Vulnerability Assessment vs Penetration Test: le differenze e quale scegliere

Cosa sono, in una frase

Partiamo dalle definizioni oneste, senza marketing.

Il vulnerability assessment (VA) è un censimento: strumenti professionali scansionano rete, sistemi e applicazioni alla ricerca di vulnerabilità note — patch mancanti, configurazioni errate, software obsoleto, credenziali di default. Un professionista serio poi verifica a mano i risultati per eliminare i falsi positivi e li ordina per gravità. Risponde alla domanda: "dove sono esposto?"

Il penetration test (PT) è un attacco simulato: un professionista prova attivamente a violare i tuoi sistemi con le stesse tecniche di un attaccante reale — sfrutta le vulnerabilità, le concatena, cerca le falle nella logica applicativa che nessuno scanner può vedere. Risponde alla domanda: "cosa può farmi davvero un attaccante?"

La confusione tra i due non è casuale: molti fornitori vendono scansioni automatiche chiamandole "penetration test". Se il prezzo è sotto i 2.000 €, quasi certamente è un VA travestito — ne ho scritto nella guida ai prezzi dei penetration test.

Le differenze a colpo d'occhio

I costi sono fasce indicative del mercato italiano 2026 (+ IVA), basate su quello che vedo nei preventivi reali.

Cosa trova uno e cosa trova l'altro

Un esempio concreto rende l'idea meglio di qualsiasi definizione. Immagina un e-commerce.

Il vulnerability assessment troverà: il server con una versione di Apache vulnerabile, il pannello di amministrazione raggiungibile da Internet, il certificato TLS configurato male, la VPN con una CVE nota non patchata. Tutte cose reali, tutte da correggere — e tutte invisibili finché qualcuno non le cerca in modo sistematico.

Il penetration test troverà quello che lo scanner non può vedere: che dal carrello si può modificare il prezzo di un prodotto manipolando la richiesta; che un utente normale può leggere gli ordini degli altri clienti cambiando un ID nell'URL; che concatenando una vulnerabilità "bassa" e una configurazione "innocua" si arriva al database. Sono le falle di logica di business — e sono quasi sempre le più gravi, perché uniche della tua applicazione e sconosciute a qualsiasi database di vulnerabilità.

Ecco perché la scelta non è "quale è meglio": sono due strumenti che guardano cose diverse.

Quale scegliere: 4 scenari pratici

1. "Non abbiamo mai fatto verifiche di sicurezza"

Parti dal vulnerability assessment. Costa meno, copre tutto il perimetro e — te lo dico per esperienza — troverà già parecchio da correggere: patch arretrate, servizi esposti dimenticati, credenziali mai cambiate. Fare un pentest costoso su un'infrastruttura mai "ripulita" significa pagare un professionista per trovare cose che uno scanner avrebbe trovato a un quinto del prezzo.

2. "Abbiamo un'applicazione critica per il business"

Serve il penetration test. E-commerce, piattaforma SaaS, gestionale con dati sensibili, API esposte a partner: qui i rischi più gravi sono nella logica applicativa, e solo un test manuale li trova. L'ideale è farlo prima di un rilascio importante o dopo modifiche significative.

3. "Un cliente enterprise / un audit ce lo chiede"

Leggi bene cosa chiedono. Se il questionario parla di "gestione delle vulnerabilità" o "scansioni periodiche", basta un VA ricorrente documentato. Se chiede un "penetration test indipendente" (tipico di banche, assicurazioni e grandi gruppi verso i fornitori), serve un PT con report firmato da un professionista identificabile. Presentare l'output di uno scanner come pentest a un auditor esperto è il modo più rapido per perdere credibilità — e il cliente.

4. "Dobbiamo essere conformi a NIS2 / ISO 27001"

Servono entrambi, con ruoli diversi: il VA ricorrente copre il requisito di gestione continuativa delle vulnerabilità, il PT periodico dimostra l'efficacia delle misure. Nessuna delle due norme impone per legge uno strumento specifico, ma nella pratica degli audit questa combinazione è lo standard atteso.

Perché le aziende mature li usano entrambi

Il modello che consiglio ai miei clienti — e che regge agli audit — è un ciclo, non una scelta:

• Vulnerability assessment ricorrente (trimestrale, o dopo ogni modifica importante): tiene pulito il perimetro e intercetta le vulnerabilità note appena emergono;
• Penetration test annuale sugli asset critici: verifica in profondità ciò che conta davvero, incluse le falle di logica;
• Remediation e retest dopo ciascuno: trovare le vulnerabilità serve a poco se nessuno verifica che siano state chiuse.

Con questo ciclo il pentest annuale diventa anche più economico: il professionista non spreca giorni su problemi banali già ripuliti dal VA, e va dritto in profondità.

Gli errori più comuni

• Comprare un "pentest" da 800 €. È una scansione automatica con un altro nome. Se il budget è quello, compra un VA dichiarato e fatto bene: stessa sostanza, senza l'illusione.
• Fare un pentest una tantum e fermarsi. Il report fotografa un momento: sei mesi e venti deploy dopo, non dice più nulla. Senza ricorrenza, la sicurezza scade come lo yogurt.
• Fare solo VA per anni. Perimetro pulito, ottimo — ma nessuno ha mai verificato la logica dell'applicazione che gestisce i tuoi ordini. È la falsa sicurezza dei report "verdi".
• Ignorare la remediation. Ho visto aziende con tre report annuali consecutivi che segnalavano le stesse vulnerabilità. Il test senza correzione è un costo, non un investimento.

Domande frequenti