è spesso il miglior compromesso costo/efficacia.
4. Richiesta di reportistica specifica: Il report per la PA deve essere comprensibile agli organi di controllo (es. AGID). Deve includere:
   • Esecutivo Summary per la Direzione.
   • Risk Assessment (CVSS v3.1).
   • Piani di remediation passo-passo.
   • Eventuale attestato di conformità (se richiesto).
5. SLA (Service Level Agreement) di consegna: Definire i tempi per la consegna del report (es. 15 giorni lavorativi dalla fine dei test).

Come risparmiare comprando “intelligenti”:

• Combinazione Web + Network: Molti provider applicano uno sconto del 15-20% se si acquistano entrambi i servizi (test del portale web e test del perimetro di rete) per la stessa PA.
• Pacchetto annuale (Retainer): Se la PA ha necessità di test ripetuti (es. semestrali per la compliance), stipulare un contratto annuale riduce il costo per singola attività rispetto a richieste spot.
• Focus sui sistemi critici: Invece di testare “tutto”, identificare con una Valutazione del Rischio (VRA) i sistemi più critici e concentrare il budget lì. Testare sistemi non esposti o di basso valore aggiunto è uno spreco.

4. Analisi del TCO (Total Cost of Ownership) per la PA

Il prezzo del servizio è solo una parte della spesa. La Pubblica Amministrazione deve considerare il TCO, che include:

• Costo interno di coordinamento: Tempo dedicato dal responsabile della sicurezza o dall’Ufficio ICT per fornire documentazione, accessi e validare i risultati.
• Costo di remediation (fix): Correggere le vulnerabilità trovate richiede risorse interne (sviluppatori, system admin) o esterne. Più il codice o l’infrastruttura sono “sporchi” (technical debt), più alto sarà il costo di fix. Un buon penetration test ha un costo di fix indiretto.
• Audit di regressione: Dopo le correzioni, spesso serve un test di verifica (Re-test). I migliori fornitori includono un re-test limitato nel prezzo (es. 2-3 giorni lavorativi entro 60 giorni), altri lo fatturano a parte (circa il 30-50% del costo originale).

5. Checklist per valutare l’offerta del provider

Quando ricevi le proposte, verifica sempre questi punti per evitare trappole contrattuali o servizi di bassa qualità:

1. Qualifiche del team: I penetration tester hanno certificazioni riconosciute (OSCP, OSCE, CREST, GPEN)? Il team è italiano o estero (il tempo di comunicazione influenza il costo e l’efficacia).
2. Metodologia e Tool: Usano solo tool automatizzati (Nessus, OpenVAS) o anche manuali (Burp Suite Pro, script custom)? La PA richiede sempre approccio manuale confirmato.
3. Assicurazione e Responsabilità Civile: Il provider ha una polizza RC professionale specifica per la cybersecurity?
4. Clusole di riservatezza (NDA): Vanno bene, ma per la PA sono vincolanti per legge (D.lgs. 196/2003 e GDPR). Assicurati che il provider abbia sedi o rappresentanze in UE.
5. Esclusività: Il provider accetta di lavorare in modalità “cooperative” e non “competitive” (non sfrutta le vulnerabilità trovate per vendere altri servizi alla stessa PA o a competitor).

La scelta del provider per il penetration test non deve basarsi solo sul prezzo più basso, ma sul valore offerto. Per la PA, un report dettagliato, conforme alle normative e con piani di remediazione chiari è un documento strategico che tutela l’intera collettività.

Modello a Progetto Fisso: pro e contro per gli enti pubblici

Il modello a progetto fisso, con un budget definito a priori, offre chiari vantaggi per le pubbliche amministrazioni. La prevedibilità della spesa elimina il rischio di costi imprevisti, un fattore cruciale per gli enti che devono rispettare rigidi vincoli di bilancio. Questo approccio semplifica l’iter di approvazione degli acquisti e garantisce che il progetto sia completato entro i limiti finanziari stabiliti, trasferendo il rischio di eventuali sovra-costi al fornitore.

È essenziale, però, che il capitolato sia estremamente dettagliato, definendo con precisione scope, deliverable, criteri di accettazione e tempistiche. In caso di modifiche o nuovi requisiti emersi durante il test, è necessario attivare una variante contrattuale, un processo che può richiedere tempi burocratici non brevi. Se il progetto è definito in modo troppo rigido, può inficiare la flessibilità e la qualità del test, che dovrebbe adattarsi dinamicamente alle scoperte del penetration test.

Time & Materials: flessibilità o rischio di sforamento budget?

Time & Materials: flessibilità o rischio di sforamento budget?

Il modello Time & Materials (T&M) è una delle opzioni più discusse per l’acquisto di servizi di penetration test da parte delle Pubbliche Amministrazioni. La sua attrattiva risiede nella flessibilità: si paga per il tempo effettivamente impiegato dagli esperti e per le risorse utilizzate, permettendo di adattare l’attività alle effettive complessità scoperte durante il test, senza dover ridefinire preventivi per ogni imprevisto.

Tuttavia, per una PA questo approccio nasconde il rischio concreto di uno sforamento del budget. Senza un limite definito a priori, i costi possono lievitare inaspettatamente, specialmente se il fornitore non applica un rigido controllo delle ore o se emergono vulnerabilità critiche che richiedono analisi approfondite. È essenziale, quindi, stabilire stop-loss o massimali di spesa e monitorare costantemente l’avanzamento.

Per mitigare il rischio, è utile verificare il nostro modello di calcolo preventivo e confrontarsi direttamente con un esperto: prenota una call di 15 minuti per valutare se il T&M è la soluzione giusta per il tuo progetto.

Penetration Test come Servizio (PTaaS): il modello SaaS per la sicurezza

Il modello Penetration Test as a Service (PTaaS) trasforma il penetration test da evento periodico in servizio continuo, tipicamente su piattaforma SaaS. Per la Pubblica Amministrazione questo significa accesso a dashboard live, report in tempo reale, replica dei test senza costi aggiuntivi e archiviazione cronologica delle evidenze, essenziale per il collaudo normativo.

