Un vulnerability assessment è un controllo sistematico di server, postazioni, rete, sito web, gestionali e macchinari connessi. Cerca le vulnerabilità note prima che le trovi un attaccante. In una PMI è di solito il primo intervento di cybersecurity da fare, perché costa meno di un penetration test, si può ripetere spesso e produce un elenco di correzioni ordinato per priorità. Il controllo funziona però solo se qualcuno legge il report, scarta i falsi positivi, applica le patch e poi verifica che le falle siano davvero chiuse. In questa guida trovi le differenze con il penetration test, le fasi del lavoro, come leggere i risultati e come usarli per rispettare GDPR e NIS2.
In breve
- Il vulnerability assessment individua e classifica le vulnerabilità note, ma non le sfrutta. Il penetration test invece simula un attacco reale per capire fin dove arriverebbe.
- Per una PMI con una maturità cyber ancora bassa, il vulnerability assessment viene prima: alza il livello minimo di sicurezza eliminando le falle più facili da sfruttare.
- Il report automatico è solo l’inizio. Il lavoro utile consiste nel validare i risultati, ordinarli in base all’impatto sul business, correggere e rifare il test.
- Il perimetro va oltre i PC dell’ufficio. Comprende sito web, accessi remoti, gestionali in cloud, MES, PLC e i sistemi dei fornitori.
- Ai sensi del GDPR la responsabilità resta all’impresa, anche quando il software è di terzi. Il report di vulnerabilità è una delle prove che lo dimostrano.
Indice
- Che cos’è un vulnerability assessment
- Perché le PMI italiane non possono rimandarlo
- Vulnerability assessment e penetration test: le differenze
- Come si svolge, fase per fase
- Come leggere il report senza perdersi
- Il perimetro che spesso si dimentica
- GDPR, NIS2 e responsabilità dell’impresa
- Ogni quanto ripeterlo
- Gli errori più comuni nelle PMI
- Il nostro punto di vista
- Dal controllo all’adeguamento, con un solo interlocutore
- Domande frequenti
- Fonti
Che cos’è un vulnerability assessment
Un vulnerability assessment (VA) è un’analisi tecnica in gran parte automatizzata. Confronta i sistemi dell’azienda con i database delle vulnerabilità pubbliche: software non aggiornato, servizi esposti senza motivo, configurazioni deboli, certificati scaduti, protocolli obsoleti, credenziali di default. Il risultato è un elenco di debolezze, ciascuna con una gravità e un’indicazione su come correggerla.
Il VA non attacca nessun sistema. Scopre una porta aperta e la segnala, senza provare a entrare. Per questo si può eseguire con un rischio basso per l’operatività e ripetere a intervalli regolari. Il VA dà una visione d’insieme che si aggiorna nel tempo, mentre un test di attacco fotografa un singolo momento.
In pratica un assessment per una PMI controlla di solito:
- Perimetro esterno: indirizzi IP pubblici, firewall, VPN, posta, sito e portali clienti.
- Rete interna: server, postazioni, NAS, stampanti, access point Wi-Fi.
- Applicazioni web: e-commerce, area riservata, CMS. Sui siti costruiti con CMS conviene verificare anche le estensioni installate, e una panoramica dei plugin di sicurezza per HubSpot CMS aiuta a capire quali protezioni aggiungere dopo il controllo.
- Ambienti cloud e SaaS: configurazioni, utenze con privilegi, autenticazione a più fattori.
- Sistemi industriali: PLC, HMI, gateway IoT, controllo remoto dei macchinari.
Perché le PMI italiane non possono rimandarlo
I dati ufficiali mostrano un ritardo concreto. Il Cyber Index PMI 2026 dell’Agenzia per la Cybersicurezza Nazionale assegna alle piccole e medie imprese italiane 55 punti su 100. Sono 3 punti in più rispetto al 2024, ma la soglia di sufficienza è 60. Solo il 16% delle imprese è considerato “maturo”. Il 32% è “consapevole”, il 38% “informato” e il 14% resta “principiante”, con protezioni quasi assenti.
Intanto la pressione cresce. Secondo il Rapporto Clusit 2026 ripreso da Innovation Post, gli attacchi gravi sono aumentati del 49% nel mondo e del 42% in Italia. Il 16% degli attacchi globali al settore manifatturiero ha colpito aziende italiane. Il Direttore Generale dell’ACN Bruno Frattasi, in un’intervista al Sole 24 Ore, indica le imprese manifatturiere tra i bersagli preferiti del ransomware. Ricorda anche che pagare il riscatto non libera l’azienda e la espone ad attacchi successivi.
