Cosa include un penetration test e come prepararlo

Un penetration test (pentest) simula in modo controllato l’attacco di un terzo per trovare le vulnerabilità prima che lo faccia un vero aggressore.

Cosa include

• Definizione dell’ambito: quali sistemi vengono testati (applicazioni web, API, app mobili, infrastruttura) e cosa ne resta fuori.
• Regole d’ingaggio: date, orari, tecniche consentite e contatti di emergenza.
• Test: ricognizione, ricerca delle vulnerabilità e verifica della loro sfruttabilità.
• Report: risultati ordinati per rischio, evidenze e raccomandazioni chiare.
• Piano di rimedio: azioni concrete e, se concordato, una nuova verifica dopo le correzioni.

L’autorizzazione scritta è indispensabile

Ogni test deve avere l’autorizzazione scritta del proprietario dei sistemi. Accedere a sistemi senza permesso può costituire reato; in Colombia, ad esempio, la Legge 1273 del 2009 punisce l’accesso abusivo ai sistemi informatici.

Come prepararsi

1. Fai l’inventario dei sistemi e di chi è responsabile di ciascuno.
2. Definisci ambito e obiettivi: conformità, validazione prima di un rilascio, revisione annuale?
3. Avvisa i team interni e i fornitori che ospitano i sistemi, se necessario.
4. Esegui i backup e definisci un piano di comunicazione in caso di incidente.
5. Designa una persona responsabile di ricevere il report e coordinare il rimedio.

Test di sicurezza per le applicazioni di IA

Le applicazioni con IA aggiungono rischi propri, come istruzioni malevole che manipolano il modello, fughe di dati o agenti con permessi eccessivi. Conviene includerle nell’ambito quando la tua organizzazione usa agenti o assistenti di IA.