Introduzione

Nel contesto della crescente digitalizzazione della Pubblica Amministrazione italiana, la sicurezza informatica non è più un optional, ma un requisito fondamentale per garantire la continuità operativa e la tutela dei dati dei cittadini. Un vulnerability assessment per la PA è il primo, indispensabile passo per identificare e mitigare i punti deboli dei sistemi informativi prima che possano essere sfruttati da attori malevoli. Comprendere i costi, le tempistiche e i servizi tipici inclusi in un assessment è cruciale per pianificare interventi efficaci e conformi alla normativa vigente, come il Perimetero Nazionale di Cybersicurezza (PNC) e il NIS2.

Una valutazione delle vulnerabilità strutturata non si limita a scansionare la superficie d’attacco, ma offre una fotografia completa della postura di sicurezza, prioritizzando i rischi in base all’impatto potenziale. Per le PA, questo processo è spesso complesso a causa di infrastrutture eterogenee, legacy systems e un elevato volume di dati sensibili. Proprio per questo, affidarsi a un approccio metodologico e a un partner esperto è essenziale per evitare approcci frammentari e inefficaci.

In questo articolo analizzeremo nel dettaglio come si struttura un vulnerability assessment dedicato alla PA, quali sono le fasce di costo realistiche in base alla complessità dell’organizzazione e le tempistiche medie di esecuzione e reporting. Scopriremo inoltre i servizi tipici che compongono un’offerta completa, dalla scansione automatica alla penetration test mirata, fino alla gestione delle false positive.

Se sei un responsabile IT di una Pubblica Amministrazione o operi nel settore della consulenza digitale, questo approfondimento ti aiuterà a orientarti nella scelta del servizio più adatto, ottimizzando budget e tempi per rafforzare la sicurezza del tuo ente.

Introduzione alla Vulnerability Assessment nella Pubblica Amministrazione

Le Pubbliche Amministrazioni (PA) rappresentano un bersaglio privilegiato per i cybercriminali, non solo per la quantità di dati sensibili gestiti, ma anche per l’impatto strategico che un attacco riuscito può avere sull’intera collettività.

In questo contesto, il Vulnerability Assessment (VA) non è più un’opzione, ma un passaggio obbligatorio per garantire continuità operativa, proteggere la privacy dei cittadini e rispettare le normative vigenti, prime tra tutte il GDPR e gli standard previsti dal Perimeter di Sicurezza Nazionale Ciber (PSNC).

Il Vulnerability Assessment nella PA è un processo sistematico di analisi progettato per identificare, quantificare e classificare le debolezze presenti nell’infrastruttura IT, nei sistemi applicativi e nei processi organizzativi. A differenza di un semplice test di penetrazione, il VA fornisce una panoramica “a volo d’ufficio” che permette di ottenere una mappa dei rischi completa e misurabile.

Perché la PA ha bisogno di un approccio strutturato?

Nelle amministrazioni pubbliche, il patrimonio digitale è spesso eterogeneo: dai sistemi legacy ereditati da anni a piattaforme cloud moderne, passando per reti di servizi interconnessi e dispositivi IoT. Questa complessità rende difficile la gestione del rischio cyber senza un metodo scientifico.

• Compliance normativa: Il VA è spesso un requisito preliminare per le certificazioni di sicurezza e per rispondere ai bandi di gara che richiedono requisiti di sicurezza informatica.
• Prevenzione di blackout operativi: L’individuazione tempestiva di vulnerabilità nei servizi critici (es. anagrafe, tributi, sanità) previene interruzioni che penalizzano i cittadini.
• Ottimizzazione della spesa: Mappare le criticità permette di investire le risorse (budget IT) dove serve davvero, evitando sprechi su soluzioni di sicurezza non necessarie o non efficaci.

Per le Pubbliche Amministrazioni, l’obiettivo non è solo “fare un test”, ma integrare la sicurezza nel ciclo di vita del sistema informativo. Un VA ben eseguito non si limita a segnalare il problema, ma fornisce la base per un Piano di Gestione delle Vulnerabilità (VMP) che garantisca il monitoraggio continuo nel tempo.

Punti chiave di un Vulnerability Assessment per PA:

1. Scoping e Inventario: Definizione del perimetro da analizzare (reti interne, DMZ, applicazioni web, banche dati).
2. Scansione automatica: Utilizzo di tool dedicati per l’identificazione di CVE (Common Vulnerabilities and Exposures) note.
3. Analisi Qualitativa: Verifica manuale dei falsi positivi e delle criticità che richiedono un contesto specifico per essere valutate.
4. Reporting e Priorizzazione: Classificazione dei rischi basata su severità, impatto operativo e contesto normativo.