Per scegliere il provider, richiedere che la piattaforma sia conforme ai requisiti di sicurezza del cloud per la PA (AgID) e allineata al Regolamento Europeo sulla Condivisione dei Dati (Data Governance Act). Valutare la presenza di data center in UE, la gestione dei dati a bassa sensibilità, le certificazioni ISO 27001 e SOC 2, nonché il supporto multilingue per la documentazione tecnica.

Altri criteri chiave: la possibilità di eseguire test in modalità “time-boxed” o “continuous”, la sintonizzazione con le policy di sicurezza interne, la qualità degli exploit utilizzati (non solo automated) e la presenza di un SIEM/SOAR integrato. Chiedere un Proof of Concept (POC) su un ambiente non critico prima di firmare l’accordo quadro.

Il PTaaS riduce i costi fissi e garantisce visibilità costante, ma deve essere integrato in un processo formale di gestione dei rischi: ogni scoperta va classificata, priorizzata e tracciata nel registro dei rischi della PA, con tempi di risoluzione e azioni correttive documentate per audit e compliance NIS2/ISO 27001.

Analisi delle fasce di prezzo: Low-cost, Boutique e Big4

Analisi delle fasce di prezzo: Low-cost, Boutique e Big4

Il mercato del penetration test per la PA si divide in tre macro-fasce di prezzo, con offerte che variano per profondità, copertura e coinvolgimento del provider. La scelta deve bilanciare budget, rischio e requisiti normativi, senza cadere nella trappola del prezzo più basso a scapito della qualità.

Low-cost (€1.500–€4.000): soluzioni ideali per scansioni di vulnerabilità di base o test superficiale. Spesso automatizzati con tool open source, con report standard e交付 veloce. Rischio: copertura limitata, nessuna analisi del contesto aziendale e supporto ridotto. Adatto a PA con budget contenuti e sistemi non critici, ma non garantisce il livello di approfondimento richiesto da normative come NIS2 o ISO 27001. Attenzione: alcuni low-cost offrono solo listini predefiniti senza personalizzazione, rendendo difficile rispondere a requisiti specifici della PA.

Boutique (€5.000–€15.000): agenzie specializzate che combinano expertise tecnica e conoscenza del settore pubblico. Offrono metodologie customizzate, report dettagliati con risk scoring, e spesso includono fasi di debriefing con il team IT. La copertura è ampia (web app, infrastruttura, cloud) e il rapporto qualità-prezzo è ottimale per PA medio-grandi. Vantaggio: comunicazione diretta con esperti, tempi di risposta rapidi e capacità di adattarsi a compliance specifiche (es. GDPR, DPA). È la fascia più equilibrata per PA che necessitano di affidabilità senza costi da Big4.

Big4 (€20.000–€50.000+): firm di consulenza globale (es. Deloitte, PwC, EY, KPMG) con metodologie consolidate, certificazioni internazionali e risorse multidisciplinari. Offrono penetration test integrati a compliance (NIS2, ISO 27001, DORA), con report certificati e supporto per audit. Ideali per enti con budget elevati, sistemi critici o requisiti di tracciabilità elevata. Svantaggio: costi elevati, tempi lunghi e strutture rigide. Consigliato per PA con esposizione mediatica o che operano in settori ad alto rischio (es. sanità, energia).

La scelta ottimale dipende dal rischio residuo e dalla complessità IT: una PA piccola potrebbe partire da low-cost per poi evolvere, mentre una grande amministrazione deve puntare su Boutique o Big4 per garantire auditability e continuità operativa.

Checklist per la scelta del Provider: oltre il prezzo

Checklist per la scelta del Provider: oltre il prezzo

Sei un Responsabile della Sicurezza (RSPP) o un Funzionario ICT di un Ente Pubblico che deve selezionare un fornitore esterno per un penetration test? In questa fase, il costo è un fattore determinante, ma non l’unico. Una scelta basata esclusivamente sul prezzo più basso può rivelarsi costosa, inefficiente e, nel caso della PA, persino fonte di responsabilità amministrative o penali per mancata conformità normativa.

La documentazione di gara e la valutazione del fornitore devono seguire una rigorosa analisi del rischio. Il provider non è semplicemente un tecnico che “crepa” sistemi, ma un partner strategico che deve garantire riservatezza, competenza e rispetto delle procedure.

Ecco una checklist pratica divisa per aree critiche per aiutarti a valutare un fornitore di servizi di cybersecurity per la tua Pubblica Amministrazione.

1. Competenze Tecniche e Certificazioni

Un penetration test non è un semplice scanning automatizzato. Richiede l’intervento di uman intelligence e competenze specialistiche. Verifica che il team incaricato possegga:

• Certificazioni riconosciute a livello internazionale: cerca esperienza comprovata su certificazioni come OSCP (Offensive Security Certified Professional), CEH (Certified Ethical Hacker), CREST o ISAE 3402 per la gestione dei processi.
• Specializzazione settoriale: la PA ha architetture e normative specifiche. Il provider deve dimostrare esperienza pregressa con enti pubblici, Ex ISPRA (ora ARPA), o sistemi gestionali tipici della PA (es. sistemi di anagrafe, payment gateway per il pagamento del bollo, piattaforme telematiche).
• Red Team vs Blue Team: assicurati che i tester siano separati dai sistemisti (se l’audit è interno) o che il provider abbia una struttura organizzativa che eviti conflitti di interesse.

2. Metodologia e Framework Utilizzati

Il metodo di lavoro deve essere trasparente, ripetibile e conforme agli standard di settore. Un approccio “fai da te” è un segnale d’allarme.

