Costo penetration test a Milano: da cosa dipende il prezzo
Non esiste un prezzo fisso: il costo di un penetration test dipende soprattutto da perimetro, profondità dell'analisi e modalità di esecuzione. Per questo ogni fornitore serio a Milano parte da una breve fase di scoping e solo dopo formula un preventivo. In questa guida vediamo da cosa nasce il prezzo, come si confrontano le offerte e quali domande fare prima di firmare.
Non troverai cifre inventate: chi promette un importo preciso senza conoscere i tuoi sistemi sta stimando alla cieca. Troverai invece i criteri per capire se un preventivo è sensato.
Quanto costa un penetration test a Milano?
Non esiste un tariffario ufficiale né un prezzo medio affidabile valido per tutte le aziende. Il mercato milanese è molto eterogeneo: ci sono boutique specializzate, grandi società di consulenza e piattaforme che automatizzano parte del lavoro. Anche a parità di città, due offerte possono descrivere attività molto diverse.
Il modo corretto di ragionare è questo: il prezzo è il risultato di quanto lavoro qualificato serve per testare davvero i sistemi che ti interessa proteggere. Un sito vetrina e una rete aziendale con VPN, Active Directory e applicazioni su misura non richiedono lo stesso impegno.
I modelli di prezzo più diffusi
Di solito i preventivi seguono uno di questi schemi. Conoscerli aiuta a leggere le proposte.
- A giornate/uomo: si stima il numero di giorni di lavoro dei tecnici e si applica una tariffa giornaliera.
- A forfait per perimetro: un importo fisso per un insieme definito di indirizzi IP, applicazioni o sedi.
- Abbonamento o ricorrente: verifiche periodiche, spesso con strumenti automatizzati e analisi di un esperto.
- Ibrido: una parte automatizzata ripetibile e una parte manuale concentrata sui sistemi critici.
Il costo del penetration test: le voci che fanno variare il prezzo
Sono poche le variabili che spiegano gran parte delle differenze tra un preventivo e l'altro. Se le definisci bene prima di chiedere offerte, i confronti diventano molto più onesti.
Perimetro e dimensione dell'infrastruttura
Il numero di sistemi esposti, applicazioni web, API, sedi e segmenti di rete è il fattore principale. Più è esteso il perimetro, più tempo serve per mappare, testare e documentare. Un buon punto di partenza è un inventario aggiornato degli asset: strumenti come Nmap servono proprio a capire cosa è realmente raggiungibile.
Tipo di test: esterno, interno, web, wireless
Un test dall'esterno simula un attaccante su internet. Un test interno parte da una postazione già dentro la rete e verifica, per esempio, possibili privilege escalation o movimenti laterali. Le applicazioni web richiedono competenze specifiche, ad esempio su SQL injection e altre falle da OWASP Top 10. Ogni tipologia ha tempi e competenze diversi.
Metodo: black box, grey box, white box
Nel test black box il tester parte senza informazioni, con più tempo speso in ricognizione. Nel grey box e nel white box riceve credenziali o documentazione e può andare più in profondità sulle logiche applicative. Non è detto che il black box costi meno: dipende da cosa vuoi scoprire.
Profondità e livello di manualità
Una scansione automatica produce un elenco di possibili falle, mentre un penetration test completo verifica manualmente che siano sfruttabili ed elimina i falsi positivi. Più si sale verso simulazioni complesse, come il red teaming aziendale con scenari multi-fase, più il lavoro è lungo e il prezzo cresce. Ti aiuta anche la lettura di come vulnerabilità ed exploit siano due cose diverse: il test serve a capire quali falle diventano davvero un rischio.
Report, retest e supporto
Il valore finale è nel report: evidenze, gravità (spesso con punteggio CVSS), priorità e indicazioni di rimedio. Verifica se sono inclusi una presentazione dei risultati, il retest dopo le correzioni e il supporto agli sviluppatori. Puoi vedere com'è fatto un esempio di report di penetration test per capire cosa aspettarti.
Requisiti normativi e urgenza
Se il test serve per rispondere a un cliente, a un audit o a obblighi come la NIS2, può servire un formato di report specifico e una documentazione più strutturata. Anche le scadenze strette possono incidere sul prezzo, perché richiedono di riorganizzare il lavoro dei tecnici.
Perché il prezzo più basso non è sempre il più conveniente
Un test troppo economico spesso si riduce a una scansione automatica con un report generico. Rischi di spendere comunque e di non scoprire i problemi che contano. Il costo reale va confrontato con quello di un incidente: chi vuole una stima ragionata può partire dalle voci di costo di un attacco a una PMI descritte nel blog.
