Assessment cybersecurity per PMI: cosa includere nel perimetro e nel preventivo

Risposta breve

Per una PMI, un assessment cybersecurity utile non è una parola nel preventivo: è un incarico con un perimetro scritto, evidenze concordate e un esito che permetta una decisione. Se il fornitore non distingue assessment, scansione vulnerabilità e penetration test, il confronto delle offerte è poco affidabile.

La distinzione di base è coerente con la NIST SP 800-115, che tratta pianificazione, conduzione e analisi delle attività di security testing and assessment, e con i CISA Cyber Hygiene Services, che separano scanning, web application scanning e remote penetration test come attività diverse. La guida CISA su Exposure Reduction aggiunge un punto pratico: senza inventario e visibilità degli asset esposti, anche una buona verifica resta incompleta.

Assessment, scansione vulnerabilità e penetration test: non sono lo stesso incarico

Per scegliere bene, conviene partire dalla domanda che vuoi risolvere.

Tipo di attività	Domanda a cui risponde	Cosa produce	Limite tipico
Assessment	Com’è messo davvero il nostro perimetro?	Valutazione di asset, configurazioni, processi, esposizioni e priorità	Non garantisce copertura totale
Vulnerability scanning	Ci sono vulnerabilità note o configurazioni deboli?	Elenco di esposizioni note o probabili	Dice poco sul contesto operativo
Penetration test	Una debolezza è sfruttabile in modo realistico?	Verifica mirata di sfruttabilità	Non sostituisce governance e remediation

La NIST SP 800-115 non invita a “fare tutto”, ma a scegliere tecniche coerenti con lo scopo. CISA, nei servizi Cyber Hygiene, presenta le attività come differenti proprio perché producono decisioni diverse: una scansione aiuta a trovare esposizioni, un web application scan verifica un’applicazione, un penetration test cerca di capire se una debolezza è sfruttabile in un contesto realistico.

Per una PMI questo ha un effetto concreto sul preventivo. Se il problema è capire se identità, email, portale, backup e logging sono governati bene, serve un assessment. Se il problema è verificare un’applicazione web esposta, può servire una scansione applicativa. Se vuoi sapere se una falla è davvero sfruttabile, entra in gioco il pentest. Confondere questi livelli produce offerte difficili da confrontare e spesso troppo generiche.

Cosa inserire nel perimetro prima di chiedere un preventivo

Un incarico utile parte da elementi concreti, non da formule come “verifica completa della sicurezza”. Per una PMI, il perimetro minimo dovrebbe descrivere almeno questi blocchi:

Identità e accesso: account amministrativi, MFA, ruoli, eventuale SSO, policy di reset e revoca.
Email e dominio: caselle, regole di inoltro, accessi esterni, protezioni antiphishing, account condivisi.
Applicazione aziendale: portale clienti, area interna, API, dipendenze esterne, configurazione di base.
Backup e ripristino: cosa viene salvato, con quale frequenza, per quanto tempo e se il restore è mai stato verificato.
Logging e monitoraggio: quali eventi sono registrati, dove finiscono, per quanto restano disponibili, chi li legge.
Esposizione Internet: domini, sottodomini, endpoint, VPN, pannelli di amministrazione e servizi pubblici.

Questo elenco va adattato al contesto, ma il principio non cambia: il fornitore deve vedere ciò che serve per giudicare il rischio reale, non solo una superficie tecnica astratta. La CISA insiste proprio su inventario, visibilità degli asset e riduzione dell’esposizione come prerequisiti difensivi.

Caso simulato editoriale: una PMI con email, portale e backup

Caso simulato editoriale — non è una testimonianza reale e non va letto come prova di un cliente o di un servizio effettivamente eseguito.

Inventario da includere nel perimetro

Identità: 18 utenti su Microsoft 365; MFA attiva solo per gli amministratori; nessun SSO federato.
Email: dominio aziendale con posta ospitata nel cloud provider.
Applicazione aziendale: portale web per ordini e assistenza clienti, esposto in HTTPS.
Backup: backup giornaliero del database e delle caselle email, retention 30 giorni.
Infrastruttura minima: un server applicativo, un database gestito, un reverse proxy e un endpoint VPN per il personale remoto.