• Aderenza agli standard: il provider dovrebbe basarsi su framework consolidati come OWASP (per le web app), PTES (Penetration Testing Execution Standard) o le linee guida NIST (SP 800-115). In ambito PA, essenziale è l’allineamento con le Linee Guida ANAC e il Perimetero Sicurezza Nazionale (PSN).
• Scoping chiaro: il preventivo deve definire chiaramente l’estensione del test. Si tratta di Black Box (senza credenziali), Grey Box (con informazioni parziali) o White Box (con codice sorgente e credenziali)? Nella PA, spesso il Grey Box è l’ottimo compromesso tra realismo e profondità.
• Approccio non intrusivo: per il Penetration Test in produzione, è fondamentale che venga concordata una procedura di Rollback immediata in caso di instabilità dei sistemi.

3. Compliance Normativa e Vendor di Terze Parti

La PA è soggetta a un fitto panorama normativo. Il provider deve essere consapevole di questo e non introdurre nuovi rischi.

• GDPR e trattamento dati: il provider manipolerà dati personali (anche durante i test). Verifica che abbia un Data Processing Agreement (DPA) conforme al Regolamento UE 2016/679 e che adotti misure di cifratura e cancellazione sicura dei dati raccolti durante il testing.
• NIS2 e Critical Infrastructure: se l’Ente rientra nelle categorie critiche (sanità, energia, digitale), il provider deve conoscere le obbligazioni di reportistica e le soglie di notifica degli incidenti (entro 24h per gli incidenti rilevanti).
• Subappalto e Catena di Fornitura: è fondamentale conoscere se il provider fa ricorso a sub-fornitori. La Legge 231/2001 e le Linee Guida ANAC richiedono trasparenza sul subappalto tecnico. Chiedi esplicitamente se i test verranno eseguiti direttamente o affidati a società controllate o partner esteri.

4. Qualità del Reporting e Tracciabilità

Il valore di un penetration test risiede nel report finale, non solo nella lista delle vulnerabilità trovate. Un report incomprensibile è carta straccia.

• Dettaglio operativo: il report deve contenere PoC (Proof of Concept) dettagliate, screenshot e passaggi logici riproducibili. Deve spiegare il percorso di attacco (attack path) e il potenziale danno (business impact).
• Classificazione del rischio: il provider deve utilizzare una metodologia di scoring quantitativa (es. CVSS v3.1) ma adattata al contesto della PA. Una vulnerabilità “Media” su un sistema non critico è diversa da una “Media” su un sistema di pagamento del Tributo.
• Tracciabilità e non-repudio: i log delle attività svolte devono essere disponibili e firmati digitalmente. Questo è essenziale per eventuali verifiche ispettive dell’ARAN o dell’ANAC.

5. Supporto Post-Test e SLA

Un penetration test non si conclude con la consegna del report. La fase di Verifica delle Misure Correttive (Re-test) è cruciale.

• Re-test inclusivo: il provider offre un re-test gratuito o a costo ridotto entro un periodo definito (es. 30-60 giorni) per verificare che le vulnerabilità siano state effettivamente mitigate?
• Service Level Agreement (SLA): definisci i tempi di risposta per il supporto durante le fasi di test e la disponibilità dei consulenti per chiarimenti tecnici post-report.
• Formazione inclusa: alcuni provider offrono, a richiesta, sessioni di formazione per il personale interno (sysadmin, developer) basate sui risultati del test. Questo aumenta la maturità di sicurezza a lungo termine.

  
  Checklist Riepilogativa per la Scelta del Provider
  
  

  Criterio di Valutazione	Domanda da porre al Provider	Cosa cercare nella risposta
  Certificazioni	Il personale è certificato OSCP/CREST?	Certificati verificabili e case studies simili.
  Metodologia	Usate framework OWASP o PTES?	Documentazione del processo (SOW) chiara.
  Subappalto	Usate sub-fornitori per l’esecuzione dei test?	Trasparenza totale e gestione diretta.
  GDPR	Come gestite i dati personali scoperti?	DPA firmato, crittografia e distruzione sicura.
  Re-test	Il re-test è incluso?	Tempistiche definite (es. entro 60gg) e costi nulli o ridotti.
  Reporting	Il report include PoC e CVSS?	Esempi di report anonimizzati da visionare.

  6. Come Riconoscere le Truffe o i Provider Inadeguati

  Il mercato della cybersecurity è saturo di crowdtesting low-cost che non offrono garanzie per la PA. Ecco i segnali di pericolo (red flags):

  • Preventivi “a pacchetto” fisso: un prezzo fisso di poche centinaia di euro per qualsiasi sistema è segno di un semplice vulnerability scan automatizzato, non di un penetration test manuale.
  • Mancanza di accordi di riservatezza (NDA): se il provider non propose un NDA sin dalla prima chiamata, la tua organizzazione è a rischio.
  • Assenza di polizza RC Professionale: un fornitore serio deve avere una polizza di Responsabilità Civile specifica per attività di sicurezza informatica (cyber liability). Chiedi la dimostrazione.
  • Garanzia di risultato “Zero Vulnerability”: nessun sistema è immune. Chi promette l’assenza totale di vulnerabilità sta mentendo o non farà un lavoro adeguato. L’obiettivo è la gestione del rischio, non la sua eliminazione impossibile.

  7. Cultura della Sicurezza vs. Addestramento Militare

  Infine, valuta l’approccio umano. Il provider deve operare con la massima professionalità, evitando comportamenti che possano minare la fiducia.

  • Comunicazione chiara: i tester devono essere in grado di spiegare tecnicismi a non tecnici (es. assessori, direttori).
  • Educazione e Rispetto: il personale esterno non deve introdurre disordine negli ambienti di lavoro (digitali o fisici). Devono integrarsi con il tuo team ICT senza arroganza, ma con spirito critico costruttivo.
  • Disponibilità al confronto: un buon provider accetta il confronto tecnico sui risultati preliminari prima della pubblicazione finale del report.

  Sei pronto a definire i criteri di gara?

  La scelta del provider di Penetration Test per la tua PA non deve essere lasciata al caso o al prezzo più basso. Culture Digitali Srl offre servizi di ethical hacking conformi alle normative italiane ed europee, con reportistica dettagliata e supporto dedicato.

