Ethical hacking: cos'è e quando è legale in Italia

L'ethical hacking è l'uso delle tecniche di un attaccante su sistemi informatici altrui, con il consenso di chi ne è titolare, per trovare le debolezze e farle correggere prima che le sfrutti qualcun altro. Strumenti e metodi sono quelli di un attacco vero. Cambia il permesso: in Italia è il consenso del titolare a separare un test da un reato, secondo l'articolo 615-ter del codice penale.

Qui trovi cosa fa un ethical hacker, cosa dice la legge italiana, cosa scrivere nel consenso e nelle regole d'ingaggio, e cosa chiedere a chi farai entrare nei tuoi sistemi.

Cos'è l'ethical hacking

Un ethical hacker fa il lavoro di un attaccante per conto di chi verrebbe attaccato. Cerca le stesse porte aperte, le stesse configurazioni sbagliate, le stesse credenziali deboli, ma con tre differenze che non dipendono dalla tecnica:

• Il consenso: il titolare dei sistemi ha autorizzato l'attività, per iscritto, prima che cominci.
• Il perimetro: si testano solo i sistemi concordati, nelle finestre concordate, con le tecniche concordate.
• La destinazione dei risultati: quello che emerge va in un report riservato a chi ha commissionato il lavoro, con le indicazioni per correggere.

Nel gergo del settore si parla di white hat per chi lavora con autorizzazione, black hat per chi attacca per profitto o per danno, grey hat per chi entra senza permesso e poi segnala il problema. L'ultima categoria è quella che crea più equivoci, perché le intenzioni possono essere buone ma, come vedremo, per la legge italiana conta il consenso.

Le forme che prende

L'ethical hacking è la disciplina; le attività con cui un'azienda lo compra hanno nomi più precisi:

• Vulnerability assessment: la ricerca sistematica delle vulnerabilità note, senza sfruttarle. Lo spieghiamo in vulnerability assessment: cos'è.
• Penetration test: la simulazione di attacco che sfrutta le vulnerabilità per misurarne l'impatto. Tipi, fasi e metodologie sono in penetration test: cos'è e come funziona; il pacchetto che li unisce in VAPT: cosa include.
• Red teaming: un esercizio più lungo, guidato da uno scenario di minaccia, che mette alla prova anche la capacità di accorgersi dell'attacco. Nel settore finanziario prende la forma del TLPT previsto da DORA, descritto in DORA e TLPT.
• Bug bounty e segnalazione di vulnerabilità: ricercatori esterni che trovano un problema e lo comunicano al titolare, dentro un programma con regole pubblicate oppure senza.

Quando l'ethical hacking è legale in Italia

Il codice penale non usa la parola ethical hacking, e non ha una categoria per gli hacker con buone intenzioni. Ha un reato, l'accesso abusivo, e un elemento che lo esclude: il consenso di chi ha il diritto di decidere chi entra.

L'articolo 615-ter: accesso abusivo

Il primo comma dell'articolo 615-ter del codice penale, nel testo vigente su Normattiva, dice: Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volontà espressa o tacita di chi ha il diritto di escluderlo, è punito con la reclusione fino a tre anni.

Tre parti di questa frase contano per chi fa ethical hacking:

• Abusivamente: l'ingresso è lecito quando il titolare lo autorizza. Il consenso non è una formalità, è ciò che toglie l'abusività.
• Vi si mantiene: il reato non riguarda solo l'ingresso. Restare nel sistema contro la volontà del titolare è punito allo stesso modo, quindi un test che prosegue oltre la finestra concordata o su sistemi non inclusi esce dalla copertura dell'autorizzazione.
• Chi ha il diritto di escluderlo: il consenso deve venire da chi ha titolo su quel sistema, non da chiunque in azienda.

Il secondo comma porta la pena da due a dieci anni in alcuni casi, fra cui il danneggiamento del sistema, la distruzione o la sottrazione dei dati e l'abuso della qualità di operatore del sistema. Nel caso base si procede a querela della persona offesa, negli altri d'ufficio. Pene più alte valgono per i sistemi di interesse pubblico, come quelli sanitari o relativi alla sicurezza pubblica.

L'articolo 615-quater: gli strumenti

Il secondo articolo da conoscere riguarda codici di accesso, apparati e strumenti idonei a entrare in un sistema protetto. Il 615-quater punisce chi li procura, detiene, diffonde o installa abusivamente e al fine di procurare a sé o ad altri un vantaggio o di arrecare ad altri un danno. Il reato richiede quindi due elementi insieme: una condotta abusiva e quello scopo. Anche qui la differenza la fa il mandato: chi usa strumenti di test dentro un incarico del titolare lavora per lui, non contro di lui.

Chi può dare il consenso

È il punto in cui le aziende sbagliano più spesso, perché i sistemi da testare raramente appartengono tutti a chi firma.

• Sistemi propri: firma chi ha il potere di impegnare l'azienda, di solito il legale rappresentante o chi ha una delega che copre questa attività.
• Sistemi gestiti da terzi: hosting, servizi cloud, applicazioni in abbonamento, infrastruttura affidata a un fornitore. L'azienda cliente può autorizzare il test dei suoi dati e delle sue configurazioni, ma non l'infrastruttura del fornitore. I contratti e le regole pubblicate dai fornitori vanno letti prima, e dove serve il loro consenso va chiesto.
• Dati personali: un ethical hacker esterno che durante il test può accedere a dati personali li tratta per conto dell'azienda. L'articolo 28 del GDPR chiede in quel caso un contratto o altro atto giuridico con il responsabile del trattamento, che definisca materia, durata, finalità del trattamento e tipi di dati.

