Quanto costa un penetration test: i fattori di costo

Un penetration test manuale non ha un prezzo di listino: si paga in giornate di lavoro di specialisti, e quante ne servono dipende da sette fattori: perimetro, test esterno o interno, livello di conoscenza iniziale (black, grey o white box), approccio palese o occulto, ambiente e finestre di lavoro, retest e competenze di chi esegue. Un vulnerability assessment costa meno perché la scansione è tempo macchina, ma i risultati vanno comunque letti da una persona. Il numero vero esce dallo scoping.

Cos'è un pentest e come si svolge lo spieghiamo nella guida al penetration test: qui parliamo di budget.

Nel pentest manuale si paga tempo di specialisti

Il NIST, nella guida SP 800-115 (Technical Guide to Information Security Testing and Assessment), descrive il penetration test come un'attività ad alta intensità di lavoro, che richiede grande competenza per ridurre il rischio sui sistemi testati (§5.2). Nella scelta delle tecniche aggiunge che alcune costano molto più di altre per gli strumenti necessari e per le ore di personale che richiedono (§6.3).

È questo che rende inutile un listino. Il preventivo di un pentest manuale è quasi sempre il prodotto di due numeri: le giornate uomo stimate per il tuo perimetro e la tariffa giornaliera del fornitore. Può arrivare come forfait (prezzo chiuso su un perimetro definito) o a consuntivo, ma sotto ci sono sempre le giornate. Esiste anche il penetration test autonomo, condotto da una piattaforma invece che a mano, il cui costo segue il numero di asset da testare invece delle giornate. Le cifre che trovi online sono calcolate su perimetri che non conosci: non dicono quanto costerà il tuo.

Per questo, in un test manuale, la domanda utile non è quanto costa un penetration test, ma quante giornate di lavoro servono per rispondere alla tua domanda, e su cosa.

I fattori che spostano il costo

Il perimetro

È il fattore che pesa di più. Indirizzi IP esposti, server interni, applicazioni web, API, app mobile, rete wireless: ogni oggetto in più è tempo di ricognizione, test e documentazione in più. Su un'applicazione conta anche il numero di ruoli utente: ogni profilo con permessi diversi va provato a parte, perché è lì che si nascondono gli errori di autorizzazione.

Il perimetro va scritto per nome, compresi i sistemi che non vanno toccati. Il NIST ricorda anche un controllo che costa poco ed evita guai: prima di testare un elenco di indirizzi pubblici, verificare che appartengano davvero all'organizzazione (§5.2.2).

Esterno, interno o entrambi

Il test esterno simula un attaccante che parte da Internet con poche informazioni. Quello interno simula chi è già dentro la rete, un dipendente infedele o un account compromesso, e cerca di salire di privilegi. Sono due esercizi diversi, e se li chiedi entrambi paghi due esercizi. Il NIST indica che, quando si fanno tutti e due, di solito si parte dall'esterno (§5.2.2).

Black, grey o white box

Il livello di conoscenza iniziale cambia il tempo speso a scoprire cose che tu sai già. In black box il tester parte senza informazioni e consuma giornate in ricognizione; in white box riceve documentazione, credenziali o codice e va dritto ai punti deboli. Per le applicazioni sviluppate su misura il NIST osserva che le tecniche white box, cioè l'analisi del codice sorgente, tendono a essere più efficienti e convenienti di quelle black box nel trovare difetti di sicurezza (Appendice C). Il black box serve quando vuoi sapere cosa vede un estraneo.

Palese o occulto

In un test palese il team IT sa che il test è in corso e collabora. In un test occulto lo sa solo chi l'ha commissionato, così da misurare anche se qualcuno se ne accorge. Il NIST è esplicito: il test occulto richiede spesso più tempo e più spesa, perché per restare inosservato il team deve rallentare scansioni e azioni, mentre quello palese costa meno, comporta meno rischi ed è il più usato (§2.4.2). Si sceglie l'occulto quando la domanda riguarda la capacità di rilevare un attacco, non l'elenco delle vulnerabilità.

