VAPT: cos'è, cosa include e quando conviene

VAPT è il nome commerciale del pacchetto che mette vulnerability assessment e penetration test in un solo contratto: prima una verifica in ampiezza che elenca le vulnerabilità note del perimetro, poi un test offensivo che ne sfrutta una parte per confermare quali siano davvero sfruttabili. L'acronimo sta per Vulnerability Assessment and Penetration Testing, non è uno standard e nessuna norma lo nomina: è un modo di comprare, e conviene quando la domanda che ti stai facendo è doppia.

La differenza tecnica fra le due attività l'abbiamo già sciolta nel confronto fra penetration test e vulnerability assessment. Qui l'oggetto è il pacchetto: come si struttura, in che ordine si eseguono le due parti, cosa deve arrivare alla fine, cosa chiedere a chi te lo quota e quando conviene comprarne una sola.

Cos'è il pacchetto VAPT, e cosa non è

VAPT è un acronimo di mercato: lo trovi nei listini e nei capitolati italiani perché descrive bene un'esigenza ricorrente, avere insieme la copertura ampia di una scansione e la profondità di un test condotto da persone. Non esiste però una norma, una certificazione o una metodologia che si chiami così, quindi la sigla non dice niente sul contenuto. Un VAPT può essere una scansione seguita da tre giornate di test manuale, oppure una scansione seguita da una rilettura del report della scansione: la differenza di merito, e di prezzo, sta in quante ore di lavoro umano ci sono dentro.

Il valore del pacchetto non sta nel fatto che le due attività siano diverse, ma nel fatto che una alimenta l'altra. Il NIST, nella Technical Guide to Information Security Testing and Assessment (SP 800-115, settembre 2008), lo mette in una riga: gli scanner di vulnerabilità verificano solo la possibile esistenza di una vulnerabilità, mentre la fase di attacco di un penetration test la sfrutta per confermarne l'esistenza. Lo stesso documento avverte che le scansioni hanno un tasso di falsi positivi elevato e che i risultati vanno interpretati da chi ha competenze di rete e di sistema. Tradotto: la scansione da sola produce una lista in cui non sai quali voci siano vere, e il test in sequenza la valida.

In che ordine si eseguono vulnerability assessment e penetration test

L'ordine standard è il vulnerability assessment prima e il penetration test dopo, e non è una convenzione commerciale. Il NIST SP 800-115 descrive il penetration test in quattro fasi (pianificazione, discovery, attacco, reporting) con un anello di ritorno fra attacco e discovery, perché ogni accesso ottenuto apre nuova superficie. Il vulnerability assessment, dentro il pacchetto, riempie la fase di discovery prima che i tester comincino a spendere ore su di essa.

Il pacchetto viene poi consegnato in due modi, ed è utile sapere quale ti stanno vendendo.

• Sequenziale. Il vulnerability assessment si chiude con un report, il cliente lo legge e solo allora si definisce il perimetro del penetration test. Richiede più tempo di calendario e un secondo scoping, ma ti lascia decidere dove spendere le giornate di test.
• Integrato. Le due parti stanno in un unico ingaggio: la scansione gira all'inizio e i tester la usano come input senza un passaggio formale. È più rapido e di norma meno oneroso, ma la scelta dei bersagli la fa il fornitore.

Il momento che decide tutto

Fra le due parti c'è un passaggio che nei preventivi quasi non compare e che invece determina il risultato: la selezione dei bersagli del penetration test. Da una scansione su qualche centinaio di host escono centinaia di segnalazioni e nessun budget copre lo sfruttamento di tutte, quindi qualcuno deve scegliere le dieci o venti che meritano di essere provate.

Quella scelta non si fa solo sul punteggio di gravità: un difetto grave su un sistema isolato conta meno di un difetto medio su un sistema esposto che tiene dati di clienti, e questa parte la conosci tu, non il fornitore. Chiedi che la selezione sia un momento esplicito con te al tavolo, non una riga nel report finale. Su come si leggono gli output di partenza c'è la guida ai penetration test tools.