Il ransomware entra quasi sempre da una falla già nota: una VPN non aggiornata, un servizio di desktop remoto esposto, un plugin vulnerabile. Il vulnerability assessment serve a chiudere proprio questi varchi.
Vulnerability assessment e penetration test: le differenze
I due termini vengono spesso confusi, e molte PMI pensano che un VA basti a coprire tutto. In realtà sono strumenti diversi e complementari, e conviene usarli insieme, in una strategia unica.
| Criterio | Vulnerability assessment | Penetration test |
|---|---|---|
| Obiettivo | Trovare e catalogare le vulnerabilità note | Sfruttare le falle per misurare la difesa reale |
| Metodo | Prevalentemente automatizzato, con validazione umana | Prevalentemente manuale, guidato da specialisti |
| Profondità | Ampia: copre molti sistemi | Mirata: scenari e obiettivi specifici |
| Rischio per l’operatività | Basso | Più alto, richiede finestre concordate |
| Frequenza tipica | Ricorrente | Periodica o legata a eventi |
| Impegno e costo | Minori | Più ore uomo, costi superiori |
| Risultato | Elenco di falle con priorità e rimedi | Percorso di attacco dimostrato e lacune nella risposta |
| Quando serve | Sempre, come base | Quando la sicurezza di base è già consolidata |
La sequenza più sensata per una PMI è questa: prima il VA, per eliminare le vulnerabilità note e sfruttabili in modo automatico, poi il penetration test, quando la base è solida e serve capire come reggerebbe un attacco mirato. Un pentest su un’infrastruttura piena di falle note troverebbe subito la strada più facile e direbbe poco di nuovo. Per capire quando è il momento giusto abbiamo raccolto i 7 casi in cui fare un penetration test aziendale.
Come si svolge, fase per fase
Un assessment ben fatto in una PMI segue di solito questi passaggi.
- Inventario degli asset. Si elencano sistemi, applicazioni, dati e fornitori collegati. Non si può proteggere ciò che non si conosce, e spesso è qui che emergono server dimenticati o vecchi accessi remoti ancora attivi.
- Definizione del perimetro e delle regole. Si decide cosa analizzare, con quali credenziali e in quali orari. Nelle aziende manifatturiere le scansioni sulla rete di produzione vanno concordate con chi gestisce gli impianti, perché alcuni PLC reagiscono male al traffico anomalo.
- Scansione. Si combinano analisi esterne, come le vedrebbe un attaccante da Internet, e analisi interne autenticate, che leggono versioni software e configurazioni dall’interno.
- Validazione. Gli scanner producono falsi positivi. Un tecnico verifica le segnalazioni più rilevanti ed elimina quelle senza fondamento, così il team IT non spreca giorni su problemi inesistenti.
- Prioritizzazione. Ogni falla viene pesata in base alla gravità tecnica e all’impatto sul business: quale processo blocca, quali dati espone, se il sistema è raggiungibile da Internet.
- Piano di remediation. Per ogni vulnerabilità si indica un’azione, un responsabile e una scadenza: aggiornamento, modifica della configurazione, segmentazione di rete, disattivazione del servizio. Gli aggiornamenti non riguardano solo i sistemi operativi: sapere perché gli aggiornamenti firmware sono indispensabili aiuta a non trascurare router, NAS, stampanti e dispositivi IoT.
- Retest. Dopo le correzioni si ripete la verifica, per accertare che il varco sia chiuso e che l’aggiornamento non abbia creato disservizi in produzione.
- Documentazione. Report, piano e retest restano agli atti. Servono alla direzione per decidere e servono a dimostrare l’accountability richiesta dal GDPR.
Come leggere il report senza perdersi
Un report può contenere centinaia di righe. Per orientarsi serve prima di tutto il punteggio CVSS (Common Vulnerability Scoring System), lo standard che misura la gravità tecnica di una vulnerabilità su una scala da 0 a 10. È gestito dal Forum of Incident Response and Security Teams, che ne ha pubblicato la versione 4.0 nel 2023.
