Individuate, valutate e correggete le falle di sicurezza nella vostra infrastruttura IT prima che gli attaccanti le sfruttino. Automatizzate rilevamento e priorizzazione con OPENVAS.
Richiedi consulenza gratuitaOgni infrastruttura IT presenta vulnerabilità: la domanda è solo chi le trova per primo, la vostra azienda o chi vuole attaccarla. La gestione delle vulnerabilità vi garantisce proprio questo vantaggio: un processo continuo che rende visibili le falle di sicurezza, le classifica in base al rischio reale e le trasforma in azioni concrete.
La gestione delle vulnerabilità è il processo sistematico con cui le aziende individuano le falle di sicurezza nella propria infrastruttura IT, le classificano per gravità e le correggono in modo mirato. Significa assumere il punto di vista di chi attacca e verificare dall’esterno quali sistemi, servizi e applicazioni siano realmente vulnerabili.
La gestione delle vulnerabilità è più ampia del patch management: applicare una patch chiude una falla già nota e specifica, mentre la gestione delle vulnerabilità fa sì che quella falla venga prima trovata e correttamente classificata, anche quando non esiste una patch o la causa reale è una configurazione errata. La base organizzativa è una gestione della sicurezza IT funzionante, mentre la protezione dei dati stessi è trattata nella pagina dedicata alla sicurezza dei dati.
La gestione delle vulnerabilità non è un progetto una tantum, ma un ciclo di sei fasi che si ripete continuamente:
Gli studi più recenti mostrano quanto sia spesso ampio il divario tra la scoperta e l’effettiva correzione di una vulnerabilità:
Fonti: Edgescan Vulnerability Statistics Report 2025 e 2026; Verizon Data Breach Investigations Report 2025.
Nessuna azienda può correggere tutte le vulnerabilità contemporaneamente. Tre fattori determinano quale falla viene chiusa per prima:
Applicare le patch resta importante, ma non sostituisce la gestione delle vulnerabilità: per alcune falle semplicemente non esiste una patch, per altre un’applicazione critica per il business ne impedisce l’aggiornamento, e configurazioni errate come una password di amministrazione debole compaiono indipendentemente dal livello di patch raggiunto.
I tre termini vengono spesso confusi, ma si completano a vicenda invece di sostituirsi:
| Ambito | Focus | Frequenza | Risultato tipico |
|---|---|---|---|
| Gestione delle vulnerabilità | Individuazione, valutazione e correzione sistematica di tutte le vulnerabilità | Continua, aggiornata quotidianamente | Elenco prioritizzato con raccomandazioni operative |
| Patch management | Installazione degli aggiornamenti disponibili per falle già note | Secondo il ciclo di patch del fornitore | Versione software aggiornata |
| Penetration test | Tentativo di attacco mirato e manuale su sistemi selezionati | Puntuale, di norma una o due volte l'anno | Report dettagliato sui percorsi di attacco concreti |
Chi è interessato in particolare a un motore di scansione trasparente e a codice aperto trova nella pagina Open Source Vulnerability Management vantaggi e limiti di questo approccio nel dettaglio.
La norma ISO/IEC 27001:2022 non si limita a presupporre la gestione delle vulnerabilità, ma la richiede attraverso un controllo dedicato: l’Allegato A 8.8, “Gestione delle vulnerabilità tecniche” (ripreso dal controllo A.12.6.1 della versione 2013 della norma). Il controllo obbliga le aziende certificate a ottenere tempestivamente informazioni sulle vulnerabilità tecniche dei sistemi in uso, a valutare la propria esposizione e ad adottare misure di correzione adeguate.
Per gli auditor conta meno lo strumento utilizzato e più la prova di un processo funzionante: un inventario degli asset aggiornato, una frequenza di scansione documentata, una priorizzazione tracciabile e termini di correzione rispettati e documentati. Proprio queste evidenze vengono generate automaticamente da OPENVAS, dal rilevamento iniziale alla valutazione CVSS fino alla scansione di verifica dopo la correzione.
La gestione delle vulnerabilità si adatta alla dimensione aziendale, non solo verso l’alto:
OPENVAS analizza la vostra rete e tutti i dispositivi collegati con oltre 100.000 test di vulnerabilità presenti nell’OPENVAS ENTERPRISE FEED, aggiornato più volte al giorno. Ottenete uno stato sempre attuale della vostra postura di sicurezza, con gravità e raccomandazione operativa per ogni vulnerabilità.
Un primo percorso concreto per avviare una gestione strutturata delle vulnerabilità:
Cos’è la gestione delle vulnerabilità?
La gestione delle vulnerabilità è il processo continuo di individuazione delle falle di sicurezza nei sistemi IT, della loro classificazione per gravità e della loro correzione mirata, invece di una verifica occasionale.
In cosa si differenzia dal patch management?
Il patch management installa gli aggiornamenti disponibili per falle già note. La gestione delle vulnerabilità trova e valuta queste falle fin dall’inizio, anche quando non esiste una patch o la causa reale è una configurazione errata.
Con quale frequenza dovrebbe scansionare un’azienda?
Poiché ogni giorno emergono nuove vulnerabilità, le scansioni dovrebbero essere continue e non occasionali. I sistemi critici raggiungibili da internet beneficiano di scansioni quotidiane, quelli interni spesso di cicli settimanali.
Cosa significano CVSS ed EPSS?
Il CVSS valuta quanto sia grave una vulnerabilità in teoria. L’EPSS aggiunge una stima della probabilità che venga effettivamente sfruttata nei giorni successivi, affinando così la priorizzazione.
Quanto costa la gestione delle vulnerabilità con Greenbone?
OPENVAS BASIC parte da 2.524 euro all’anno come soluzione d’ingresso per le piccole imprese. Il prezzo di OPENVAS SCAN dipende dall’ambiente da scansionare e viene calcolato individualmente su richiesta.
Per quali dimensioni aziendali è adatta la gestione delle vulnerabilità?
Per tutte: le piccole imprese con pochi indirizzi IP ne traggono lo stesso beneficio delle grandi aziende e degli enti pubblici con molte sedi e obblighi di rendicontazione complessi.
Cosa richiede la ISO 27001 per la gestione delle vulnerabilità?
La ISO 27001:2022 obbliga le aziende certificate, tramite il controllo dell’Allegato A 8.8, a identificare tempestivamente le vulnerabilità tecniche, valutare la propria esposizione e adottare contromisure adeguate. Gli auditor verificano principalmente l’inventario degli asset, la frequenza di scansione e i termini di correzione documentati.
Che ruolo ha la gestione delle vulnerabilità per NIS2 e il Cyber Resilience Act?
Entrambi i regolamenti richiedono alle aziende interessate di gestire attivamente le vulnerabilità dei propri sistemi e prodotti e di documentare gli incidenti in modo tracciabile. La gestione continua delle vulnerabilità fornisce la base tecnica per farlo.
In cosa si differenzia dall’Open Source Vulnerability Management?
La gestione delle vulnerabilità descrive il processo generale, indipendentemente dallo strumento utilizzato. L’Open Source Vulnerability Management pone inoltre l’attenzione su un motore di scansione trasparente e a codice aperto. Maggiori informazioni nella pagina Open Source Vulnerability Management.
Verifichiamo insieme a che punto si trova oggi la vostra infrastruttura IT e come potrebbe essere un processo di gestione delle vulnerabilità su misura per voi.
