Identificazione
Inventario del perimetro esterno e scansione controllata, seguiti dalla verifica manuale delle vulnerabilità trovate. Il falso positivo viene documentato come tale.
ISO/IEC 27001:2022 · Controllo 8.8 · Da €490
ISO 27001 e vulnerability assessment: evidenze per il controllo 8.8
Il controllo 8.8 dell'Allegato A chiede di gestire le vulnerabilità tecniche: identificarle, valutarne il rischio e intraprendere azioni correttive, con evidenze. Un elenco di scanner da solo non dimostra questa gestione. Il nostro vulnerability assessment copre i tre passaggi e produce i documenti che l'auditor cerca.
Cosa richiede davvero il controllo 8.8
Il controllo non prescrive uno strumento, una frequenza o un fornitore. Richiede un processo: individuare le vulnerabilità tecniche dei sistemi in uso, valutarne l'esposizione e il rischio, decidere e attuare le azioni correttive, e conservare le evidenze di tutto questo.
Per questo un rapporto di scansione, da solo, non basta: manca la valutazione, la decisione e la verifica che la correzione sia avvenuta. È su questi passaggi che il nostro servizio si concentra.
Come il servizio copre ciascun passaggio
Ogni fase produce un documento che può essere mostrato all'auditor, senza ricostruzioni successive.
Valutazione del rischio
Ogni vulnerabilità confermata è ordinata per gravità, sfruttabilità, presenza di exploit pubblici ed esposizione reale del sistema, con la motivazione della priorità.
Azioni correttive
Il piano di remediation assegna priorità e responsabilità suggerite, con indicazioni operative per chi interviene. È pronto per essere caricato nel vostro sistema di gestione.
Verifica dell'efficacia
La riverifica gratuita entro 30 giorni documenta quali azioni correttive hanno chiuso le vulnerabilità e quali restano aperte.
Le evidenze che l'auditor vuole vedere
Un auditor non cerca il numero di vulnerabilità. Cerca un processo riconoscibile, applicato e ripetuto. Il report è costruito su queste domande.
Metodo dichiarato
Perimetro, metodologia (OWASP WSTG e PTES), date e strumenti di verifica sono scritti nel report, così il processo è ripercorribile.
Esiti tracciabili
Ogni vulnerabilità ha una prova riproducibile, una classificazione di rischio e lo stato attuale: aperta, in lavorazione, chiusa.
Decisioni documentate
Le vulnerabilità escluse dal piano riportano la motivazione. È una delle evidenze più richieste, perché mostra che le scelte sono state ragionate.
Ciclo ripetibile
Il confronto tra un ciclo e il precedente mostra la tendenza: è la prova che il controllo è continuo e non una fotografia isolata.
Come usare il report nel sistema di gestione
Il report non sostituisce il sistema di gestione della sicurezza, ma lo alimenta. Alcune pratiche rendono il passaggio naturale.
- Collegare ogni vulnerabilità a un'azione registrata nel vostro sistema di ticketing, con responsabile e scadenza.
- Presentare la sintesi al riesame della direzione, con gli esiti per priorità e lo stato del piano.
- Conservare report, attestazione e riverifica insieme alla valutazione dei rischi, così che il collegamento sia evidente.
- Pianificare il ciclo successivo in base all'analisi dei rischi, non solo alla data del contratto.
Quando ripetere la verifica
La frequenza la decide l'analisi dei rischi dell'organizzazione. Questi sono i momenti in cui una verifica nuova è quasi sempre necessaria.
Dopo una release importante
Nuove funzioni, nuove integrazioni o cambi di framework possono introdurre superfici che prima non c'erano.
Dopo un cambio di infrastruttura
Un nuovo hosting, un nuovo provider o una nuova configurazione di rete modificano il perimetro esposto.
Quando esce una vulnerabilità critica
Se un componente che usate ha una falla pubblicata e sfruttata, il controllo va ripetuto con priorità.
Ogni ciclo programmato
Per i perimetri che cambiano spesso proponiamo un ciclo ogni 4 o 6 mesi, con confronto con quello precedente.
Cosa non è questo servizio
Non è una certificazione ISO/IEC 27001 e non sostituisce il sistema di gestione, l'analisi dei rischi o l'audit dell'ente certificatore. Non copre i controlli organizzativi dell'Allegato A, come politiche, formazione o gestione dei fornitori, salvo quanto riguarda le vulnerabilità tecniche.
Quanto costa
Il piano Perimetro singolo costa €490 una tantum, IVA esclusa, per un dominio principale con i suoi sottodomini. Più domini su preventivo; Enterprise da €4.900. Il listino completo è nella home.
Domande frequenti su ISO 27001 e vulnerability assessment
Il controllo 8.8 richiede un penetration test?
La norma non prescrive uno strumento o un test specifico. Molte organizzazioni combinano scansioni e test periodici documentati, definiti nella propria analisi dei rischi.
Ogni quanto va ripetuto?
Dipende dall'analisi dei rischi e dai cambiamenti dei sistemi. Per perimetri in evoluzione consigliamo cicli periodici, con confronto tra un ciclo e il precedente.
Il report è utile con l'auditor?
Sì. Documenta metodo, perimetro, esiti, priorità, decisioni di esclusione e retest: sono le informazioni che l'auditor chiede per verificare il controllo.
Il servizio copre anche l'Allegato A nel suo complesso?
No. Copre le vulnerabilità tecniche dei sistemi esposti, cioè il controllo 8.8 e le evidenze tecniche collegate. Politiche, formazione e gestione dei fornitori restano nel vostro sistema di gestione.
Quanto costa?
Il perimetro singolo costa €490 una tantum, IVA esclusa. Per più domini il prezzo è su preventivo.
Ti serve una prova tecnica per il controllo 8.8?
Scrivici il perimetro: ti diciamo per iscritto cosa serve e cosa verificheremmo.
Richiedi il vulnerability assessment