Ambiente, finestre e accessi

Un test in produzione usa exploit reali su sistemi e dati reali, e il NIST lo indica come un'attività ad alto rischio (§5.2.2). Ne derivano cautele che costano: finestre concordate, orari serali o festivi, qualcuno reperibile lato cliente, la possibilità di fermare il test prima di un'azione dannosa. Un ambiente di staging fedele riduce i vincoli, ma va preparato e mantenuto allineato, e quel tempo è tuo.

Per molti test si può lavorare in sede o da remoto, mentre l'esame di documentazione e log si fa di solito in sede (§6.4.2): la presenza fisica aggiunge trasferte. Per i test dall'interno della rete servono la presenza in sede, un accesso VPN cifrato o una connessione dedicata, e se gli strumenti richiedono privilegi amministrativi il NIST raccomanda di creare account nuovi, uno per ogni tester, mai condivisi: è lavoro del tuo team prima che il test cominci.

Chi esegue

Una giornata di un tester esperto su applicazioni complesse non vale quanto una giornata di chi lancia uno scanner. Il NIST chiede che i soggetti esterni siano selezionati con attenzione per competenze, esperienza e integrità, e suggerisce che si assumano parte del rischio del test, rispondendo degli eventuali danni (§6.4.1). Nel settore finanziario DORA chiede che i test siano svolti da soggetti indipendenti, interni o esterni, evitando conflitti di interesse (Regolamento (UE) 2022/2554, art. 24, par. 4). In preventivo chiedi nomi, ruoli e copertura assicurativa: spiegano parte della differenza di prezzo.

Retest

Il test trova i problemi, il retest dimostra che sono stati chiusi. DORA chiede alle entità finanziarie metodologie di convalida per accertare che i punti deboli individuati siano pienamente affrontati (art. 24, par. 5), e qualsiasi auditor ti chiederà la stessa prova. Un retest incluso, con un numero di giorni e di iterazioni scritto, vale più di uno sconto sul primo giro.

Quanto dura un penetration test

Anche la durata si misura in giornate, e dipende dagli stessi fattori del costo. Le fasi sono sempre le stesse: scoping e autorizzazioni, ricognizione, test, analisi, report, correzione da parte tua, retest. Il calendario reale è più lungo delle giornate fatturate, perché in mezzo ci sono le finestre di produzione, la preparazione degli accessi e il tempo che serve al tuo team per correggere.

Un riferimento pubblico sulla durata esiste solo per l'esercizio più pesante, il test guidato dalla minaccia (TLPT) che DORA chiede alle entità finanziarie individuate. Il Regolamento delegato (UE) 2025/1190 fissa per la fase attiva di red team una durata minima di 12 settimane (art. 11, par. 5), e nei considerando ricorda che, sulla base dell'esperienza TIBER-EU, la raccolta di threat intelligence che la precede dura in genere circa quattro settimane (considerando 18). Non è il metro di un pentest ordinario, ma dà l'ordine di grandezza della differenza.

Quanto costa un vulnerability assessment

Il vulnerability assessment costa meno del penetration test per unità di perimetro, perché il grosso del lavoro lo fa uno scanner: elenca le vulnerabilità note su molti sistemi, senza sfruttarle. Come si svolge, passo per passo, lo trovi in vulnerability assessment: cos'è e come si fa.

Tempo macchina però non vuol dire costo zero. Il NIST ricorda che gli scanner possono avere un tasso elevato di falsi positivi e che i risultati vanno interpretati da qualcuno esperto di reti e sistemi operativi, tanto da definire la scansione un'attività che richiede un forte coinvolgimento umano per leggere i risultati (§4.3). Le voci che spostano il prezzo sono quindi il numero di host e applicazioni, la profondità della scansione (più completa vuol dire più lenta), le scansioni autenticate, la scrematura dei falsi positivi e la frequenza: un vulnerability assessment ha valore se si ripete, e il costo annuo va letto sul numero di cicli.