Il CVSS però misura la vulnerabilità e non la tua azienda. Una falla “critica” su un server di test isolato può aspettare. Una falla “media” sul portale che usano gli agenti, raggiungibile da Internet e collegato al CRM, va corretta subito. Ecco un esempio di come ragionare:
| Situazione | Gravità CVSS | Esposizione | Impatto sul business | Priorità |
|---|---|---|---|---|
| VPN non aggiornata con exploit pubblico | Critica | Internet | Accesso a tutta la rete | Immediata |
| CMS del sito con plugin vulnerabile | Alta | Internet | Furto dati, danno d’immagine | Entro pochi giorni |
| PLC con firmware datato | Alta | Solo rete interna | Fermo linea | Pianificata, con segmentazione |
| Certificato TLS debole su intranet | Media | Rete interna | Limitato | Nel ciclo ordinario |
Il criterio è semplice: prima ciò che è esposto, sfruttabile e collegato a processi critici. Per pesare l’impatto economico di un fermo, il nostro metodo per valutare il rischio cyber in 5 passaggi con la BIA ti aiuta a dare un valore in euro a ogni scenario.
Le nuove vulnerabilità escono di continuo. A luglio 2026 il CERT-AGID ha segnalato le falle critiche “wp2shell” nel core di WordPress, CVE-2026-60137 e CVE-2026-63030, e ha raccomandato di aggiornare i sistemi. Un assessment eseguito una sola volta non le avrebbe mai rilevate.
Il perimetro che spesso si dimentica
Molte PMI controllano bene i PC dell’ufficio e trascurano tutto il resto. I punti ciechi più frequenti sono:
- Fornitori di macchinari con accessi remoti permanenti, a volte su protocolli obsoleti.
- Software di terze parti: gestionali, CRM, piattaforme per studi dentistici o hotel. Il fornitore deve darti documentazione e misure adeguate, ma la valutazione del rischio resta tua. Se gestisci dati clienti, leggi anche come mettere in sicurezza il CRM.
- IoT industriale e robotica, sempre più collegati alla rete aziendale e al cloud.
- Account cloud con privilegi eccessivi o senza autenticazione a più fattori.
L’ACN, nelle sue indicazioni per i professionisti IT delle PMI, mette al primo posto la verifica dell’affidabilità e delle referenze dei fornitori prima di firmare un contratto o esternalizzare un servizio ICT. Il vulnerability assessment è il modo pratico per controllare, dopo la firma, che quella fiducia sia ancora meritata.
GDPR, NIS2 e responsabilità dell’impresa
Il GDPR non prescrive un elenco fisso di misure. L’articolo 32 chiede un livello di sicurezza adeguato al rischio, come spiega il Garante Privacy nella pagina sulle misure di sicurezza. Per una PMI significa partire dagli asset, valutare i rischi noti e adottare misure tecniche, come patch management, aggiornamento di TLS e autenticazione a più fattori, insieme a misure organizzative come la formazione e il controllo della catena di fornitura. Un VA periodico, con il piano di correzione documentato, è una delle prove più concrete di questo processo.
C’è poi un equivoco frequente: delegare tutta la sicurezza al produttore del software. Il Codice di condotta per le imprese di software gestionale approvato dal Garante obbliga il produttore a collaborare con il cliente e a fornirgli le informazioni tecniche necessarie, anche per la valutazione d’impatto. Il titolare del trattamento resta però l’impresa. Quella documentazione va integrata nella tua analisi dei rischi, non archiviata e basta. Per mettere ordine negli adempimenti trovi la nostra guida operativa al GDPR per le PMI.
Se la tua azienda rientra nel perimetro della direttiva NIS2, la gestione delle vulnerabilità diventa parte degli obblighi di sicurezza. In quel caso conviene verificare con il referente legale o con il consulente cyber quali requisiti si applicano e con quali scadenze, prima di definire tempi e frequenza dei controlli.
Ogni quanto ripeterlo
Non esiste una cadenza valida per tutti. Dipende da quanto sei esposto e da quanto cambia la tua infrastruttura. Ci sono però situazioni in cui un nuovo controllo è sempre opportuno:
- dopo l’introduzione di un nuovo gestionale, un MES o un e-commerce;
- dopo l’apertura di accessi remoti per fornitori o per chi lavora da casa;
- dopo un incidente, anche minore;
- quando esce una vulnerabilità critica che riguarda tecnologie che usi;
- dopo ogni ciclo di correzioni, per il retest.
Le aziende con molti servizi esposti su Internet traggono vantaggio da scansioni esterne continue, affiancate da assessment interni più approfonditi a intervalli regolari.