Investire in un Vulnerability Assessment significa trasformare la sicurezza informatica da costo fisso a valore strategico per l’amministrazione.

Valuta la sicurezza della tua PA

Esplora le soluzioni dedicate a Pubbliche Amministrazioni e PMI con Culture Digitali Srl. Scopri come un approccio strutturato può proteggere i tuoi servizi.

Richiedi una consulenza

Cos’è la Vulnerability Assessment (VA) e perché è critica per le PA

La Vulnerability Assessment (VA) è un processo metodologico e sistematico volto a identificare, quantificare e classificare le vulnerabilità informatiche presenti nei sistemi IT, nelle reti e nelle applicazioni di un’organizzazione. Per le Pubbliche Amministrazioni, questo servizio rappresenta il primo e fondamentale passo per la gestione proattiva del rischio cibernetico, andando ben oltre la semplice scansione automatica di rete.

Per una PA, la VA non è solo un’attività tecnica, ma un obbligo normativo e una necessità strategica. La Digital Administration Act (DAA) e il NIS2 richiedono infatti una valutazione costante dei profili di rischio. La criticità per le PA risiede nel fatto che gestiscono dati sensibili dei cittadini e servizi essenziali (sanità, trasporti, pagamenti): una vulnerabilità non scoperta può trasformarsi rapidamente in un data breach o in un’interruzione dei servizi pubblici, con danni alla reputazione e sanzioni finanziarie pesanti.

Il processo tipico include una fase di scanning remoto e interno, l’analisi manuale dei risultati per escludere falsi positivi e la stima dell’impatto di ogni debolezza. L’output non è solo un elenco di “bug”, ma una roadmap chiara per la remediazione, che permette alla PA di allocare le risorse verso le criticità più urgenti prima che vengano sfruttate da attori malevoli.

L’evoluzione normativa: dal GDPR al NIS 2 e agli obblighi PNRR

L’evoluzione normativa degli ultimi anni ha ridefinito il quadro di riferimento per la sicurezza informatica delle Pubbliche Amministrazioni. Il punto di partenza è il GDPR (Regolamento UE 2016/679), che ha introdotto l’obbligo di garantire “un livello di sicurezza adeguato” per i dati personali, imponendo misure tecniche e organizzative per prevenire violazioni. Il focus è principalmente sulla riservatezza e sull’integrità dei dati.

Un salto di qualità si è avuto con la Direttiva NIS (Network and Information Security) 2016/1148, poi sostituita dal più stringente NIS 2 (Regolamento UE 2022/2555), in vigore dal 17 ottobre 2024. A differenza del passato, il NIS 2 amplia notevolmente il perimetro delle organizzazioni soggette a obblighi (incluse molte PA), introduce una definizione unica di “incidente rilevante” e impone tempi di segnalazione rapidi (entro 24 ore per la prima notifica). Inoltre, il NIS 2 richiede misure di sicurezza più rigorose, tra cui gestione del rischio, crittografia, formazione del personale e continuità operativa, e prevede sanzioni amministrative pesanti (fino a 10 milioni di euro o al 2% del fatturato globale) e una maggiore responsabilità per gli amministratori.

Il quadro si completa con gli obblighi PNRR (Piano Nazionale di Ripresa e Resilienza). Il PNRR non si limita a finanziare progetti di digitalizzazione, ma impone l’adozione di piani di sicurezza informatica coerenti con le nuove normative, come specificato nel documento “Cybersecurity per il PNRR”. Questo significa che la valutazione della vulnerabilità (VA) non è più solo una best practice, ma un requisito indispensabile per accedere ai fondi e per garantire la conformità a un ecosistema normativo sempre più integrato.

Tipologie di Vulnerability Assessment per la Pubblica Amministrazione

Il concetto di vulnerability assessment per la Pubblica Amministrazione (PA) non è un monolite: esistono diverse metodologie e approcci, ognuno con un obiettivo specifico e un livello di profondità differente. Capire queste tipologie è fondamentale per scegliere il servizio giusto, evitare di sprecare risorse in attività non allineate ai reali bisogni dell’ente e rispettare le normative vigenti, come il NIS2 e il GDPR.

