Penetration Testing

Un Penetration Test, o test di penetrazione, è un tentativo di valutare la sicurezza di un'infrastruttura IT tentando di sfruttare in modo sicuro le vulnerabilità. Queste vulnerabilità possono esistere nei difetti del sistema operativo, del servizio e dell'applicazione, nelle configurazioni errate o nel comportamento rischioso dell'utente finale. Tali valutazioni sono utili anche per verificare l'efficacia dei meccanismi di difesa e la conformità dell'utente finale alle politiche di sicurezza.

Qual è la differenza tra Vulnerability Assessment e Penetration Testing?

I Vulnerability Assessment vengono in genere eseguite utilizzando strumenti che analizzano l'ambiente e, una volta completate, creano un report delle vulnerabilità rilevate. Questi scanner in genere elencano le vulnerabilità con identificatori CVE che forniscono informazioni sui punti deboli noti. Gli scanner possono trovare migliaia di vulnerabilità, quindi ce ne sono probabilmente abbastanza critiche da giustificare un'ulteriore definizione delle priorità. Inoltre, questi punteggi non tengono conto di alcun singolo ambiente IT. È qui che entrano in gioco i test di penetrazione.

Perché i Penetration Test sono importanti?

I Penetration Test sono importanti perché sono uno dei modi migliori per trovare e correggere le vulnerabilità di sicurezza in un sistema prima che un utente malintenzionato abbia la possibilità di sfruttarle. Conducendo test di penetrazione, le organizzazioni possono prevenire o mitigare i danni che un utente malintenzionato potrebbe causare se sfruttassero con successo una vulnerabilità di sicurezza.

Per proteggerti, dovresti condurre regolarmente test di penetrazione per:

• Identificare falle di sicurezza in modo da poterle risolvere o implementare controlli appropriati;

• Assicurati che i controlli di sicurezza esistenti siano efficaci;

• Identificare nuovi bug nel software esistente;

• Testare nuovi software e sistemi per i bug;

• Supportare la conformità della tua organizzazione con il GDPR (regolamento generale sulla protezione dei dati) e DPA (Data Protection Act) 2018 e altre leggi e regolamenti pertinenti sulla privacy e sulla sicurezza;

• Aiutare a conformarsi a standard come PCI DSS (Payment Card Industry Data Security Standard);

• Assicura ai clienti e agli altri stakeholder che i loro dati sono protetti.