Punti Chiave
- La maggior parte delle organizzazioni dovrebbe condurre penetration test almeno annualmente, con settori ad alto rischio che testano trimestralmente
- PCI DSS 4.0 richiede pentest di rete annuale e test applicativi semestrali per i merchant che processano pagamenti con carta
- La NIS2 richiede "test regolari" per le entita essenziali e importanti, interpretato come almeno annuale dalla maggior parte delle autorità di vigilanza
- Cambiamenti infrastrutturali importanti, nuovi deployment e incidenti di sicurezza devono attivare test aggiuntivi indipendentemente dal programma
- I programmi di penetration test continui stanno emergendo come l'approccio più efficace per le organizzazioni con cicli di rilascio frequenti
Una delle domande più comuni che le organizzazioni pongono sul penetration testing e: ogni quanto dovremmo farlo? La risposta dipende dal settore, dai requisiti normativi, dal panorama delle minacce e dalla velocità di cambiamento dell'ambiente IT. Testare troppo raramente lascia lacune nella postura di sicurezza; testare troppo spesso senza scopo strategico spreca budget. Secondo un sondaggio del 2025 del SANS Institute, il 47% delle organizzazioni conduce penetration test annualmente, il 23% testa semestralmente, il 15% trimestralmente e solo l'8% ha implementato programmi di test continui. Questa guida fornisce raccomandazioni specifiche sulla frequenza per settore e delinea gli eventi che dovrebbero attivare test aggiuntivi.
Frequenza Raccomandata di Pentesting per Settore
| Settore | Frequenza Minima | Frequenza Raccomandata | Driver Principali |
|---|---|---|---|
| Servizi Finanziari / Banche | Annuale | Trimestrale | PCI DSS, DORA, NIS2, target ad alto valore |
| Sanita | Annuale | Semestrale | NIS2, GDPR, sensibilità dati paziente |
| E-commerce / Retail | Annuale | Semestrale + dopo modifiche importanti | PCI DSS, protezione dati clienti |
| SaaS / Tecnologia | Annuale | Trimestrale o continuo | Rilasci frequenti, requisiti contrattuali clienti |
| Manifatturiero / Industriale | Annuale | Semestrale | NIS2, convergenza OT/IT |
| Governo / Settore Pubblico | Annuale | Semestrale | NIS2, framework di sicurezza nazionale |
| Energia / Utility | Annuale | Trimestrale | NIS2 (entita essenziali), infrastrutture critiche |
| Istruzione | Annuale | Annuale + dopo modifiche importanti | GDPR, protezione dati studenti |
| Legale / Servizi Professionali | Annuale | Annuale | Riservatezza dati clienti, GDPR |
Requisiti di Frequenza Guidati dalla Compliance
Diverse normative specificano o suggeriscono fortemente frequenze minime di pentesting:
PCI DSS 4.0
Il PCI DSS 4.0 (in vigore da marzo 2025) e lo standard più prescrittivo sulla frequenza del pentesting. Richiede:
- Penetration test di rete annuale: test di rete sia interni che esterni almeno ogni 12 mesi (Requisito 11.4)
- Dopo modifiche significative: i test devono essere ripetuti dopo qualsiasi modifica significativa all'infrastruttura o all'applicazione
- Scansioni vulnerabilità trimestrali: sia interne che esterne (validate ASV per quelle esterne)
- Test di segmentazione semestrali: per gli ambienti che utilizzano la segmentazione di rete per ridurre l'ambito PCI DSS
Direttiva NIS2
La NIS2 (in vigore da ottobre 2024) richiede alle entita essenziali e importanti di implementare "misure tecniche appropriate e proporzionate" incluse "politiche di analisi dei rischi e sicurezza dei sistemi informativi, inclusa la gestione e divulgazione delle vulnerabilità" (Articolo 21). Sebbene non specifichi una frequenza esatta, la maggior parte delle autorità di vigilanza europee lo interpreta come richiedente almeno un penetration test annuale per le entita essenziali. Leggi la nostra guida dettagliata sui requisiti di compliance del pentesting per maggiori dettagli.
