PTES
Strutturazione dell'incarico, raccolta di informazioni, modellazione delle minacce, validazione e redazione del rapporto.
Test di penetrazione
Penetration test delle reti
Una valutazione controllata dell'infrastruttura di rete esposta a Internet o utilizzata internamente, eseguita nel rispetto delle finestre temporali e delle regole di ingaggio concordate per i test.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Superficie di attacco pubblica e servizi esposti
Configurazione dei servizi di rete ed esposizione dovuta a patch mancanti
Segmentazione e confini di fiducia
Autenticazione e interfacce amministrative
Percorsi controllati di acquisizione dei privilegi e movimento laterale
Registrazione dei log e visibilità a fini di difesa
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
NIST SP 800-115
Pianificazione, esecuzione e analisi della valutazione tecnica, con indicazioni per la mitigazione.
CIS Controls
Contesto delle misure di protezione relative ad asset, accesso, configurazione, registrazione dei log e monitoraggio della rete.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Sintesi direzionale e documentazione dell'ambito
Risultanze tecniche supportate da evidenze
Valutazioni del rischio e dell'impatto aziendale
Piano di correzione ordinato per priorità
Attestazione del nuovo test per le correzioni concordate
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.