Vulnerabilità
Un difetto nel sistema: un controllo che manca o è sbagliato. Esiste anche se nessuno lo ha ancora usato.
home / risorse / vulnerabilità
concetti di base
Vulnerabilità, sfruttamento, impatto e rischio: le differenze
Chi legge un report spesso mette tutto nella stessa voce. Distinguere queste quattro parole permette di capire cosa fare prima, e cosa può aspettare.
le quattro definizioni
Cosa significa ciascuna parola.
Sfruttamento
Il fatto che qualcuno riesca a sfruttare quella vulnerabilità per ottenere ciò che non dovrebbe. È un'azione, non un difetto.
Impatto
Cosa succede all'azienda se la vulnerabilità viene sfruttata: dati esposti, servizio fermo, obblighi di notifica, costi.
Rischio
Quanto è probabile che accada, moltiplicato per quanto è grave quando accade, tenendo conto di quanto il sistema è raggiungibile.
esempio
Stessa parola, impatti diversi.
Quattro vulnerabilità di natura simile, con conseguenze e rischio diversi.
| Vulnerabilità | Impatto possibile | Rischio | Perché |
|---|---|---|---|
| Controllo dell'accesso mancante in un'area clienti | Dati personali di altri clienti visibili | alto | Dati personali coinvolti e obblighi di notifica |
| Cifratura debole su un servizio interno | Dati intercettati solo da chi è già sulla rete | medio | Richiede un accesso precedente alla rete |
| Libreria non aggiornata con una falla nota | Dipende da cosa fa la libreria | da valutare | Va valutata caso per caso |
| Registrazione assente sugli accessi | Un'intrusione passa inosservata più a lungo | medio-alto | Non blocca un attacco, ma allunga i tempi per accorgersene |
Una vulnerabilità grave non implica sempre un rischio grave. Conta anche chi può raggiungerlo. Per questo i nostri report separano la gravità tecnica dall'impatto sul business, e non assegnano un punteggio senza spiegarlo.
perché conta per chi compra un test
Un elenco di vulnerabilità non basta a decidere.
Un report che elenca cento voci senza impatto non dice cosa fare per primo. Un report utile collega ogni vulnerabilità a ciò che può succedere e a quanto costa correggerlo.
Per questo ogni voce del nostro report ha la stessa struttura: vulnerabilità, impatto, rischio, correzione.
Vuoi un report che distingue queste quattro cose?
Ti mostriamo la struttura di un report campione prima di iniziare.