  Richiedi subito una consulenza gratuita per definire il capitolato tecnico della tua gara.

  Richiedi un Preventivo Personalizzato

  Certificazioni e Compliance: ISO 27001, CREST, OSCP e registro elenchi AF

  Certificazioni e Compliance: ISO 27001, CREST, OSCP e registro elenchi AF

  La scelta di un provider di penetration test per la Pubblica Amministrazione deve tener conto di requisiti di compliance stringenti. La norma ISO/IEC 27001 è il punto di riferimento per un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) certificato. Un fornitore certificato dimostra di aver implementato processi formali per la gestione dei rischi, la continuità operativa e la conservazione dei dati, riducendo l’esposizione legale della PA.

  Per la qualità tecnica delle valutazioni, il riferimento internazionale è CREST. I pen-tester certificati (CPSA/CRT) seguono metodologie standardizzate e aderiscono a un codice etico rigoroso. In ambito italiano, il registro degli elenchi AF (Accreditati per la Sicurezza Informatica) tenuto da ACN (Agenzia per la Cybersicurezza Nazionale) è cruciale: selezionare provider iscritti garantisce competenze verificate e conformità al Perimetro Sicurezza Nazionale.

  A livello individuale, certificazioni come OSCP (Offensive Security Certified Professional) attestano competenze pratiche avanzate, essenziali per test complessi. Tuttavia, per appalti pubblici, la certificazione aziendale (CREST o equivalenti) e l’iscrizione agli elenchi AF sono spesso requisiti prevalenti rispetto alle singole certificazioni individuali.

  Verifica sempre lo stato di accredito del provider e chiedi di visionare il processo di testing certificato.

  Esperienza specifica nel settore Pubblica Amministrazione

  Esperienza specifica nel settore Pubblica Amministrazione

  Nel contesto della Pubblica Amministrazione, la scelta del provider per i penetration test deve considerare requisiti di conformità normativa molto stringenti e la sensibilità dei dati trattati. Culture Digitali Srl vanta un’esperienza consolidata nel settore pubblico, avendo supportato enti locali e ministeri nell’analisi di sicurezza dei sistemi informativi.

  Il nostro approccio prevede una valutazione preliminare di vulnerabilità mirata agli standard di riferimento, come il Regolamento NIS2 e le linee guida dell’Agenzia per l’Italia Digitale (AgID). Per le PA, il costo del penetration test non è un semplice importo a preventivo, ma va inquadrato in un progetto di compliance normativa e tutela dei dati sensibili (GDPR). Offriamo una mini-analisi preliminare (gratuita) per identificare le criticità immediate e definire un preventivo su misura, evitando costi fissi per servizi non necessari.

  Per garantire massima trasparenza, il nostro modello di pricing per le PA include:

  • Valutazione del perimetro (rete interna, portali web, app dedicate);
  • Test di intrusione applicativa e di rete (simulazione attacchi esterni e interni);
  • Report di conformità dettagliato per gli uffici competenti e l’organo di controllo;
  • Supporto nella gestione del rischio e nel piano di remediazione.

  Questo approccio garantisce che il costo del penetration test per la PA sia ottimizzato, coprendo esclusivamente i livelli di rischio reali e i requisiti normativi vigenti.

  Metodologia di reporting e supporto alle vulnerabilità critiche

  Una metodologia di reporting e supporto per le vulnerabilità critiche è un processo strutturato che trasforma i risultati del penetration test in azioni correttive misurabili. Il report finale, tipicamente redatto secondo standard come OWASP o NIST, segue una struttura sintetica e gerarchica: executive summary per il management, analisi tecnica dettagliata, evidenza delle prove (log, screenshot) e roadmap di remediation.

  Per le vulnerabilità critiche, si adotta un protocollo di escalation a 4 livelli che accelera la chiusura dei rischi più elevati:

  1. **In-situ blocking**: se il test dimostra un exploit che minaccia la continuità operativa, il penetration tester può attivare controlli di sicurezza temporanei per bloccare l’attacco in tempo reale, previa autorizzazione formale del responsabile dell’incarico (change control).
  2. **Report formale prioritario**: la comunicazione ufficiale della criticità avviene entro 24 ore dalla scoperta, con valutazione CVSS 3.1, assetto coinvolto e stima d’impatto (downtime, data breach, conformità).
  3. **Triage congiunto**: il team di sicurezza interno del cliente incontra il provider per definire la priorità di fix, le dipendenze (es. terze parti) e la finestra di intervento. Viene creato un ticket di gestione vulnerabilità (VMT).
  4. **Verifica del patch e regression test**: entro 7 giorni lavorativi il provider esegue un rilascio mirato; successivamente, il penetration tester esegue un test di regressione per confermare la mitigazione senza introdurre nuovi rischi.

  Questo approccio garantisce che le vulnerabilità critiche vengano trattate non solo come “findings” tecnici, ma come emergenze operative, allineando sicurezza e business continuity richiesti dal Regolamento di Contabilità dei Comuni.

  Vuoi una metodologia di reporting definita su misura?

  Discutiamo insieme come implementare il protocollo di escalation per le criticità nel tuo penetration test.

  Parla con un consulente

  Reputazione, Cyber Insurance e clausole contrattuali (SLA)

  Reputazione, Cyber Insurance e clausole contrattuali (SLA)

  La scelta del provider per il penetration test incide direttamente sulla reputazione dell’ente. Affidarsi a partner con esperienza certificata (OSCP, CREST) e track record nel pubblico garantisce serietà e riduce il rischio di impatti operativi durante i test.

  Verifica inoltre la compatibilità con la Cyber Insurance: molti assicuratori richiedono valutazioni periodiche come prerequisito per la copertura o per ridurre i premi. Un provider qualificato fornisce report (incluso CVE) riconosciuti dalle compagnie assicurative.

