Perché individuare una vulnerabilità non significa averla risolta
Tra rilevazione e riduzione del rischio ci sono analisi di impatto, remediation e una prova tecnica di chiusura.
La presenza di una CVE in un report descrive una possibile condizione di rischio, non il lavoro necessario per eliminarla. La sicurezza operativa inizia quando quella segnalazione viene collegata a un sistema, a un proprietario e a un criterio di chiusura.
La segnalazione non contiene tutto il contesto
Uno scanner può riconoscere una versione vulnerabile, ma non sempre sa se il codice interessato è raggiungibile, se una funzione è realmente utilizzata o quale processo aziendale dipende da quel sistema. Anche il punteggio di gravità, utile come riferimento, non esprime da solo la priorità operativa.
Per questo la prima attività è trasformare una corrispondenza tecnica in una valutazione: dove si trova il componente, come viene eseguito, quali dati tratta e quali controlli già riducono l’esposizione.
Mitigare e correggere sono risultati diversi
Una regola di rete, una configurazione o una limitazione del traffico in uscita possono ridurre rapidamente il rischio. Sono mitigazioni: utili, talvolta indispensabili, ma non equivalenti all’aggiornamento o alla sostituzione del componente vulnerabile.
Registrare entrambi gli stati evita di considerare chiusa una vulnerabilità ancora presente e permette di pianificare la correzione definitiva con il giusto livello di urgenza.
La chiusura richiede una prova
Il completamento di un ticket indica che qualcuno ha dichiarato un intervento. Non dimostra, da solo, che tutte le istanze siano state aggiornate o che la configurazione sia efficace. La verifica deve guardare ai sistemi in esercizio e aggiornare inventario ed evidenze.
- Confermare versione e configurazione sulle istanze incluse nel perimetro.
- Ripetere il controllo tecnico appropriato alla tipologia di vulnerabilità.
- Registrare eventuali eccezioni e rischi accettati con responsabile e scadenza.
Il tempo diventa una metrica di processo
Misurare il tempo tra conferma, mitigazione, correzione e verifica permette di individuare gli ostacoli: informazioni mancanti, attese di approvazione, dipendenze tra fornitori o finestre operative. Non si tratta di inseguire un tempo universale, ma di rendere il ciclo osservabile e migliorabile.