Cosa si consegna alla fine

Un VAPT serio produce più di un PDF. Sei pezzi devono esserci.

1. Il perimetro effettivamente coperto, non quello contrattuale: cosa è stato testato davvero e cosa è rimasto fuori. È la parte che un auditor guarda per prima.
2. Il report del vulnerability assessment, con le vulnerabilità trovate, la gravità assegnata e l'indicazione di quali sono state scremate come falsi positivi.
3. Il report del penetration test, con le catene di attacco riprodotte passo per passo, le prove raccolte e l'impatto: quali dati sono diventati leggibili, quali privilegi sono stati ottenuti.
4. Un piano di remediation in ordine di priorità. Una lista ordinata per punteggio non è un piano: il piano tiene conto del contesto e dello sforzo.
5. Una sintesi leggibile da chi non fa questo mestiere, perché il budget della correzione lo approva qualcuno che non legge una catena di exploit.
6. Il retest, la verifica che le correzioni abbiano chiuso davvero quello che dovevano chiudere.

L'ultimo punto è quello su cui si contratta di più ed è quello con il sostegno normativo più netto: il Regolamento (UE) 2022/2554 (DORA), all'articolo 24, paragrafo 5, chiede alle entità finanziarie di definire procedure per dare priorità ai problemi riscontrati durante i test, classificarli e porvi rimedio, e di stabilire metodologie di convalida interne per accertare che tutti i punti deboli individuati siano pienamente affrontati. Un pacchetto che finisce con la consegna del report lascia scoperta proprio quell'ultima parte.

Cosa chiedere in un preventivo VAPT

Il NIST SP 800-115 dice che il piano di valutazione deve rispondere a cinque domande: qual è il perimetro, chi è autorizzato a condurre l'attività, quali sono gli aspetti logistici, come vanno trattati i dati sensibili e cosa succede in caso di incidente. Sono cinque ottime domande da fare prima di firmare.

• Perimetro. Quali sistemi, indirizzi IP e applicazioni sono dentro e quali fuori. Il NIST raccomanda di elencare per nome e indirizzo anche i sistemi che non devono essere toccati.
• Chi esegue. Nomi, competenze e indipendenza del team. DORA, all'articolo 24, paragrafo 4, chiede che i test siano svolti da soggetti indipendenti, interni o esterni, e che con un team interno siano evitati conflitti di interesse nelle fasi di progettazione ed esecuzione: è un criterio ragionevole anche fuori dal settore finanziario.
• Logistica. Finestre temporali, ambiente (produzione o copia), impatto atteso, chi si contatta se qualcosa si ferma.
• Dati raccolti. Dove vengono conservati durante e dopo l'attività, con quale cifratura, e quando vengono cancellati.
• Incidente vero durante il test. Cosa succede se i tester si imbattono nelle tracce di un attaccante reale: chi si avvisa, se il test si ferma, con quale autorità riprende.
• Quota di lavoro manuale. Quante giornate uomo di test condotto da persone, distinte dal tempo macchina della scansione. È la domanda che separa due preventivi apparentemente uguali.
• Retest. Incluso o a parte, entro quanti giorni dalla consegna, e su quante iterazioni.

Cosa muove il costo di un VAPT

Non esiste un prezzo di listino per il VAPT, per una ragione semplice: il pacchetto non ha un contenuto fisso. Questi sono i fattori che spostano la cifra.

