Mercato italiano
Penetration test per le organizzazioni che operano in Italia
Il recepimento della direttiva NIS2 ha ampliato in modo consistente la platea dei soggetti obbligati: molte aziende italiane devono oggi dimostrare, con un penetration test documentato, misure di sicurezza che fino a ieri erano una scelta discrezionale.
Documentazione e report in italiano. Riunioni negli orari lavorativi locali.
Domanda del mercato
Perché le aziende italiane ci contattano
Obblighi introdotti dal D.Lgs. 138/2024
Soggetti essenziali e importanti devono adottare misure proporzionate al rischio e dimostrarne l'efficacia. Il report fornisce l'evidenza tecnica corrispondente.
Richieste che arrivano dai clienti
Le grandi organizzazioni trasferiscono gli obblighi lungo la filiera: fornire software o servizi a un soggetto obbligato comporta questionari e verifiche indipendenti.
Certificazioni in scadenza
ISO 27001 e SOC 2 richiedono verifiche tecniche documentate. Pianifichiamo con il giusto anticipo rispetto alla finestra di audit, includendo remediation e retest.
Gare e qualificazione
Molti capitolati italiani richiedono servizi di vulnerability assessment e penetration test con deliverable specifici. Adattiamo il formato ai requisiti indicati.
Migrazioni e nuove piattaforme
Passaggio al cloud, nuovo portale, integrazione di un'azienda acquisita: quando l'architettura cambia, le verifiche precedenti non descrivono più il sistema reale.
Segnali di allarme concreti
Un phishing andato a segno, una segnalazione ricevuta da un ricercatore esterno o un incidente presso un concorrente cambiano rapidamente le priorità del consiglio.
Come lavoriamo in Italia
Un incarico dall'inizio alla chiusura
- 01
Consulenza iniziale gratuita
Trenta minuti con un tester, negli orari lavorativi italiani, per definire perimetro, finalità e scadenze normative da rispettare.
- 02
Documentazione contrattuale
Accordo di riservatezza e, dove necessario, accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR. Utilizziamo volentieri i Suoi modelli.
- 03
Esecuzione manuale
Tester certificati OSCP e OSWE lavorano nelle finestre concordate, con un canale diretto verso i Suoi referenti tecnici per l'intera durata.
- 04
Report in italiano e sessione tecnica
Sintesi per la direzione, dettaglio tecnico con severità CVSS e call con gli sviluppatori per stabilire le priorità di correzione.
- 05
Retest e attestazione
Riverifica illimitata delle correzioni e attestazione finale da allegare al fascicolo di audit o alla documentazione per l'ACN.
Quadro normativo
Le norme che determinano la domanda in Italia
NIS2 e D.Lgs. 138/2024
Il decreto di recepimento ha esteso gli obblighi a settori prima esclusi, dalla manifattura ai servizi digitali, alla gestione dei rifiuti. Le misure di gestione del rischio devono essere documentate e la loro efficacia valutata: il report fornisce esattamente questa tracciabilità.
ACN - Agenzia per la Cybersicurezza Nazionale
L'ACN gestisce la registrazione dei soggetti, la tassonomia e gli obblighi di notifica degli incidenti con termini stringenti. Una postura documentata e tempi di rilevamento misurati sono ciò che rende sostenibile il rispetto di quelle scadenze.
Perimetro di Sicurezza Nazionale Cibernetica
Per i soggetti inclusi nel PSNC e per i loro fornitori valgono requisiti rafforzati sui beni ICT più critici. Calibriamo profondità del test e gestione della riservatezza sulla criticità effettiva dei sistemi coinvolti.
GDPR e Garante per la protezione dei dati
L'articolo 32 impone di testare e valutare regolarmente l'efficacia delle misure tecniche. Il ciclo test-correzione-retest documentato è l'evidenza di accountability più solida in caso di ispezione o di notifica di violazione.
Banca d'Italia e DORA
Le entità finanziarie vigilate devono dimostrare resilienza operativa digitale con un programma strutturato di test e una gestione documentata del rischio legato ai fornitori ICT, con frequenza proporzionata al profilo di rischio.
AgID, ISO 27001 e PCI DSS
Chi fornisce servizi alla Pubblica Amministrazione deve rispettare le Linee Guida AgID sullo sviluppo sicuro. Gli schemi ISO 27001 e PCI DSS restano il linguaggio comune nei rapporti commerciali: un unico ciclo di test, se ben pianificato, alimenta più percorsi contemporaneamente.
Domande frequenti
Penetration test in Italia: domande ricorrenti
Servizi collegati
Un partner per la sicurezza offensiva sul mercato italiano
Consulenza iniziale gratuita con un tester, negli orari lavorativi italiani.
Richieda un preventivo