Nella pratica, i servizi di valutazione della sicurezza si dividono generalmente in tre macro-categorie: valutazioni di vulnerabilità “point-and-click” (scansioni automatizzate), assessment strutturati (framework-based) e test di penetrazione (Penetration Testing). Ognuna di queste risponde a un’esigenza diversa: dalla raccolta preliminare di informazioni alla verifica operativa delle difese.

1. Vulnerability Scanning (Scansioni di Vulnerabilità)

Questa è la forma più comune e immediata di assessment. Si tratta di un processo automatizzato che utilizza tool specializzati per scandagliare sistemi, reti, applicazioni web e infrastrutture cloud alla ricerca di criticità note (CVE – Common Vulnerabilities and Exposures).

• Come funziona: Lo scanner interroga i target (server, router, database, siti web) e confronta le risposte con database di vulnerabilità aggiornati. Non richiede l’intervento diretto di un operatore umano oltre alla configurazione iniziale.
• Cosa rileva: Versioni di software non aggiornate, mancanza di patch di sicurezza, configurazioni errate (es. porte aperte non necessarie), certificati SSL scaduti e debolezze comuni note.
• Vantaggi:
  • Rapidità: Esecuzione in tempi brevi (minuti/ore).
  • Economicità: Costi contenuti rispetto ai test manuali.
  • Copertura ampia: Ideale per monitoraggio continuo e per la prima linea di difesa.
• Limiti: Genera un alto numero di falsi positivi (segnalazioni errate) e non individua le vulnerabilità logiche o i flaw che richiedono ragionamento umano (come una falla nell’autenticazione multi-fattore).
• Target ideale: Routine di manutenzione, controlli pre-immissione in produzione, soddisfazione dei requisiti di compliance base.

CTA Soft: Curioso di sapere quali sono le vulnerabilità più comuni nelle PA? Scarica la nostra checklist “Le 10 criticità IT da verificare subito” e fai un primo self-assessment.

2. Valutazione di Sicurezza Strutturata (Framework-based Assessment)

Diversamente dallo scanning, questa tipologia valuta la sicurezza in modo olistico, allineandosi a framework di riferimento come ISO/IEC 27001, NIST CSF (Cybersecurity Framework) o il percorso previsto dal Cloud Security Alliance (CSA) Cloud Controls Matrix, fondamentale per la PA che migra verso il cloud.

L’obiettivo non è solo trovare un bug tecnico, ma misurare l’efficacia complessiva del sistema di gestione della sicurezza (SGS). L’analisi copre tre dimensioni:

1. People (Persone): Verifica della formazione, cultura della sicurezza, procedure di gestione degli accessi e gestione del cambio.
2. Processi: Analisi delle policy, procedure di incident response, continuità operativa, gestione dei fornitori (supply chain).
3. Technology (Tecnologia): Valutazione dell’architettura IT/OT, configurazione di reti, sistemi e applicazioni.

• Cosa include solitamente:
  • Gap Analysis: Confronto tra lo stato attuale e lo stato di compliance richiesto (es. requisiti NIS2 per le entità essenziali).
  • Valutazione documentale: Analisi di DPIA (Valutazione d’Impatto sulla Protezione Dati), piani di sicurezza, log di sistema.
  • Interviste: Colloqui con i responsabili IT, DPO (Data Protection Officer) e dirigenti.
• Utilità: È il passaggio obbligato per ottenere certificazioni (come ISO 27001) o per preparare l’ente a revisioni ispettive dell’AGID (Agenzia per l’Italia Digitale) o del NIS.

3. Penetration Testing (Test di Penetrazione)

Il Penetration Test (spesso chiamato ethical hacking) è l’assessment più avanzato. Non si limita a elencare le vulnerabilità, ma tenta attivamente di sfruttarle per raggiungere un obiettivo specifico (es. accedere a dati sensibili, bloccare un servizio). Viene eseguito da team di esperti (Red Team) che simulano le tattiche di un attaccante reale.

Esistono diverse varianti di Penetration Test:

• Black Box: Il team di sicurezza non ha alcuna informazione preliminare sui sistemi (simula un attaccante esterno). È utile per testare la scopribilità dell’infrastruttura dall’esterno.
• White Box: Il team ha accesso completo alla documentazione tecnica, al codice sorgente e alle credenziali (simula un insider malintenzionato o un audit approfondito). È il più completo per trovare vulnerabilità nascoste.
• Gray Box: Un approccio intermedio, dove l’attaccante ha accesso limitato (es. credenziali di un utente standard) per testare la lateral movement.