Il caso degli attacchi ai frigoriferi connessi in Europa lo mostra bene. La vulnerabilità era nota e divulgata da oltre un anno: non è servita particolare abilità agli attaccanti, ma è mancata la gestione delle vulnerabilità da parte di chi amministrava quelle reti. Un test periodico, abbinato a un buon processo di patch management, serve proprio a evitare di arrivare a quel punto.
Il penetration test fotografa la situazione di un momento. Se poi nessuno corregge, la spesa è sprecata: conviene quindi mettere nel budget anche il tempo del team interno per i rimedi.
Come confrontare i preventivi in modo corretto
Per paragonare offerte diverse serve che tutti partano dalle stesse informazioni. Questa è una sequenza pratica.
- Definisci l'obiettivo: conformità, richiesta di un cliente, verifica prima di un rilascio o valutazione generale del rischio.
- Prepara l'elenco degli asset: domini, indirizzi IP, applicazioni, sedi, ambienti cloud.
- Chiedi lo stesso perimetro a più fornitori e confronta cosa è incluso, non solo il totale.
- Verifica metodologia e competenze: riferimenti a standard riconosciuti, esperienza dei tecnici, strumenti usati. Chiedi evidenze, non slogan.
- Controlla le clausole: autorizzazione scritta al test, riservatezza, finestre di esecuzione, gestione di eventuali interruzioni.
- Chiedi un esempio di report e se il retest è compreso.
Domande da fare prima di firmare
- Quali attività sono manuali e quali automatizzate?
- Quanti giorni di lavoro sono previsti e da chi saranno svolti?
- Come vengono classificate le vulnerabilità e come si legge il punteggio CVSS nel report?
- Il retest è incluso? Entro quanto tempo?
- Cosa succede se emerge una falla critica durante il test?
Penetration test manuale o automatizzato: cosa cambia sul budget
Gli strumenti automatizzati permettono di ripetere i controlli con maggiore frequenza e di contenere i costi sul lungo periodo, soprattutto per perimetri ampi. Il lavoro umano resta però insostituibile per concatenare le falle e valutare l'impatto reale sul business.
Una strategia equilibrata prevede controlli automatizzati ricorrenti e test manuali mirati sui sistemi più critici. Se vuoi capire come funziona l'approccio automatizzato, leggi la guida su FRED, il penetration test automatizzato.
Per chi parte da zero, un primo passo spesso sensato è una Ricerca delle vulnerabilità sul perimetro esposto, per capire dove concentrare il test approfondito e dimensionare meglio il preventivo.
Conclusione
Il prezzo di un test non si decide a priori: nasce da perimetro, metodo, profondità e qualità del report. Il modo migliore per ottenere un preventivo affidabile è arrivare preparato, con obiettivi chiari e un inventario dei sistemi. E ricordare che il valore sta nelle vulnerabilità corrette, non nel documento consegnato.
Se vuoi un preventivo costruito sul tuo perimetro reale, puoi consultare i servizi di Fred for Security e valutare insieme a un tecnico quale tipo di test è più adatto alla tua azienda a Milano.
Domande frequenti
Un penetration test costa di più di un vulnerability assessment?
In genere sì, perché il penetration test prevede tentativi manuali di sfruttare le vulnerabilità e richiede più tempo di un analista esperto. Il vulnerability assessment è più automatizzato e identifica le falle senza sfruttarle. La differenza reale però dipende dal perimetro e dal livello di approfondimento richiesto.
Ogni quanto va ripetuto un penetration test?
Una regola comune è ripeterlo almeno una volta l'anno e ogni volta che cambiano in modo rilevante infrastruttura, applicazioni o fornitori. Se i sistemi si aggiornano di frequente, conviene affiancare verifiche periodiche più leggere. La cadenza giusta va valutata sul rischio specifico dell'azienda.
Il preventivo include anche la correzione delle vulnerabilità?
Di solito no: il penetration test produce un report con evidenze e indicazioni di rimedio, mentre la correzione è a carico del team IT o di un fornitore. Chiedi sempre se è compreso un retest di verifica dopo le correzioni, perché spesso è una voce separata.
Una PMI di Milano ha davvero bisogno di un penetration test?
Sì, se gestisce dati di clienti, servizi esposti su internet o fa parte della filiera di aziende più grandi. Gli attaccanti scansionano la rete in modo automatico e non scelgono per dimensione. Un test mirato aiuta a scoprire per primi ciò che un attaccante troverebbe.