Che cos’è, obiettivi e perchè effettuare il Penetration Test

Sicurezza informatica

Con il termine sicurezza informatica si intende quel processo di prevenzione e individuazione dell’uso non autorizzato di un sistema informatico. Nella parola prevenzione è racchiuso tutto quell’insieme di misure atte alla protezione di informazioni dall’accesso, dalla modifica o dal furto da parte di attività non previste. Tali attività indesiderate, possono essere eseguite da soggetti che abbiano un qualche interesse nei confronti di dati contenuti in un sistema. Tuttavia, devono essere comunque tenuti in considerazione anche eventi accidentali, quali il comportamento di orme dal consigliato di qualche utente interno oppure ai vari tipi di guasti che possono coinvolgere il sistema in analisi.

L’eventuale rilevamento consente di determinare se qualche soggetto abbia tentato di entrare in un determinato sistema, se abbia avuto successo e, in questo caso, le conseguenze di tale intrusione. La sua successiva individuazione potrebbe portare ripercussioni anche dal punto di vista legale: questo a seconda della gravità del gesto compiuto e della legislazione del paese dove è stata effettuata tale azione.

Penetration Test

Il penetration test (o informalmente pen test) è un termine spesso circondato da un po’ di confusione, derivante dal fatto che si tratta di un settore relativamente recente e, com’era facile aspettarsi, in rapida evoluzione. Nella sua forma più semplice indica il testing di un dispositivo informatico, di una rete o di un’applicazione web per trovare vulnerabilità che un utente malintenzionato potrebbe sfruttare. Tale processo di valutazione viene de nito attivo in quanto i sistemi informatici sono testati concretamente per individuare eventuali problemi di sicurezza, al contrario di un controllo esclusivamente teorico o cartaceo.

Con l’obiettivo principale di determinare le debolezze di sicurezza, il penetration testing è anche utilizzato per veri care la capacità di un’organizzazione nell’identi care e rispondere ad eventuali minacce. Il test, in ne, può veri care la conformità di una politica di sicurezza adottata dall’ente e riuscire, in maniera pratica, a sensibilizzare i suoi dipendenti sull’importanza nell’adottare certe tecniche di protezione.

Parte del processo del penetration testing, in particolare il vulnerability assesment, può essere automatizzato attraverso l’utilizzo di applicazioni software che, in un arco di tempo relativamente breve, riescono a testare con una manciata di click migliaia di vulnerabilità note. Parte del prossimo capitolo sarà dedicato alla descrizione di questi software.

Perché effettuare un penetration test?

Da una prospettiva di business, il penetration testing aiuta a evitare delicate problematiche che potrebbero sorgere all’interno di un’azienda. Vediamo come scongiurarle:

• prevenire perdite nanziare mediante frodi o attraverso le entrate perse a causa di sistemi business e processi ina dabili;
• dimostrare una dovuta diligenza e il rispetto nei confronti dei clienti e degli azionisti. Il mancato rispetto, infatti, può comportare una diminuzione del business dell’organizzazione anche dovuto, in ultima analisi, alla raccolta di cattiva pubblicità;
• proteggere il brand, evitando la perdita di ducia dei consumatori o degli azionisti e la reputazione aziendale. Una diminuzione del business può essere dovuta, in ultima istanza, anche per mezzo di pubblicità negativa.

Possono essere testate tutte le componenti, umane o fisiche, con cui un’organizzazione acquisisce, memorizza e elabora informazioni: i sistemi con cui le informazioni vengono memorizzate, i canali di trasmissione che le trasportano, i processi e il personale che le gestiscono.

Idealmente, ogni organizzazione dovrebbe aver già effettuato una valutazione dei rischi. In questo modo, sarà già a conoscenza delle principali minacce (come, ad esempio, errori di comunicazione, falle nel sistema di e-commerce, perdita di informazioni con denziali ecc), ma avrà a questo punto la possibilità di utilizzare il penetration test per identi care eventuali vulnerabilità che fanno riferimento a queste minacce. Nel caso in cui non si sia condotta una valutazione dei rischi, è normale iniziare analizzando le aree di maggiore esposizione, come siti web, portali di posta elettronica e piattaforme di accesso remoto. Il tutto, ovviamente, sarà da decidere in relazione alle e ettive esigenze di cui l’organizzazione necessita svolgendo il proprio lavoro.