CTA Mid: La tua PA sta migrando dati sensibili sul cloud o ha appena lanciato un nuovo portale cittadino? È il momento di verificare le difese con un test mirato. Richiedi un preventivo per un Penetration Test personalizzato e scopri quanto sei realmente protetto.

4. Vulnerability Assessment per infrastrutture OT e IoT

Un settore specifico e critico per la PA riguarda le Operational Technology (OT) e l’Internet of Things (IoT). Pensa agli impianti di illuminazione pubblica intelligente, ai sistemi di gestione del traffico (ITS), agli impianti di depurazione o ai contatori idrici/energetici smart.

A differenza dell’IT tradizionale, questi sistemi spesso:

• Utilizzano protocolli di comunicazione proprietari (es. Modbus, KNX).
• Non possono essere facilmente fermati o aggiornati senza causare disservizi.
• Sono fisicamente distribuiti sul territorio.

La vulnerability assessment in questo ambito richiede:

• Scansione passiva (non intrusiva): Per non disturbare il funzionamento dei dispositivi.
• Inventario automatico: Identificazione di tutti i dispositivi connessi alla rete OT/IoT.
• Analisi dei protocolli: Verifica delle comunicazioni per rilevare comandi non autorizzati o configurazioni insicure.

Questo tipo di assessment è cruciale per la sicurezza fisica e per garantire la continuità dei servizi essenziali (acqua, energia, trasporti), come richiesto dalla direttiva NIS2.

5. Red Teaming e Simulazioni avanzate

Il Red Teaming va oltre il Penetration Test tradizionale. Non si tratta solo di sfruttare vulnerabilità tecniche, ma di simulare un attacco completo e mirato a un obiettivo strategico (es. furto di dati personali, interruzione di un servizio elettorale). Il Red Team opera in autonomia, spesso senza che il team difensivo (Blue Team) sia preavvisato (attacco “a sorpresa”).

Questo approccio permette di testare:

• La reattività del SOC (Security Operations Center): Quanto tempo impiega a rilevare l’attività sospetta?
• Le procedure di incident response: Come reagiscono gli amministratori di sistema?
• La resilienza umana: L’attacco passa anche attraverso tecniche di ingegneria sociale (phishing, vishing)?

È il livello più alto di verifica della sicurezza, spesso richiesto da enti di alto profilo o a seguito di un importante cambiamento infrastrutturale.

6. Due Diligence di Sicurezza (M&A e Fusioni)

Quando una PA acquisisce un nuovo software da un fornitore esterno o quando due enti si fondono, è necessario un Due Diligence di Sicurezza. Questo assessment valuta il profilo di rischio cibernetico dell’oggetto dell’acquisizione o del nuovo fornitore.

• Cosa si verifica: La sicurezza del codice sorgente, le policy del fornitore, la storia degli incidenti, la compliance con gli standard richiesti.
• Perché è importante: Per evitare di “importare” vulnerabilità critiche o debiti tecnici che richiederebbero costi di rimedio ingenti successivamente all’acquisizione o all’aggiudicazione dell’appalto.

Conclusioni: Quale tipologia scegliere?

La scelta della tipologia di Vulnerability Assessment dipende da:

• La fase di maturità della sicurezza: Se parti da zero, inizia con uno scanning e una valutazione strutturata (Gap Analysis) per mappare il campo.
• Il budget disponibile: Lo scanning è economico; il Penetration Test e il Red Teaming richiedono investimenti maggiori ma offrono una valutazione di impatto superiore.
• La criticità del sistema: Un portale cittadino esposto su internet richiede un Penetration Test annuale; un database interno di archivio potrebbe bastare con scansione trimestrale e monitoraggio continuo.
• Requisiti normativi: Il NIS2 impone controlli periodici e una valutazione del rischio specifica che va ben oltre lo scanning base.

Comprendere queste tipologie permette alla tua PA di non accontentarsi di un generico “check” ma di investire in servizi mirati che aumentano effettivamente la sicurezza e la continuità operativa.

CTA Hard: Non lasciare che le vulnerabilità indifese mettano a rischio i servizi ai cittadini. La tua PA merita una sicurezza su misura. Contatta Culture Digitali Srl oggi stesso per una consulenza preliminare gratuita: analizzeremo insieme le tue esigenze e ti proporremo il piano di assessment più adatto, garantendo massima trasparenza su costi e tempistiche.