  Attenzione alle clausole contrattuali. Gli SLA (Service Level Agreement) devono definire chiaramente: scope (black, grey, white box), tempi di esecuzione, modalità di reportistica e, fondamentale, protocolli di divulgazione responsabile (responsible disclosure) e escrow dei dati. Assicurati che il provider sia conforme al GDPR e alle normative di settore.

  Aspetti legali e amministrativi: Gare e Appalti Pubblici

  Aspetti legali e amministrativi: Gare e Appalti Pubblici

  Quando la Pubblica Amministrazione (PA) decide di acquisire servizi di penetration test per la propria sicurezza informatica, non può procedere tramite acquisto diretto o negoziazione privata come farebbe un’azienda privata, ma deve seguire rigorose procedure di evidenza pubblica stabilite dal Codice dei Contratti Pubblici (D.Lgs. 36/2023). L’approccio è complesso perché non si tratta di un semplice bene materiale, ma di un’attività tecnica specializzata che comporta rischi intrinseci e la necessità di elevatissime professionalità. In questo contesto, Culture Digitali Srl agisce con la consapevolezza che la sicurezza informatica nelle gare d’appalto è un bene primario e strategico.

  La scelta del provider non può basarsi solo sul prezzo più basso, ma deve valutare la qualità del servizio. La normativa attuale, recependo le direttive europee, impone l’applicazione del criterio dell’offerta economicamente più vantaggiosa (OEPA) per gli appalti di servizi sopra certe soglie, dove il penetration test rientra. È fondamentale che la PA rediga un capitolato tecnico dettagliato che specifichi non solo il costo, ma anche il Scope of Work (SOW), le metodologie (OWASP, PTES), il livello di autorizzazione (Black Box, White Box, Grey Box) e le garanzie di non interruzione dei servizi. Spesso, i bandi prevedono l’esclusione di ditte che non abbiano dimostrato esperienza specifica in ambito PA o che non siano in possesso di certificazioni di gestione della sicurezza informatica (come ISO 27001).

  Un aspetto critico nelle gare per penetration test PA è la gestione della riservatezza e del Non-Disclosure Agreement (NDA). Il provider che vince l’appalto si accollerà dati sensibili e informazioni critiche sull’infrastruttura; pertanto, il bando deve imporre requisiti di sicurezza individuale e collettiva rigorosi. È qui che si valuta la differenza tra un fornitore generico e un partner specializzato come Culture Digitali Srl, capace di garantire conformità normativa anche sotto pressione. Inoltre, la PA deve considerare la necessità di includere nel contratto clausole che tutelino l’amministrazione in caso di denial of service accidentale durante i test, obbligando il provider a mantenere la continuità operativa.

  Oltre alla normativa nazionale, le PA italiane devono spesso confrontarsi con i vincoli del Regolamento NIS2 (Network and Information Security), che impone obblighi di notifica degli incidenti e di adozione di misure di sicurezza appropriate. Sebbene il penetration test non sia esplicitamente citato come obbligatorio per tutti, diventa strumento imprescindibile per dimostrare il “rispetto dell’arte” (due diligence) e la conformità al principio di resilienza richiesto dalla normativa europea. Le gare d’appalto devono quindi evolversi per richiedere servizi di Red Teaming o Assessment che siano certificati da organismi accreditati, evitando l’approccio “cartaceo” a favore di deliverable concreti e verificabili.

  Infine, il costo di un penetration test in un’appalto pubblico non è determinato solo dalla tariffa oraria del consulente, ma dalla complessità burocratica e tecnica. Le procedure di gara richiedono tempi lunghi, e il provider deve preventivare l’incertezza legata ai sistemi legacy tipici delle PA. Un fornitore esperto sa che il vero costo include la gestione della documentazione, le fasi di pre-validazione e post-validazione, e il supporto durante le eventuali verifiche dell’ANAC. Scegliere un partner che conosce queste dinamiche legali garantisce che il progetto non si blocchi in contestazioni burocratiche, permettendo alla PA di ottenere la sicurezza desiderata tempestivamente.

  Codice degli Appalti e servizi di sicurezza informatica

  Per le Pubbliche Amministrazioni, l’acquisto di servizi di penetration test rientra tra le prestazioni di sicurezza informatica e, come tale, è soggetto al Codice degli Appalti. La scelta del provider non può basarsi solo sul prezzo più basso, ma deve garantire competenze certificate e metodologie verificabili.

  Il Codice prevede l’applicazione del criterio dell’offerta economicamente più vantaggiosa, che permette di valutare parametri qualitativi cruciali: esperienza del team, certificazioni (come OSCP, CREST, GIAC), reportistica e SLA. È fondamentale che il provider sia in grado di dimostrare competenze specifiche su infrastrutture critiche e cloud.

  Un fattore chiave è la gestione della riservatezza dei dati, garantita da protocolli NDA e da un approccio “white-hat”. Le PA devono prestare attenzione alla conformità normativa, assicurando che il servizio rispetti il Quadro Comune di Sicurezza (QCS) e le linee guida ACN per la valutazione dei rischi.

  Investire in un provider qualificato non è solo un obbligo di legge, ma una strategia per mitigare i rischi di cyberattacchi, ridurre costi futuri legati a violazioni e garantire continuità operativa, trasformando la spesa da semplice acquisto a valore strategico per la sicurezza digitale.

  Procedure negoziate e accordi quadro per penetration test

  Procedure negoziate e accordi quadro per penetration test

  Le PA italiane standardizzano sempre più l’acquisizione di servizi di sicurezza informatica attraverso procedure negoziate e accordi quadro. Questi strumenti consentono di definire in anticipo le condizioni contrattuali, riducendo tempi burocratici e costi di transazione per ogni singola attività.

  • Accordi Quadro (Framework Agreement): contratti pluriennali (solitamente 24-36 mesi) con uno o più fornitori selezionati tramite gara. Definiscono prezzi di riferimento, livelli di servizio (SLA) e criteri di selezione del progetto specifico. È la modalità preferita per penetration test ricorrenti (annuali o semestrali).
  • Procedura Negoziata: utilizzata per lotti sotto soglia comunitaria o per acquisire servizi altamente specializzati. Il bando definisce il quadro economico e tecnico, ma il prezzo finale viene negoziato con i fornitori idonei sulla base della complessità effettiva.

