*Aggiornato il 10/12/2026
Le cinque fasi del penetration test trattate in questa guida sono: ricognizione, scansione, valutazione delle vulnerabilità, sfruttamento e reportistica. Insieme, aiutano le organizzazioni a identificare i punti deboli della sicurezza, a comprendere in che modo gli aggressori potrebbero sfruttarli e a stabilire le priorità per la loro risoluzione.
Il test di penetrazione, noto anche come pen test, è una valutazione di sicurezza autorizzata che combina competenze specialistiche con strumenti automatizzati per individuare le vulnerabilità e dimostrarne il potenziale impatto.
Nel 2026, l’ambito dei test dovrà riflettere il modo in cui opera la vostra azienda. Ciò potrebbe includere reti interne, applicazioni esposte a Internet, ambienti cloud, API e sistemi di gestione delle identità. L’obiettivo è rispondere a una domanda concreta: da dove potrebbe un aggressore ottenere l’accesso e cosa potrebbe fare in seguito?
Sebbene questo articolo suddivida il processo tecnico in cinque fasi, le metodologie utilizzano nomi e strutture di fase diversi. La pianificazione e l’autorizzazione devono precedere il test.
La vostra organizzazione e il fornitore dei test dovrebbero concordare quali sistemi rientrano nell’ambito di applicazione, gli obiettivi, le tecniche consentite, le finestre temporali per i test ed eventuali esclusioni. Dovrebbero inoltre stabilire i contatti di emergenza, i requisiti per il trattamento dei dati e le condizioni per la sospensione del test.
Queste regole di ingaggio forniscono ai tester confini chiari e aiutano a gestire il rischio operativo. Il NIST le identifica come linee guida e vincoli stabiliti prima dell’inizio di un test di sicurezza.
La ricognizione è la fase di raccolta delle informazioni del test di penetrazione. Aiuta i tester a comprendere l’ambiente e a identificare potenziali punti di ingresso all’interno dell’ambito concordato.
Ciò può comportare l’analisi di nomi di dominio, indirizzi IP, servizi accessibili pubblicamente, informazioni sulle applicazioni e dettagli forniti dai vostri team tecnici.
Le informazioni disponibili dipendono dall’incarico. Alcuni test iniziano con una conoscenza limitata dell’ambiente, mentre altri includono la documentazione dell’architettura, account di test e l’accesso alle configurazioni pertinenti.
Il risultato è un quadro più chiaro dei sistemi oggetto di valutazione e delle aree in cui è necessaria un’ulteriore indagine.
La scansione utilizza strumenti tecnici per individuare sistemi attivi, porte aperte, servizi e potenziali vulnerabilità.
Può aiutare a identificare software obsoleto, interfacce amministrative esposte e problemi di configurazione. Per le applicazioni, l’individuazione può anche comportare la mappatura di pagine accessibili, endpoint e funzionalità.
Tuttavia, un risultato rilevato dallo scanner non costituisce automaticamente un rischio di sicurezza confermato. I risultati devono essere esaminati nel contesto: il servizio interessato è accessibile, sono presenti controlli di mitigazione e il risultato si applica alla configurazione effettiva?
La scansione offre ai tester un punto di partenza per un’indagine più approfondita.
Durante la valutazione delle vulnerabilità, i tester esaminano i potenziali punti deboli per stabilire quali siano rilevanti e in che modo potrebbero influire sull’organizzazione.
Questo processo combina i risultati automatizzati con l’analisi manuale. Per le applicazioni web, i test possono riguardare l’autenticazione, l’autorizzazione, la gestione delle sessioni, la convalida degli input e la logica di business. Queste sono alcune delle aree trattate dalla Guida OWASP ai test di sicurezza web.
L’analisi manuale è particolarmente importante quando un punto debole dipende dal funzionamento dell’applicazione. Ad esempio, un utente potrebbe essere in grado di accedere alle informazioni di un altro cliente nonostante disponga di un account valido e abbia effettuato con successo l’autenticazione.
I tester valutano inoltre come le vulnerabilità interagiscono tra loro. Un servizio esposto e autorizzazioni eccessive sull’account possono creare, insieme, un rischio più grave rispetto a quanto suggerirebbe la valutazione di ciascuna di esse considerata isolatamente.
Questa fase aiuta a determinare quali problemi giustifichino uno sfruttamento controllato e un’ulteriore valutazione dell’impatto.
Lo sfruttamento comporta tentativi controllati di utilizzare le vulnerabilità identificate nel rispetto delle regole di ingaggio concordate.
Lo scopo è stabilire se una vulnerabilità possa essere sfruttata e quale tipo di accesso possa consentire. A seconda dell’ambito, i tester possono valutare se è possibile aggirare i controlli di accesso, ottenere privilegi aggiuntivi o raggiungere altri sistemi.
Ad esempio, un test potrebbe dimostrare che un account con privilegi limitati può accedere a funzionalità riservate. Ciò fornisce all’organizzazione la prova della vulnerabilità e delle sue conseguenze.