Accessi strettamente necessari

accesso in sola lettura a inventario e configurazioni rilevanti;
account di test con privilegi minimi;
finestra concordata per verifiche non distruttive;
referente interno per falsi positivi, blocchi e chiarimenti.

Evidenze richieste nel report

inventario degli asset osservati;
elenco delle esposizioni Internet-facing;
stato sintetico di MFA, backup e logging;
rilievi ordinati per priorità;
prova di chiusura o accettazione del rischio per ogni punto.

Quattro rilievi fittizi, con priorità motivate

MFA non obbligatoria per tutti gli utenti — priorità alta: un account compromesso può diventare un accesso persistente a email e portale.
Header di sicurezza incompleti sul portale — priorità alta: aumenta l’esposizione dell’applicazione più visibile, quindi quella più appetibile per attacchi opportunistici.
Backup presenti ma mai testati in ripristino applicativo — priorità medio-alta: il dato esiste, ma non è dimostrato che sia davvero recuperabile nel processo reale.
Logging presente ma non centralizzato — priorità media: il problema principale non è solo vedere un evento, ma poterlo ricostruire in tempi utili.

Queste priorità sono simulate ed editoriali: non derivano da un punteggio CVSS inventato, ma dal ruolo del controllo nel rischio operativo, nella facilità di correzione e nell’impatto sul business.

Tabella rischio / controllo / evidenza / responsabile

Rischio osservato	Controllo da verificare	Evidenza attesa	Responsabile
Accesso email con autenticazione debole	MFA obbligatoria per tutti gli utenti	Screenshot o export delle policy, elenco eccezioni	IT / Identity admin
Portale esposto con hardening incompleto	Configurazione di sicurezza dell’applicazione	Rilievo tecnico, prova di correzione, nuovo controllo	Responsabile applicativo
Backup non provato in restore	Esecuzione di un ripristino di test	Verbale del restore, esito, tempi, eventuali errori	IT operations
Logging frammentato	Centralizzazione e consultazione dei log	Esempio di evento rintracciato end-to-end	Security o sysadmin
Esposizioni Internet non censite	Inventario e revisione dell’asset exposure	Lista domini, servizi e interfacce	IT / fornitore

La tabella aiuta a tenere separati tre livelli: rischio, controllo, evidenza. Se uno dei tre manca, il report è meno utile. Un elenco di vulnerabilità senza responsabile non chiude nulla; un controllo dichiarato senza prova non è ancora un controllo verificato.

Scheda di richiesta riutilizzabile per il preventivo

Puoi copiarla quasi così com’è e adattarla al tuo contesto.

Obiettivo dell’incarico
Valutare il perimetro di sicurezza reale della nostra PMI, con focus su identità, email, applicazione aziendale esposta, backup e logging.

Asset inclusi
- account e policy di accesso
- dominio e caselle email
- applicazione web/portale e API collegate
- database e backup
- logging e monitoraggio di base

Attività richieste
- assessment del perimetro e delle configurazioni
- verifica delle esposizioni Internet-facing
- review dei controlli di accesso, backup e logging
- rilievi prioritizzati con evidenze
- incontro finale di spiegazione dei risultati

Attività escluse salvo accordo scritto
- exploit offensivi non concordati
- stress test o test distruttivi
- interventi di remediation
- verifiche su sistemi non inclusi nell’inventario

Evidenze da produrre
- elenco asset osservati
- metodologia usata
- rilievi con priorità e motivazione
- proof of finding per ogni rilievo
- chiusura con conferma del referente

Restrizioni operative
- nessuna credenziale reale condivisa in chiaro
- nessun accesso oltre il minimo necessario
- nessuna copia non autorizzata di dati sensibili
- nessun test fuori finestra concordata

Come confrontare i fornitori senza farti guidare dal nome più bello

Quando arrivano più preventivi, confrontali su criteri semplici e verificabili:

Il perimetro è scritto? Se non distingue assessment, scanning e pentest, fermati.
Le evidenze sono descritte? Se il fornitore parla solo di “report finale”, chiedi che tipo di prova consegna.
Gli accessi sono limitati? Un fornitore serio spiega quali permessi gli servono e per quanto tempo.
La priorità è motivata? Un buon report spiega perché un rilievo viene prima di un altro.
C’è una fase di chiusura? Il lavoro non finisce con l’invio del PDF: serve una review finale con il referente interno.
È chiaro cosa non farà? Le esclusioni non sono un difetto, se sono dichiarate prima.
Si può rifare il controllo dopo le correzioni? Se il metodo non è ripetibile, il miglioramento resta difficile da dimostrare.

Il punto commerciale è semplice: il miglior preventivo non è quello che promette di più, ma quello che rende espliciti i limiti e consente un confronto equo.

Come gestire in modo sicuro le evidenze

Le evidenze sono spesso il punto più sottovalutato. Nel preventivo conviene chiedere in modo esplicito:

dove salva screenshot, export e note;
per quanto tempo conserva il materiale;
chi può accedervi;
come elimina i dati a fine lavoro;
se le evidenze includono dati mascherati o minimizzati;
se il materiale viene condiviso con un canale sicuro e tracciabile.

Questa richiesta non è burocratica: serve a evitare che un assessment produca ulteriore rischio documentale. Se il fornitore raccoglie prove sensibili, deve anche saperle trattare con la stessa attenzione con cui tratta le configurazioni tecniche.

Dopo la consegna: cosa verificare davvero

Un assessment utile non si chiude con il PDF. Dopo la consegna chiedi tre cose molto pratiche:

quali rilievi sono chiusi;
quali sono aperti con un piano;
quali sono accettati consapevolmente dal business, con motivazione.

Poi programma una verifica di follow-up a distanza di alcune settimane. Non per inseguire numeri impressionanti, ma per controllare se i punti ad alta priorità sono stati lavorati davvero. Qui si passa dalla fotografia alla decisione.

Dal punto di vista operativo, i risultati dovrebbero aiutare almeno quattro azioni:

Prevenzione: rafforzare MFA, configurazioni di sicurezza, esposizioni Internet e policy di accesso.
Rilevamento: migliorare logging, centralizzazione, alert e visibilità degli eventi rilevanti.
Contenimento: limitare il raggio d’azione di un eventuale incidente con ruoli, segmentazione e revoca rapida degli accessi.
Ripristino: verificare che backup e procedure permettano davvero di tornare operativi.

Se il tema specifico è il ripristino, una verifica separata è spesso utile: AWS Backup: come progettare una prova di ripristino che verifichi anche l’applicazione. È un passo diverso dall’assessment, ma molto vicino alla domanda che una PMI si pone quando vuole capire se il dato salvato è davvero recuperabile.

Dove collocare questo lavoro nel catalogo servizi

Se stai preparando un confronto con un fornitore, il servizio più vicino nel catalogo Dedaloop è Cybersecurity e infrastrutture cloud, perché il tema non è solo tecnico ma di architettura, visibilità e controllo operativo. Per esplorare il catalogo in modo più ampio puoi usare anche Servizi Dedaloop e, quando hai già un perimetro minimo da descrivere senza inviare credenziali o dati sensibili, la pagina Contatti Dedaloop.

In sintesi

Per una PMI, un assessment cybersecurity davvero utile non è una promessa generica di protezione: è un incarico delimitato, con evidenze concordate, responsabilità chiare e un esito che supporta una decisione. Se il fornitore non distingue assessment, scansione vulnerabilità e penetration test, o se non sa dirti quali prove produrrà e chi dovrà chiudere i rilievi, il preventivo non è ancora pronto.

La domanda giusta non è “quanto costa la cybersecurity?”, ma “che cosa devo comprare per sapere dove sono esposto, con quali prove e con quale piano di correzione?”.