Vulnerability Assessment su Reti e Infrastrutture (Network VA)

Web Application Vulnerability Assessment (WVA): Protezione dei portali istituzionali

VA su Cloud e Ambienti Ibridi (Paas, Saas, Iaas) nelle Amministrazioni

Vulnerability Assessment su Mainframe e Sistemi Legacy (COBOL, AS/400)

Processo Metodologico e Fasi della Vulnerability Assessment

Fase 1: Scoping, Inventario Asset e Definizione del Perimetro (Asset Discovery)

Fase 2: Scansione Automatica e Rilevamento CVE (Nessus, OpenVAS, Qualys)

Fase 3: Analisi Manuale e Verifica dei Falsi Positivi (Validation)

Fase 4: Valutazione del Rischio e Classificazione (CVSS vs Risk Matrix PA)

Costi della Vulnerability Assessment: Analisi Dettagliata

Modelli di pricing e preventivi: forfait, a pacchetto o a runtime?

Fattori che influenzano il costo: Perimetro, Tipologia e Tecnologie

Costo per asset vs costo a scansione: cosa conviene alla PA?

Range di prezzo indicativi per Comuni, ASL e Ministeri

Tempistiche di Esecuzione e Durata dei Progetti VA

Tempi tecnici di scansione: dipendenza dalla larghezza di banda e complessità

Dalla richiesta al report: SLA standard e tempi di attesa nelle PA

Frequenza consigliata: Continua vs Periodica (Mensile/Trimestrale)

Servizi Tipici offerti ai Clienti PA: Vendor e Consulenza

Vulnerability Assessment interno (In-house) vs Terziarizzazione

Servizi inclusi: Reporting, Patch Management e Assistance post-VA

Piattaforme gestite (MSSP) e strumenti open-source per PA con budget limitato

Aspetti Normativi e Procurement: Come comprare VA in PA

Codice Appalti e servicizi informatici: come inserire la VA nel bando

Framework di riferimento: CIS Controls e MISP per la PA

Data Protection by Design: gestione dei dati durante la scansione

Best Practices e Casi d’Uso nelle PA Italiane

Scenario 1: Vulnerability Assessment in un Comune medio (500-1000 dipendenti)

Scenario 2: VA per una Azienda Sanitaria Locale (ASL) con apparati IoT

Evitare i falsi negativi e le interruzioni di servizio durante le scansioni

Conclusioni e Prospettive Future

Vulnerability Assessment vs Penetration Test: differenze e integrazione

Vulnerability Assessment vs Penetration Test: differenze e integrazione

Capire la differenza tra Vulnerability Assessment (VA) e Penetration Test (PT) è fondamentale per pianificare una strategia di sicurezza informatica efficace per la tua Pubblica Amministrazione. Sebbene entrambi mirino a migliorare la sicurezza, approccio e risultati sono distinti.

Vulnerability Assessment (VA)

Il Vulnerability Assessment è un processo automatico e ampio mirato a identificare e classificare le vulnerabilità note in un sistema, una rete o un’applicazione. Utilizza scanner specializzati che confrontano lo stato dei sistemi con database di vulnerabilità (come CVE – Common Vulnerabilities and Exposures). L’obiettivo è fornire una panoramica rapida e completa dei punti deboli presenti, classificandoli per gravità (es. bassa, media, alta, critica). È un’attività di monitoraggio continuo, ideale per rilevare nuove vulnerabilità appena emergono e per garantire la conformità normativa.

Penetration Test (PT)

Il Penetration Test, o ethical hacking, è un processo manuale e mirato che simula un attacco realistico da parte di un hacker malintenzionato. L’obiettivo non è solo trovare le vulnerabilità, ma sfruttarle attivamente per comprendere il danno potenziale e il rischio reale per l’organizzazione. Un penetration tester utilizza tecniche avanzate per superare le difese, accedere a dati sensibili o compromettere i servizi, fornendo una valutazione qualitativa e contestualizzata della sicurezza.

Integrazione strategica: un approccio a due livelli

Per una sicurezza robusta, i due approcci non sono alternativi ma complementari:

• 1. Scansione (VA): Eseguita periodicamente (es. mensile o trimestrale) per monitorare l’infrastruttura e identificare rapidamente le criticità superficiali.
• 2. Valutazione approfondita (PT): Effettuata annualmente o in corrispondenza di cambiamenti significativi (es. nuovo servizio online) per testare le difese in scenari realistici e complessi.

Questa sinergia permette di mantenere una sicurezza proattiva, bilanciando la copertura di superficie con la profondità di analisi. In Culture Digitali Srl integriamo VA e PT per offrire una valutazione completa, aiutando la tua PA a rispettare le normative e a proteggere i dati dei cittadini.