L’obiettivo è dimostrare l’impatto utilizzando il minimo necessario di attività. Causare interruzioni o estrarre grandi volumi di dati sensibili non è un requisito di routine. Qualsiasi tecnica potenzialmente dirompente richiede una valutazione specifica e un accordo prima dell’uso.
I tester devono documentare le prove e comunicare tempestivamente i risultati significativi, in modo che l’organizzazione possa intervenire.
Il rapporto sul test di penetrazione spiega cosa è stato testato, cosa è stato scoperto e quali azioni l’organizzazione dovrebbe intraprendere in seguito.
Un rapporto utile dovrebbe includere:
I team tecnici hanno bisogno di dettagli sufficienti per comprendere e risolvere ogni problema. Gli stakeholder aziendali devono comprendere le potenziali conseguenze e quali miglioramenti meritano la priorità. Anche le linee guida dell’NCSC sottolineano l’importanza di segnalare i problemi di sicurezza, i relativi rischi e i metodi di risoluzione.
La segnalazione dovrebbe portare all’azione. Assegnare i responsabili, concordare le scadenze per la risoluzione e organizzare nuovi test per verificare se le correzioni risolvono i problemi originariamente individuati.
Iniziate dai sistemi, dai dati e dai servizi da cui dipende la vostra organizzazione. Un programma di test dovrebbe riflettere i cambiamenti di tale ambiente, incluse le nuove applicazioni, le implementazioni cloud, le integrazioni e le modalità di accesso.
Verificate se l’ambito di applicazione copra le connessioni tra i sistemi oltre che i singoli componenti. Un’applicazione può sembrare sicura, mentre le vulnerabilità nella sua API o nelle autorizzazioni espongono informazioni sensibili.
Laddove siano coinvolte applicazioni basate sull’intelligenza artificiale, discutete le loro funzionalità specifiche e i rischi durante la definizione dell’ambito. Non date per scontato che un test convenzionale dell’infrastruttura o dell’applicazione valuti automaticamente ogni comportamento correlato all’IA.
I test devono inoltre affiancare una gestione continua delle vulnerabilità. Un test di penetrazione fornisce prove relative all’ambito concordato in un determinato momento; modifiche successive possono introdurre nuove vulnerabilità.
I servizi di test di penetrazione accreditati CREST di Integrity360 valutano reti, applicazioni, ambienti cloud, identità e dispositivi connessi. I nostri specialisti combinano strumenti automatizzati con test manuali per indagare sui percorsi di attacco e illustrarne il potenziale impatto sul business.
Adattiamo gli interventi al vostro ambiente, ai vostri obiettivi e al vostro profilo di rischio, fornendo risultati chiari e indicazioni pratiche per la correzione, al fine di aiutare i vostri team a stabilire le priorità di miglioramento.
Scoprite i servizi di test di penetrazione di Integrity360 e parlate con il nostro team delle vostre esigenze di test.
Un test di penetrazione è una valutazione autorizzata in cui specialisti della sicurezza identificano i punti deboli e tentano uno sfruttamento controllato. Aiuta le organizzazioni a comprendere come potrebbero essere sfruttate le vulnerabilità e quale impatto potrebbe avere un attacco riuscito.
Questa guida descrive cinque fasi: ricognizione, scansione, valutazione delle vulnerabilità, sfruttamento e reportistica. A seconda delle diverse metodologie, queste attività possono essere raggruppate in modo diverso. La definizione dell’ambito e l’autorizzazione precedono il test, mentre la correzione delle vulnerabilità e il retest seguono i risultati.
La scansione delle vulnerabilità utilizza strumenti automatizzati per identificare potenziali punti deboli, in particolare le vulnerabilità note. Il test di penetrazione aggiunge un’indagine specialistica e uno sfruttamento controllato per valutare se i punti deboli possano essere sfruttati e quali potrebbero essere le conseguenze.
La frequenza dei test dovrebbe riflettere il livello di rischio della vostra organizzazione, l’importanza dei sistemi coinvolti e i requisiti contrattuali o di conformità applicabili. Anche modifiche significative alle applicazioni, all’infrastruttura o alle modalità di accesso dovrebbero determinare una revisione delle esigenze di test.
I test possono comportare rischi operativi, in particolare quando sono coinvolti sistemi di produzione. Un ambito di applicazione chiaro, tecniche concordate, finestre di test adeguate e una comunicazione efficace aiutano a gestire tale rischio. Un fornitore responsabile dovrebbe spiegare i potenziali impatti piuttosto che promettere che non si verificheranno interruzioni.
I vostri team dovrebbero esaminare i risultati, stabilire le priorità di correzione e assegnare le responsabilità per le correzioni. Un nuovo test verifica poi se tali modifiche hanno risolto le vulnerabilità individuate. I risultati possono inoltre fornire spunti per migliorare i processi di sviluppo, configurazione e gestione delle vulnerabilità.
No. Un test di penetrazione valuta un ambito definito entro un arco di tempo concordato. Non può identificare ogni possibile punto debole né garantire la protezione contro attacchi futuri. Dovrebbe far parte di un programma di sicurezza continuo.