ISO 27001:2022
Il controllo ISO 27001 Allegato A A.8.8 (Gestione delle vulnerabilità tecniche) richiede alle organizzazioni di identificare e affrontare le vulnerabilità tecniche. Sebbene non imponga una frequenza specifica, il processo di audit di certificazione si aspetta evidenza di test regolari, tipicamente interpretato come almeno annuale.
DORA
DORA, applicabile alle entita finanziarie UE da gennaio 2025, richiede test di penetrazione avanzati basati sulle minacce (TLPT) almeno ogni 3 anni per i sistemi ICT critici, con test di resilienza annuali di tutti i sistemi critici.
Test Attivati da Eventi
Oltre ai test programmati, determinati eventi dovrebbero attivare automaticamente un penetration test aggiuntivo:
Trigger ad Alta Priorità (Test Entro 30 Giorni)
- Cambiamenti infrastrutturali importanti: migrazione cloud, spostamento data center, redesign dell'architettura di rete
- Lancio di nuove applicazioni: qualsiasi applicazione rivolta ai clienti o che elabora dati prima del go-live
- Modifiche significative al codice: rilasci di versioni principali, nuovi moduli funzionali, modifiche al sistema di autenticazione
- Recupero da incidente di sicurezza: dopo una violazione, per verificare l'efficacia della remediation
- Fusione o acquisizione: per valutare la postura di sicurezza delle entita acquisite prima dell'integrazione
Trigger a Media Priorità (Test Entro 90 Giorni)
- Nuove integrazioni di terze parti o connessioni API
- Modifiche ai meccanismi di autenticazione o autorizzazione
- Distribuzione di nuovi controlli di sicurezza (per verificarne l'efficacia)
- Cambiamenti significativi nel panorama delle minacce rilevanti per il settore
- Nuovi requisiti di compliance in vigore
Test Continuo vs. Periodico
Il modello tradizionale di penetration test annuale o semestrale viene sempre più integrato o sostituito da approcci di test continui:
Test Periodico (Tradizionale)
- Pro: costo annuale totale inferiore, valutazione completa point-in-time, modello familiare per la compliance
- Contro: lacune di sicurezza tra i test, mentalita snapshot, i risultati possono essere obsoleti quando vengono rimediati
- Ideale per: organizzazioni con ambienti stabili e cambiamenti poco frequenti
Test Continuo
- Pro: scoperta vulnerabilità in tempo reale, allineamento con workflow DevOps/CI-CD, cattura le vulnerabilità prima che raggiungano la produzione
- Contro: investimento annuale superiore, richiede maturità organizzativa, può generare alert fatigue senza triage adeguato
- Ideale per: aziende SaaS, organizzazioni con cicli di rilascio frequenti, target ad alto valore
Secondo il report 2025 State of Pentesting di Cobalt, le organizzazioni che utilizzano programmi di test continui o trimestrali hanno identificato 3,2x più vulnerabilità critiche all'anno rispetto a quelle che testano annualmente, e hanno rimediato quelle vulnerabilità il 67% più velocemente in media.
Costruire un Calendario di Test
| Trimestre | Attività | Ambito |
|---|---|---|
| Q1 | Pentest completo | Rete esterna + applicazioni web |
| Q2 | Scansione vulnerabilità + social engineering | Infrastruttura completa + campagna phishing |
| Q3 | Test di sicurezza applicativa | Applicazioni nuove o aggiornate + test API |
| Q4 | Esercitazione red team | Simulazione avversario a tutto campo |
| Continuo | Scansione vulnerabilità continua | Infrastruttura completa |
Trovare la Frequenza Giusta
La giusta frequenza di test bilancia tre fattori: requisiti di compliance normativa, tolleranza al rischio dell'organizzazione e velocità di cambiamento dell'ambiente IT. Se non sai da dove iniziare, comincia con test annuali e aumenta la frequenza in base ai risultati e al rischio in evoluzione.
Orizon Fireline offre programmi di penetration testing flessibili tra cui valutazioni annuali, cicli di test trimestrali e programmi di test continui adattati al profilo di rischio e ai requisiti di compliance della tua organizzazione.
Per informazioni dettagliate su quali normative specifiche richiedono il pentesting, consulta la nostra guida sui requisiti di compliance del pentesting.