  Come si inserisce la scelta del provider?
  All’interno di un accordo quadro, la selezione del provider per un test specifico avviene tramite richiesta di preventivo (RFQ) tra i fornitori in graduatoria. Valutare il provider non significa solo il prezzo orario, ma anche la metodologia (OSSTMM, OWASP), le certificazioni del team (OSCP, CEH) e la copertura assicurativa della responsabilità civile.

  Stai definendo una procedura per la tua PA?
  Possiamo aiutarti a strutturare la documentazione di gara e valutare le proposte tecniche.

  Richiedi un preventivo per la consulenza

  Valutazione del merito tecnico vs offerta economicamente più vantaggiosa

  Valutazione del merito tecnico vs offerta economicamente più vantaggiosa

  Per le pubbliche amministrazioni, il confronto tra diverse offerte per un penetration test non deve basarsi sul prezzo più basso. La normativa italiana (D.Lgs. 50/2016 e successive modifiche) impone l’aggiudicazione all’offerta economicamente più vantaggiosa, un criterio che valorizza il merito tecnico ben oltre la sola economicità. Una proposta dal costo inferiore potrebbe infatti nascondere metodologie obsolete, insufficiente knowledge dei sistemi complessi delle PA o un report carente, con conseguenti rischi di compliance e sicurezza.

  La valutazione del merito tecnico richiede di scrutinare attentamente la qualità dell’offerta. Elementi chiave da analizzare sono: l’esperienza specifica nel settore pubblico, le certificazioni dei team (OSCP, CREST, GIAC), l’utilizzo di tool all’avanguardia e, soprattutto, la completezza del metodo di lavoro, che deve includere fasi chiare (ricognizione, scanning, sfruttamento, post-exploitation) e la stesura di un report di alto livello con gap analysis e roadmap correttiva.

  La soluzione più vantaggiosa è quella che offre il miglior equilibrio tra costo e qualità. Un provider affidabile dimostra trasparenza nei costi e un approccio proattivo, proponendo spesso anche un mini-assessment preliminare gratuito per valutare la superficie d’attaggio. Non scegliere in base al prezzo solo apparentemente più basso; investi su un partner che garantisca non solo il test, ma anche la consulenza tecnica per la mitigazione dei rischi identificati.

  Processo operativo: dalla pianificazione al post-test

  Processo operativo: dalla pianificazione al post-test

  La scelta del provider per il penetration test nella Pubblica Amministrazione non può prescindere da una metodologia rigorosa. Non si tratta di acquistare un servizio “scatola chiusa”, ma di attivare un processo strutturato che copra l’intero ciclo di vita del test. A differenza del settore privato, dove le tempistiche possono essere più flessibili, nella PA la pianificazione deve integrare il dispositivo normativo e gli obblighi di rendicontazione.

  1. Fase di pianificazione e definizione del perimetro

  L’attività inizia con l’analisi del contesto normativo e tecnico. Per un’Amministrazione pubblica, è fondamentale definire il perimetro del penetration test in stretta correlazione con il Regolamento NIS 2 e il Perimetro Nazionale Cyber (se applicabile). Il provider deve comprendere:

  • Il perimetro tecnologico: Reti, server, applicazioni web, infrastrutture cloud e interfacce verso i cittadini.
  • Il perimetro legale: Trattamento dei dati personali (GDPR) e accesso a sistemi che gestiscono informazioni sensibili.
  • Il vincolo di legalità: Le attività di test non devono compromettere la continuità operativa dei servizi essenziali.

  Viene redatto un Piano di Prova (Test Plan) firmato da tutte le parti, che include la matrice delle criticità (tipicamente basata su OWASP Top 10, CWE/SANS Top 25 e standard di settore) e il formale consenso scritto dell’organo di direzione della PA. Senza questa autorizzazione, qualsiasi attività di test costituisce intrusione illegittima.

  Valuti la complessità normativa del tuo perimetro?

  Definire il perimetro giuridico prima della fase tecnica è essenziale per evitare rischi di compliance. Parla con un nostro esperto per una valutazione preliminare.

  Prenota una call di allineamento

  2. Attivazione e modalità operative (Black, White, Grey Box)

  La metodologia di test scelta impatta direttamente sul budget e sui risultati. Nelle gare per la PA, è consigliabile specificare:

  • Black Box Testing: Il tester agisce senza conoscenze interne. Simula un attaccante esterno. È utile per valutare la postura di sicurezza perimetrale, ma richiede più tempo (e costo) per la scoperta delle vulnerabilità.
  • White Box Testing: Il tester ha accesso completo alla documentazione, al codice sorgente e alle credenziali. Efficace per analizzare la sicurezza applicativa profonda e la logica di business. È solitamente più veloce ed economica.
  • Grey Box Testing: Un equilibrio tra i due, spesso la scelta ottimale per verificare la sicurezza delle applicazioni web della PA, simulando un utente autorizzato che abusa dei propri privilegi.

  La scelta va motivata nel capitolato tecnico, allineandola alla tipologia di dati trattati e ai rischi specifici identificati nella fase di analisi preliminare.

  3. Esecuzione del test e gestione degli incidenti

  Questa fase operativa vera e propria si divide in tre sotto-fasi:

  1. Ricerca e Discovery (Reconnaissance): Il provider mappa l’infrastruttura, identifica i servizi esposti e cerca punti di ingresso.
  2. Analisi delle Vulnerabilità: Vengono sfruttate le debolezze trovate per valutare l’impatto reale. Non basta identificare una CVE; bisogna dimostrare se l’attacco può portare a esfiltrazione di dati o interruzione di servizio.
  3. Exploit e Validation: Verifica pratica delle vulnerabilità.

