Verifiche tecniche: la conformità che si misura, non si scrive
Per i soggetti essenziali la Determinazione ACN prevede misure rafforzate che includono verifiche tecniche periodiche, monitoraggio potenziato e test del software prima della messa in produzione. Le verifiche producono le evidenze oggettive che la documentazione da sola non può fornire.
A chi si rivolge
Soggetti essenziali in via prioritaria; soggetti importanti che vogliono evidenze di efficacia delle misure adottate.
Il problema
Un piano di gestione delle vulnerabilità senza scansioni eseguite è un documento senza contenuto. La verifica è anche l’unico modo per sapere se le misure implementate funzionano davvero.
Cosa facciamo
- Vulnerability assessment periodico su perimetro interno ed esterno
- Penetration test con perimetro concordato e regole d’ingaggio
- Web vulnerability assessment sulle applicazioni esposte
- Code verification e test del software prima del rilascio
- Verifica delle configurazioni e audit tecnico dei fornitori critici
- Verifiche su ambienti industriali con approccio non invasivo su reti OT
Cosa consegniamo
- Report tecnico con vulnerabilità classificate per criticità e sfruttabilità
- Sintesi per la direzione con rischio di business
- Piano di remediation con priorità e tempi
- Verifica di chiusura dopo gli interventi
Riferimento normativo
Requisiti di gestione delle vulnerabilità e misure rafforzate per i soggetti essenziali, Det. ACN 379907/2025, Allegato 2.
FAQ
Il penetration test è obbligatorio?
Per i soggetti essenziali le verifiche tecniche rientrano tra le misure rafforzate. Per gli importanti sono fortemente raccomandate e spesso richieste dai clienti in scope.
Si può testare un ambiente OT?
Sì, con metodologie specifiche e non invasive. Non si applicano a una rete di controllo gli stessi strumenti usati su una rete uffici.
Con che frequenza vanno ripetute?
Almeno periodicamente e comunque dopo ogni cambiamento rilevante di infrastruttura o applicazioni: una verifica isolata nel tempo non è un’evidenza di gestione continuativa.