Tendenze future: Threat Intelligence e Automazione nella PA

Il panorama della sicurezza informatica nelle Pubbliche Amministrazioni è in rapida evoluzione. Le vulnerabilità informatiche sono destinate a diventare più complesse e difficili da identificare. Per rispondere a queste sfide emergono due trend dominanti: la Threat Intelligence e l’automazione avanzata.

La Threat Intelligence permette di passare da un approccio difensivo reattivo a uno proattivo. Invece di attendere l’attacco, la PA analizza i dati provenienti da fonti globali per identificare minacce specifiche prima che colpiscano il territorio nazionale. In questo modo, le istituzioni possono anticipare le mosse dei cybercriminali, proteggendo meglio dati sensibili e servizi essenziali.

Parallelamente, l’automazione diventa cruciale per gestire la vastità degli attacchi. Con l’aumento esponenziale dei dispositivi connessi (IoT), l’analisi manuale non è più sostenibile. Piattaforme automatizzate eseguono scansioni continue, intercettano anomalie in tempo reale e orchestrano le risposte immediate, riducendo drasticamente le tempistiche di intervento e l’errore umano.

Integrare queste tecnologie non è più un’opzione, ma una necessità per garantire resilienza e continuità operativa.

Stai valutando come integrare la Threat Intelligence nei tuoi processi?
Scopri la nostra suite di soluzioni automatizzate per la protezione delle reti PA.

Esplora i nostri servizi di sicurezza →

Domande Frequenti (FAQ)

Quanto costa una Vulnerability Assessment per una PA?

I costi variano in base alla dimensione dell’infrastruttura e alla tipologia di test. Per un piccolo Comune, i prezzi partono da 1.500€ a scansione per l’esterno (network) e possono arrivare a 10.000€+ per analisi approfondite di web application e sistemi legacy. Le grandi Amministrazioni (Ministeri, Regioni) possono spendere da 50.000€ a oltre 100.000€ annui per servizi di Vulnerability Management continuo inclusi nella consulenza.

Quanto tempo ci vuole per effettuare una scansione di vulnerabilità?

Una scansione automatica standard dura da poche ore a 2-3 giorni lavorativi, a seconda del numero di IP da analizzare (es. 200 vs 20.000). La fase di analisi manuale dei risultati, validazione dei falsi positivi e generazione del report richiede ulteriori 3-5 giorni lavorativi. L’intero progetto VA, dalla raccolta requisiti alla presentazione finale, si attesta solitamente su 2 settimane.

Quali sono i servizi tipici inclusi in un pacchetto VA per la PA?

I servizi standard includono: scoperta automatica degli asset, scansione di vulnerabilità, ranking del rischio (CVSS), report dettagliato con soluzioni di mitigazione, testing di re-test dopo il patching e spesso una consulenza tecnica per la remediation. Alcuni fornitori includono anche monitoraggio continuo (Vulnerability Management as a Service – VMaaS).

La Vulnerability Assessment è obbligatoria per legge per le PA?

Sì, indirettamente. Il Regolamento Europeo NIS 2 (che impatta pesantemente sulle PA italiane) richiede misure tecniche di sicurezza adeguate, inclusa la gestione delle vulnerabilità. Inoltre, il PNRR (Missione 1) richiede l’adozione di procedure di sicurezza informatica per gli enti beneficiari. Il D.Lgs 81/2008 (Sicurezza sul lavoro informatica) e il GDPR impone altresì una valutazione dei rischi costante.

Quali sono gli strumenti più utilizzati per le VA nelle PA?

Gli strumenti più diffusi sono Nessus (Tenable), OpenVAS (open-source, molto usato da enti con budget limitato), Qualys e Rapid7 InsightVM. Per le web application si usano Acunetix, Burp Suite Professional e OWASP ZAP. Molti Comuni scelgono soluzioni in cloud o gestite (MSSP) per evitare costi hardware e gestione interna.

È meglio fare la VA internamente o esternalizzarla?

Per la maggior parte delle PA italiane, l’esternalizzazione a un fornitore specializzato (Consulenza Cisa/Sicurezza) è preferibile perché garantisce competenze aggiornate (evoluzione minacce), strumenti professionali costosi e pareri di terze parti necessari per il procurement. La gestione interna richiede personale specializzato spesso carente negli enti piccoli e medi.

Contattaci

contattaci per saperne di più