  Per le PA, è fondamentale stabilire un protocollo di gestione degli incidenti durante il test. Se il penetration test dovesse causare un malfunzionamento del servizio (es. unDenial of Service accidentale), il provider deve avere un Escalation Point immediato verso il SOC (Security Operations Center) interno o gestito della PA per ripristinare la normalità senza ritardi burocratici. Questo aspetto va ben definito nel contratto di fornitura.

  Simuli già un attacco in tempo reale?

  Il penetration test è un’istantanea statica. Per una difesa dinamica, è necessario affiancarlo a simulazioni continue. Scopri come funziona il nostro servizio di Red Teaming dedicato alla PA.

  Richiedi una demo sulla simulazione avanzata

  4. Reportistica e validazione dei risultati

  Il valore di un penetration test risiede nella chiarezza del report. Per la PA, la documentazione deve essere tecnicamente ineccepibile e giuridicamente spendibile. Un report valido segue questa struttura:

  • Executive Summary: Riepilogo per l’Organo di Direzione, con focus sul rischio aziendale e non solo tecnico, necessario per adempiere agli obblighi di segnalazione previsti dal Direttiva NIS 2 in caso di incidente grave.
  • Analisi Tecnica Dettagliata: Descrizione delle vulnerabilità trovate, step di riproduzione, evidenze (screenshots, log) e severità calcolata secondo standard come CVSS v3.1.
  • Piano di Remediazione: Prioritizzazione delle patch o mitigazioni con indicazione dei tempi di intervento (SLA).

  La fase di validazione è bidirezionale: la PA deve verificare l’efficacia delle correzioni applicate. È best practice richiedere un Re-test (o “controllo delle patch”) entro 30-60 giorni dalla remediazione, spesso incluso nel costo totale o come pacchetto aggiuntivo.

  5. Post-test: Integrazione con il sistema di gestione della sicurezza

  Un penetration test non è un evento fine a se stesso, ma un input cruciale per il SGSI (Sistema di Gestione della Sicurezza dell’Informazione).

  • Integrazione nel Risk Assessment: I risultati devono aggiornare la matrice dei rischi dell’ente.
  • Formazione del personale: Le vulnerabilità trovate spesso rivelano criticità umane (es. ingegneria sociale). I risultati vanno usati per allenare il personale.
  • Audit e Compliance: Il report serve come evidenza documentale per certificazioni ISO 27001 o per le verifiche di conformità al Decreto 81/2008 (Testo Unico sulla sicurezza) in ambito informatico.

  Investire nel post-test significa trasformare una spesa operativa in un asset strategico per la cyber resilience della Pubblica Amministrazione.

  Fase di pianificazione (SOW) e accordi di riservatezza

  Fase di pianificazione (SOW) e accordi di riservatezza

  La fase di pianificazione è cruciale per il successo di un penetration test in un ente pubblico. Si definisce con una Statement of Work (SOW) che delimiti il perimetro delle attività. Questo documento deve specificare i sistemi, le reti e le applicazioni target, le metodologie da utilizzare (come OWASP o OSSTMM) e le tempistiche di intervento. È fondamentale stabilire le regole di ingaggio (Rules of Engagement) per evitare impatti involontari sulla continuità operativa dei servizi pubblici.

  In parallelo, la firma di un rigoroso accordo di riservatezza (NDA) e di un divieto di divulgazione è obbligatoria per proteggere dati sensibili e informazioni critiche dell’ente. La SOW deve anche dettagliare le responsabilità di ogni parte, la metodologia di reportistica e le azioni di remediation.

  Per definire un perimetro chiaro e un accordo di riservatezza robusto che protegga la tua PA, richiedi subito un preventivo senza impegno.

  Esecuzione del test: minimizzazione dell’impacto sui servizi pubblici

  Per evitare che un penetration test comprometta i servizi essenziali, l’esecuzione va pianificata con un approccio non invasivo. Si utilizzano tecniche passive e di simulazione che non generano traffico dannoso, oppure si effettuano test in orari notturni o nei weekend, su ambienti di staging replica dell’ambiente di produzione.

  È fondamentale stabilire regole di ingaggio chiare (scope) ed esclusione di sistemi critici, concordando un piano di escalation per eventuali imprevisti. Un provider esperto deve garantire continuità operativa e reportistica immediata, minimizzando il rischio di downtime.

  Non lasciare che la sicurezza freni l’innovazione. Contattaci per una consulenza: analizzeremo insieme come implementare test di sicurezza senza interrompere i tuoi servizi pubblici.

  Triangolazione dei risultati e gestione dei falsi positivi

  Dopo l’esecuzione di un penetration test, il valore non risiede solo nel numero di vulnerabilità rilevate, ma nella correttezza e azionabilità dei risultati. Il processo di triangolazione dei risultati e la gestione dei falsi positivi sono fase critica per le Pubbliche Amministrazioni.

  Il metodo di triangolazione prevede il conferma delle scoperte attraverso più fonti: lo strumento di scanning, la validazione manuale da parte del penetration tester e, ove possibile, la correlazione con i log di sistema e le configurazioni dell’infrastruttura. Questo approccio minimizza il rischio di report contenente dati fuorvianti, garanzia fondamentale per evitare dispersioni di risorse in interventi di remediazione non necessari.

  La gestione dei falsi positivi richiede una valutazione critica. Un approccio efficace include l’analisi del contesto: una vulnerabilità teorica su un sistema isolato può non rappresentare un rischio operativo immediato, mentre la stessa vulnerabilità su un servizio esposto su internet richiede intervento immediato. Documentare accuratamente la metodologia di verifica e le evidenze è essenziale per tracciabilità e audit.

  Il passaggio successivo è la priorizzazione dei rischi reali, basata sull’impatto potenziale e sulla facilità di sfruttamento, per pianificare una roadmap di mitigazione efficiente e conforme al quadro normativo.