Se ti servono entrambe le risposte, molti fornitori le vendono insieme: cosa deve contenere il pacchetto e quando conviene comprarne solo una parte è in VAPT: cos'è e cosa include.

Ogni quanto: il costo nell'arco dell'anno

Il budget giusto non è quello di un test, è quello di un anno. Il NIST indica che, per costo e impatto potenziale, un penetration test annuale della rete e dei sistemi può essere sufficiente, e suggerisce di affiancargli attività meno onerose a cadenza regolare, come scansioni di rete e di vulnerabilità pianificate (§5.2.2). DORA chiede alle entità finanziarie diverse dalle microimprese test adeguati con cadenza almeno annuale su tutti i sistemi e le applicazioni a supporto di funzioni essenziali o importanti (art. 24, par. 6).

A questo si aggiungono i test dopo cambiamenti rilevanti, come una nuova applicazione esposta o una migrazione in cloud: a chi rilascia spesso conviene ragionare su un programma, non su singoli incarichi.

Se sei un'entità finanziaria individuata per il TLPT, il conto è un altro: DORA lo prevede con cadenza almeno triennale, sui sistemi di produzione a supporto delle funzioni essenziali o importanti (art. 26, par. 1 e 2). Come funziona è nell'articolo sui test di resilienza DORA e TLPT.

Le voci che il preventivo non scrive

Il prezzo del fornitore è solo una parte della spesa. Le altre si pagano in tempo interno:

• Preparazione. Inventario del perimetro, autorizzazioni scritte, account di test, accessi VPN, avviso ai fornitori che ospitano i tuoi sistemi.
• Presidio durante il test. Qualcuno reperibile nelle finestre concordate, pronto a fermare tutto se un servizio rallenta.
• Correzione. Patch, configurazioni, modifiche al codice. È spesso la voce più grande, e dipende da cosa trova il test.

Come chiedere preventivi confrontabili

Due offerte si confrontano solo se descrivono lo stesso lavoro. Prima di chiederle, metti per iscritto:

1. il perimetro per nome e indirizzo, con i sistemi esclusi;
2. il tipo di test: esterno, interno, applicativo, e i ruoli utente da provare;
3. il livello di conoscenza (black, grey, white box) e l'approccio, palese o occulto;
4. l'ambiente (produzione o staging) e le finestre in cui si può lavorare;
5. le giornate di test manuale, separate dal tempo di scansione;
6. chi esegue, con quali competenze, e chi risponde di eventuali danni;
7. cosa contiene il report e se il retest è incluso, entro quanto e per quante iterazioni.

Con questi sette punti scritti, la differenza di prezzo tra due fornitori torna a essere una differenza di lavoro. Un'offerta molto più bassa delle altre di solito ha meno giornate manuali o un retest assente: è lì che si guarda prima di firmare.

In sintesi

• Un penetration test manuale si paga a giornate di specialisti: non esiste un listino che valga per il tuo perimetro.
• Perimetro, esterno o interno, livello di conoscenza, approccio palese o occulto, ambiente, chi esegue e retest decidono quante giornate servono.
• Il vulnerability assessment costa meno per unità di perimetro, ma va ripetuto e i risultati vanno letti da una persona.
• Il budget va pensato sull'anno: test periodici, scansioni regolari e test dopo i cambiamenti rilevanti.
• Il TLPT di DORA è un esercizio di un altro ordine di grandezza, con una fase attiva di almeno 12 settimane.

Se vuoi capire cosa serve nel tuo caso, partiamo dal perimetro e dalla domanda a cui il test deve rispondere e ti prepariamo una stima personalizzata: cybersecurity gestita e penetration test autonomo con AmagisTech.