• Ampiezza del perimetro. Host e indirizzi IP per la parte di rete, applicazioni e funzionalità per la parte applicativa.
• Numero di ruoli da testare. Su un'applicazione ogni profilo utente con permessi diversi è un test a sé: tre ruoli non costano come uno.
• Ambiente. Un test in produzione richiede cautele, finestre concordate e spesso orari notturni; una copia fedele costa meno da testare, ma va preparata.
• Livello di conoscenza iniziale. Black box, grey box o white box cambiano il tempo di ricognizione e la copertura raggiunta, come spiegato nella guida al penetration test.
• Quota di lavoro umano. La voce che pesa di più: la scansione è tempo macchina, lo sfruttamento è tempo di specialisti.
• Retest e iterazioni. Un ciclo di verifica incluso vale più di uno sconto sul primo giro.
• Vincoli di riservatezza e formato. Presenza in sede, report in due lingue, presentazione al consiglio di amministrazione.

Nessuno di questi fattori si stima leggendo un listino: si stimano in una conversazione di scoping di mezz'ora, in cui si guarda cosa hai e cosa ti serve dimostrare.

Quando conviene comprarne solo uno

Il pacchetto non è sempre la scelta giusta: in alcuni casi paghi due attività per una domanda sola.

Solo vulnerability assessment

Ha senso quando la domanda è "dove sono esposto adesso" su una superficie ampia: molti host, molte sedi, molti sistemi ereditati. È anche la scelta giusta per verificare l'effetto di una campagna di patch e per tenere una baseline nel tempo (come si fa un vulnerability assessment).

Solo penetration test

Ha senso quando il perimetro è piccolo e già noto e la domanda è "questa cosa qui regge": il caso tipico è una singola applicazione prima del go-live, dove il lavoro è un web application penetration test. Vale anche quando il vulnerability assessment lo fai già in casa con continuità: lì la scansione dentro il pacchetto è una spesa duplicata.

Quando serve un altro esercizio

Due situazioni escono dal perimetro del VAPT. La prima è quando il problema è la cadenza e non la profondità: con rilasci frequenti un pacchetto annuale invecchia in poche settimane, e il modello giusto è il penetration test as a service. La seconda è il TLPT previsto dall'articolo 26 di DORA, che le entità finanziarie individuate effettuano con cadenza almeno triennale (paragrafo 1) sui sistemi attivi di produzione a supporto delle funzioni essenziali o importanti (paragrafo 2): è un esercizio guidato dalla minaccia, non un VAPT, e non si sostituisce con uno (test di resilienza DORA).

Cosa chiede la conformità

Nessuna norma italiana o europea usa la parola VAPT: nessun auditor ti chiederà "il VAPT", ti chiederà l'evidenza delle attività che il pacchetto copre.

Il D.Lgs. 138/2024, che recepisce la NIS2, all'articolo 24, comma 2, include fra le misure minime la lettera e), sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità, e la lettera f), politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi. Per i soggetti inseriti in elenco nel 2025 la Determinazione ACN 379907/2025 fissa al 31 ottobre 2026 il termine per le misure di sicurezza di base; le altre coorti hanno termini propri, ricostruiti nell'articolo sulle scadenze NIS2. La ISO/IEC 27001:2022 prevede nell'Allegato A il controllo 8.8 sulla gestione delle vulnerabilità tecniche e il controllo 8.29 sui test di sicurezza in fase di sviluppo e accettazione.

DORA è la norma che più si avvicina a descrivere il pacchetto senza nominarlo: l'articolo 25, paragrafo 1, mette nello stesso elenco di test sia la valutazione e scansione delle vulnerabilità sia i test di penetrazione, e l'articolo 24, paragrafo 6, chiede test adeguati con cadenza almeno annuale sui sistemi a supporto di funzioni essenziali o importanti.

In sintesi

Il VAPT compra due attività complementari in un contratto solo, con un ordine preciso: la scansione mappa, il test conferma. Conviene quando ti servono entrambe le risposte e non hai già la prima in casa. Quello che distingue un pacchetto utile da uno decorativo si vede prima della firma: quante giornate di lavoro umano contiene, chi sceglie i bersagli del test, se il retest è dentro o fuori.

Per capire se ti serve il pacchetto o una sola delle due attività, e come dimensionare il perimetro, parliamone in una call di scoping: si parte da cosa hai già, non da un listino.