• Identificare e classificare i rischi e le vulnerabilità, dei sistemi e delle applicazioni aziendali costituire il primo e fondamentale layer di sicurezza preventiva, che permette una visione proattiva della Security Management.
• L’obiettivo è verificare quanto un’azienda sia potenzialmente esposta ad un attacco informatico, e quali tipi di danno, un attaccante, può infliggere al business aziendale.
• Analisi e test sulle vulnerabilità rappresentano la prima linea di difesa alla cybersecurity: è uno step essenziale, per scoprire in anticipo le aree di miglioramento, per ricorrere ad adeguate ed opportune contromisure.

Risk Assessment e Vulnerability Assessment sono processi finalizzati a:

• identificare le priorità
• identificare i beni, asset e attività da proteggere
• identificare le attività più critiche ed i colli di bottiglia
• identificare, caratterizzare e valutare le minacce
• valutare le vulnerabilità dei beni essenziali per le minacce specifiche
• determinare il rischio (ossia le conseguenze attese di specifici tipi di attacchi sulle attività specifiche)
• individuare le metodologie atte a ridurre tali rischi
• fornire la priorità alle misure di riduzione dei rischi sulla base di una strategia

• 1° FASE: IDENTIFICATION
  • Vulnerability Scanner: si sondano i sistemi per individuare i servizi in ascolto e i software installati, nonché si conduce uno screening delle versioni e configurazioni dei software, da cui dedurre le vulnerabilità note
• 2° FASE: ANALYSIS AND PRIORITIZATION
  • Viene contestualizzata la reportistica della scansione e data una priorità specifica alla singola vulnerabilità: la priorità assegnata viene ottenuta misurando diversi fattori, come i requisiti per poterla sfruttare e l’impatto che può avere sul sistema.
• 3° FASE: REMEDIATION
  • Vengono comunicate le vulnerabilità insieme alla richiesta di mitigazione delle stesse, come ad esempio applicare una patch di un sistema oppure applicare una configurazione apposita.
• 4° FASE: REASSESSMENT
  • Occorre ripetere la scansione alla ricerca delle vulnerabilità già identificate in precedenza, dopo che sono state applicate le misure di remediation.

• Garantire una Compliance legislativa (GDPR, all’articolo 32 comma 1, prevede l’obbligatorietà dell’analisi del rischio tecnologico).
• Abbattere eventuali costi che derivano da un Data Breach (Business Continuity, danni legali, di immagine e finanziari).
• Un’attività di Assessment strutturata e sistematica abilita un’organizzazione ad avere una panoramica continua e puntuale della propria superficie d’attacco: verificare la somma di tutte le vulnerabilità presenti sui propri sistemi permette di mitigarne il rischio ad essa associato in maniera tempestiva.