Il caso grey hat

Chi entra in un sistema senza permesso per dimostrare che è vulnerabile si espone comunque al 615-ter, che non prevede eccezioni legate allo scopo di chi entra: guarda all'abusività dell'accesso. Il D.Lgs. 138/2024, all'articolo 16, designa CSIRT Italia come coordinatore della divulgazione coordinata delle vulnerabilità: fa da intermediario fra chi segnala e il fornitore del prodotto o servizio, e accetta segnalazioni anche anonime. L'articolo regola la segnalazione, non l'accesso: non dice che si possa entrare in un sistema altrui per confermare il problema.

Consenso scritto e regole d'ingaggio

Una mail di via libera non basta. Il consenso utile è un documento che descrive l'attività con abbastanza dettaglio da far capire, a posteriori, se ogni azione era autorizzata. Il NIST, nella SP 800-115, chiama questo documento rules of engagement e lo descrive come l'insieme di indicazioni e vincoli fissati prima del test, che danno al team l'autorità di svolgere le attività previste senza chiedere altri permessi. L'appendice B ne pubblica un modello. Le voci che contano:

1. Chi: i nomi delle persone che eseguono il test e dei referenti dell'azienda, con i contatti del team di risposta agli incidenti.
2. Su cosa: i sistemi inclusi, identificati con precisione, e un elenco esplicito dei sistemi esclusi.
3. Quando: date e orari, valutando se lavorare fuori dai momenti di picco.
4. Come: le attività ammesse e quelle vietate, e se si possono creare, modificare o eseguire file sui sistemi, e cosa farne a test concluso.
5. Se qualcosa va storto: i criteri per fermare il test, chi avvisare e come riprendere. Serve anche se durante il test arriva un attacco vero.
6. I dati: come si raccolgono, conservano, trasmettono e distruggono. I risultati di un test sono un elenco di punti deboli, quindi informazioni sensibili.
7. Il report: cosa conterrà e con quale frequenza arrivano gli aggiornamenti.
8. Le firme: almeno il responsabile del team di test e un dirigente dell'azienda, che dichiarano di aver compreso perimetro e limiti.

Se il test comprende accessi fisici, come entrare in un ufficio, lo stesso modello prevede un modulo firmato che i tester possono mostrare alla vigilanza o alle forze dell'ordine se vengono fermati.

Quando è l'ethical hacker a trovare te

L'ethical hacking non arriva solo su commissione. Un ricercatore può imbattersi in una vulnerabilità del tuo sito o del tuo prodotto e volerla segnalare. Serve sapere dove farlo arrivare.

• Un canale pubblicato: l'RFC 9116 dell'IETF definisce il file security.txt, da pubblicare nel percorso /.well-known/ del sito, con i contatti e le regole per le segnalazioni.
• Un processo interno: per i soggetti NIS2 la misura ACN ID.RA-08 (Determinazione 379907/2025, allegati 1 e 2) ha questo titolo: Sono stabiliti processi per la ricezione, l'analisi e la risposta alle divulgazioni di vulnerabilità. Il piano di gestione delle vulnerabilità deve indicare come si ricevono e analizzano queste informazioni, e va approvato dagli organi di amministrazione e direttivi.
• Test su commissione: per i soggetti essenziali la misura ID.RA-01 dell'allegato 2 chiede inoltre vulnerability assessment e/o penetration test sui sistemi rilevanti, periodici e comunque prima della messa in esercizio, salvo ragioni normative o tecniche motivate e documentate.

Competenze e certificazioni

Un ethical hacker conosce reti, sistemi operativi, applicazioni web, identità e cloud abbastanza a fondo da vedere dove si rompono, e sa scrivere un report che un responsabile IT possa trasformare in un piano di correzione. Due certificazioni ricorrono spesso nelle candidature:

• CEH, Certified Ethical Hacker di EC-Council: un esame di conoscenza di 4 ore con 125 domande a scelta multipla, più un esame pratico opzionale di 6 ore con 20 prove per il livello CEH Master.
• OSCP di OffSec: un esame pratico di 24 ore, sorvegliato, in cui si individuano e sfruttano vulnerabilità su sistemi di laboratorio e se ne scrive il report.

Una certificazione dice cosa una persona sa fare. Non sostituisce il mandato: anche il tester più qualificato commette accesso abusivo se esce dal perimetro firmato.

Cosa chiedere prima di far entrare un ethical hacker

1. Chi firma l'autorizzazione dalla nostra parte, e ne ha il potere? Vale per ogni sistema incluso, compresi quelli in cloud o gestiti da fornitori.
2. Chi esegue materialmente il test? Nomi, non solo la ragione sociale, ed eventuali subappalti.
3. Cosa succede se il test causa un disservizio? Criteri di stop, referenti raggiungibili, tempi di ripristino.
4. Dove finiscono i dati raccolti? Conservazione, cifratura, cancellazione a fine incarico, contratto ai sensi dell'articolo 28 del GDPR se toccano dati personali.
5. Cosa ci resta in mano? Un report con le vulnerabilità, il loro impatto e le correzioni proposte, da usare anche come evidenza per NIS2, DORA o ISO/IEC 27001.

In sintesi: l'ethical hacking è l'attacco fatto con il permesso di chi verrebbe attaccato. In Italia il confine lo traccia l'articolo 615-ter del codice penale, e lo sposta il consenso del titolare del sistema: per questo autorizzazione scritta e regole d'ingaggio valgono quanto le competenze di chi esegue il test. Le aziende NIS2 devono anche saper ricevere le segnalazioni che arrivano dall'esterno.

Un test trova le vulnerabilità in un momento preciso; fra un test e l'altro qualcuno deve accorgersi di chi prova a sfruttarle davvero. Se è quel presidio continuo che ti manca, trovi come lavoriamo nella pagina dei servizi di cybersecurity.