Gli errori più comuni nelle PMI
- Comprare uno scanner e fermarsi al PDF. Senza validazione e priorità, il report resta in un cassetto.
- Correggere in ordine di CVSS e basta. Si ignora il contesto e si lasciano aperte le falle esposte su sistemi critici.
- Escludere la produzione per paura di fermi. Si può includere con finestre concordate e scansioni non invasive.
- Saltare il retest. Una patch applicata male non chiude il varco.
- Confondere VA e sicurezza completa. Il VA non misura né la formazione delle persone né la capacità di reagire a un incidente.
Per un quadro più ampio, che comprenda anche i rischi organizzativi, vedi la nostra guida all’analisi dei rischi informatici nelle PMI. Se operi nel manifatturiero, trovi indicazioni specifiche nell’articolo sulla cybersecurity per aziende manifatturiere.
Il nostro punto di vista
Nel nostro lavoro con le PMI italiane la scansione è quasi sempre la parte più semplice. La difficoltà vera viene dopo, quando bisogna tradurre centinaia di segnalazioni in poche decisioni chiare per un’azienda che non può fermare la linea, il cantiere o la reception dell’hotel. Per questo consideriamo il vulnerability assessment un processo e non un documento: inventario, validazione umana, priorità legate ai processi reali, correzione, retest.
Sviluppiamo in Italia software gestionali, MES, CMMS e piattaforme logistiche, e sappiamo quanto i sistemi di un’azienda siano ormai collegati tra loro. Una falla nel gestionale può arrivare fino alla produzione, e un accesso remoto lasciato aperto a un fornitore può raggiungere i dati dei clienti. Per questo, quando analizziamo le vulnerabilità, guardiamo l’intera catena e non i singoli dispositivi.
Il vero bivio non è tra sicurezza perfetta e nessuna sicurezza. È tra un rischio subìto e un rischio gestito con consapevolezza. Noi scegliamo il secondo.
— Ufficio
Dal controllo all’adeguamento, con un solo interlocutore
Ingenia affianca le PMI con servizi di cybersecurity per aziende: audit di sicurezza, adeguamento a NIS2, ISO 27001 e GDPR, protezione dei dati. Il vulnerability assessment diventa così il punto di partenza di un percorso documentato, integrato con i software che già usi. Se vuoi capire da dove iniziare, scopri i nostri servizi di cybersecurity per PMI.
Domande frequenti
Il vulnerability assessment può bloccare i sistemi aziendali?
Il rischio è basso, perché il VA non sfrutta le vulnerabilità. Su apparati delicati, come PLC o vecchi dispositivi di rete, alcune scansioni possono comunque causare rallentamenti. Per questo si concordano perimetro, orari e tipo di scansione, soprattutto sulla rete di produzione.
Quanto costa un vulnerability assessment per una PMI?
Il costo dipende soprattutto dal perimetro: numero di indirizzi IP, applicazioni web, sedi, presenza di sistemi industriali e necessità di retest. Il VA è in genere meno impegnativo di un penetration test, perché richiede meno ore di lavoro specialistico. Conviene chiedere un preventivo che includa validazione, priorità e retest, non solo la scansione.
Basta un vulnerability assessment per essere in regola con il GDPR?
No. Il GDPR chiede misure adeguate al rischio, tecniche e organizzative. Il VA è una prova importante della parte tecnica, ma da solo non basta: servono anche formazione, gestione dei fornitori, procedure per gli incidenti e documentazione dell’analisi dei rischi.
Meglio partire dal vulnerability assessment o dal penetration test?
Per la maggior parte delle PMI conviene partire dal vulnerability assessment. Elimina le vulnerabilità note e porta la sicurezza a un livello di base solido. Il penetration test diventa utile dopo, per verificare come reggerebbe un attacco mirato.
Fonti
- ACN, Cyber Index PMI 2026
- ACN, intervista a Bruno Frattasi al Sole 24 Ore
- ACN, indicazioni per i professionisti IT delle PMI
- Innovation Post, Rapporto Clusit 2026
- CompTIA, penetration testing e vulnerability assessment
- Securityinfo.it, FIRST rilascia il CVSS 4.0
- CERT-AGID, vulnerabilità wp2shell in WordPress
- Garante Privacy, misure di sicurezza
- Garante Privacy, Codice di condotta per il software gestionale
