È il servizio che analizza i livelli di sicurezza delle vostre infrastrutture informatiche e individua eventuali vulnerabilità che espongano i vostri sistemi, applicazioni e informazioni a rischi di compromissione.
Penetration Test
Per una verifica completa della sicurezza delle tue reti aziendali
Che cos’è?
In che cosa consiste?
Il nostro Penetration Test, fornito tramite appoggio di un partner tecnologico di supporto, comprende una serie di attività specifiche di audit e consulenza in materia di sicurezza informatica, per rilevare lo stato di esposizione e resistenza dei sistemi informativi ad eventuali attacchi informatici, deliberati o non deliberati, perpetrati dall’esterno del perimetro informatico della vostra sede.
a. Security Audit
Internet Penetration test Black Box verso il set di indirizzi IP pubblici/statici assegnati al perimetro aziendale del cliente.
Scopo di questo audit è fornire suggerimenti per elevare il livello della sicurezza dell’infrastruttura stessa e mitigare i rischi di attacchi informatici provenienti dall’interno o dall’esterno del perimetro informatico aziendale.
b. Deliverables
Produzione di reportistica, in lingua italiana o inglese, generata durante l’erogazione di ciascuno dei servizi compresi in questa attività:
• Executive Summary: documento di sintesi dei risultati raggiunti e delle contromisure suggerite, redatto con un linguaggio non tecnico, a beneficio dei vertici aziendali
• Sintesi delle vulnerabilità: che riporta l’elenco sintetico delle vulnerabilità riscontrate con i relativi livelli di rischio, elencando su quali target si sono verificate
• Dettaglio delle vulnerabilità: che riporta dettagli tecnici su ogni ricorrenza delle vulnerabilità rilevate, documentate con screenshot dimostrativi, suggerimenti sulle contromisure da adottare e link ad eventuali fonti informative esterne di approfondimento
• Slide di presentazione dei risultati: presentazione sintetica dei risultati a beneficio del reparto IT/Sicurezza e del Management Board.
Eventuali iterazioni successive delle attività potranno comprendere, se richiesto, dei confronti con le iterazioni precedenti, al fine di misurare i trend di miglioramento della sicurezza complessiva a valle delle suggerite attività di remediation.
c. Valutazioni a livello di rischio
Classificazione di ogni criticità evidenziata con assegnazione di un livello di rischio (HIGH, MEDIUM, LOW) in funzione del potenziale impatto sulla sicurezza del sistema oggetto d’analisi.
I livelli di criticità sono da considerarsi “assoluti” e non pesati in funzione della criticità del server/sistema in oggetto, non nota in questa fase del progetto (materia di Risk Management).
d. Valutazione remediation impact
Individuazione, per ogni vulnerabilità trovata, di attività di remediation volte a mitigarla e definizione di alcuni criteri finalizzati all’attribuzione di un livello di complessità di applicazione della soluzione proposta (simple, moderate, complex).
e. Internet penetration test black box
Tentativo di intrusione da Internet per verificare il livello di sicurezza del perimetro informatico esterno del cliente (server, firewall, apparecchiature di networking, software, servizi, etc..), effettuato da sorgenti Internet rese note al cliente a priori, in un periodo temporale concordato, in modo che il cliente possa controllare costantemente le attività intrusive svolte dal team di progetto.
Un test assolutamente non distruttivo, che garantisce l’assenza di interruzioni nei servizi IT, non ha carattere intrusivo e non viola la privacy dei dati interni, ma per il quale il cliente è tenuto a firmare un modulo di manleva di responsabilità.
Relazione e presentazione dei risultati
A fine progetto, viene redatto e illustrato al cliente un documento formale contenente una precisa valutazione dei rischi tecnologici rilevati, che identifica, per i vari ambiti di criticità individuati, le raccomandazioni atte ad assicurare un adeguato livello di sicurezza e i vari ambiti di miglioramento.