  Verifica delle patch (Re-test): come valorizzarlo in fase contrattuale

  Il Re-test non è un costo aggiuntivo, ma la dimostrazione tangibile dell’efficacia del servizio e il primo passo verso l’upgrade del livello di sicurezza della tua PA. Valorizzare questa fase in fase contrattuale significa trasformare il penetration test da un’attività one-shot a un processo di miglioramento continuo.

  Per farlo, chiedi al provider di includere nel preventivo una clausola che definisca tempi, costi e modalità del Re-test a seguito della fornitura della Whitelist di vulnerabilità da parte dei tuoi team tecnici. Una struttura efficace prevede:

  • Costo del Re-test forfettario o percentuale sul costo del test iniziale.
  • Tempistica massima per l’esecuzione (es. entro 15 giorni lavorativi dalla notifica patch).
  • Scope ridotto ai soli CVE riaperti, ottimizzando il budget.

  Questo approccio garantisce tracciabilità, dimostra la compliance al regolamento e minimizza il rischio di resilienza tecnica.

  Conclusioni: Ottimizzare l’investimento in sicurezza cibernetica

  Ottimizzare l’investimento in sicurezza cibernetica per le Pubbliche Amministrazioni significa andare oltre il semplice acquisto di un servizio. Le valutazioni di costo e la scelta del provider per un penetration test non devono essere basate solo sul prezzo, ma su un approccio strategico che massimizza il valore e la sicurezza a lungo termine.

  Per trasformare questa spesa in un investimento redditizio, la PA deve considerare la conformità normativa (come il NIS2 e il GDPR) e il miglioramento continuo del proprio livello di sicurezza. Scegliere un provider non significa affidarsi a un semplice fornitore, ma stabilire una partnership con un consulente esperto capace di guidare la PA verso una maturità informatica maggiore.

  Per ottimizzare il tuo budget e garantirti la massima protezione, contattaci oggi stesso per una consulenza personalizzata. I nostri esperti ti aiuteranno a valutare le tue esigenze specifiche e a progettare un piano di penetration test su misura, ottenendo il miglior rapporto costo/beneficio per la tua amministrazione.

  Strategie per ridurre i costi senza compromettere la qualità

  Per contenere gli investimenti mantenendo standard di sicurezza elevati, le PA possono adottare strategie mirate. La pianificazione congiunta con altri enti consente di spalmare i costi su più bilanci e richiedere quotazioni a gruppi di acquisto formati da più amministrazioni. È utile optare per un approccio a fasi: prima un penetration test di superficie (scansione esterna e analisi del perimetro) e, successivamente, attività più approfondite su applicazioni critiche, valutando il totale.

  Un’altra via percorribile è il modello “bug bounty” controllato, rivolto a community di ricercatori certificati, che remunera solo le vulnerabilità effettivamente riscontrate. Al contempo, le PA devono chiedere ai provider una metodologia chiara, aderente allo standard OWASP, e consegne documentali strutturate: questo riduce le revisioni e evita costi nascosti. Infine, integrare le scoperte del penetration test nel proprio piano di aggiornamento e formazione del personale interno riduce la necessità di nuove attività correttive a pagamento.

  Il ritorno sull’investimento (ROI) di un penetration test valido

  Il ritorno sull’investimento (ROI) di un penetration test valido è spesso il fattore decisivo per le PA. Anche se il costo di un’audition può sembrare elevato, va calcolato in funzione del rischio che si evita: la gestione di un incidente di sicurezza reale costa, in media, molte volte di più, considerando sanzioni, danni reputazionali, interruzioni di servizio e costi di ripristino.

  Un test eseguito da un provider qualificato offre un valore tangibile: identifica le vulnerabilità critiche prima che siano sfruttate, riduce la superficie di attacco e fornisce dati concreti per documentare la conformità normativa. Questo non è solo un costo, ma un investimento in resilienza operativa che protegge i servizi pubblici e i dati dei cittadini.

  In un mercato competitivo, un fornitore esperto offre trasparenza sui prezzi, garantendo che ogni euro speso si traduca in sicurezza misurabile.

  Vuoi capire quanto può costare un test sicuro e efficace per la tua amministrazione?

  Richiedi ora una consulenza gratuita e scopri come possiamo personalizzare un piano di penetration test in linea con i tuoi budget e obiettivi di sicurezza.

  Richiedi un Preventivo Personalizzato

  Domande Frequenti (FAQ)

  Qual è il costo medio di un penetration test per una PA?

  Il costo varia drasticamente in base al perimetro. Per un test Web Application specifico, una PA può spendere tra i 3.000€ e i 10.000€. Per un test di rete aziendale completo (infrastruttura interna ed esterna), i prezzi possono variare da 8.000€ a oltre 30.000€. I test che includono simulazioni di attacchi APT o social engineering sono ulteriormente remunerati.

  È possibile effettuare un penetration test senza gara pubblica?

  Sì, la normativa sugli appalti prevede soglie di esclusione. Per importi inferiori a 150.000€ (soglia nazionale per i servizi) o 428.000€ (soglia comunitaria), la PA può procedere con affidamenti diretti o procedure negoziate, rispettando i principi di trasparenza e non discriminazione, purché si dimostri la scelta del fornitore più idoneo.

  Come si distingue un provider di penetration test valido per il settore pubblico?

  Un provider valido deve possedere certificazioni internazionali riconosciute (come CREST o Offensive Security), esperienza diretta con enti pubblici, e capacità di produrre report conformi alle linee guida dell’ACN (Agenzia per la Cybersicurezza Nazionale). È fondamentale inoltre che il provider abbia una Cyber Insurance coprente.

  Black Box o White Box: quale scegliere per la PA?

  La scelta dipende dall’obiettivo. Il test in Black Box simula un attaccante esterno senza credenziali ed è ideale per testare la superficie di attacco esposta sul web. Il test in White Box (con forniture di codice e credenziali) è più approfondito e adatto a sistemi critici interni o applicazioni gestionali complesse dove è necessaria una copertura massima.

  Contattaci

  contattaci per saperne di più