Approfondimenti · Vulnerabilità
Processo di gestione delle vulnerabilità: dal rilevamento alla remediation
La gestione delle vulnerabilità è il processo ricorrente con cui si individuano le vulnerabilità nei sistemi, le si valuta in base al rischio, le si corregge e se ne documenta la correzione. Non conta il numero di risultati, ma l'ordine giusto.
Aggiornato il 14 novembre 2026
FIGProcesso di gestione delle vulnerabilità
Le sei fasi del processo
- Inventario: senza un inventario completo degli asset alcuni sistemi restano non verificati (vedi attack surface management).
- Rilevamento: scanner, agenti e connettori cloud forniscono i risultati.
- Valutazione: combinare gravità, sfruttabilità, raggiungibilità e valore per il business.
- Prioritizzazione: stabilire l'ordine in base al rischio e assegnare le scadenze.
- Remediation: patch, modifica della configurazione o misura compensativa.
- Verifica e documentazione: nuova scansione, esito documentato.
Perché il solo CVSS non basta
Il punteggio CVSS descrive la gravità tecnica di una vulnerabilità, non il rischio per la Sua azienda. Gran parte delle vulnerabilità con CVSS elevato non viene mai sfruttata o riguarda sistemi che non sono nemmeno raggiungibili. Chi lavora rigorosamente secondo il CVSS impiega risorse nei punti sbagliati.
Segnali migliori: EPSS, KEV e percorsi di attacco
- L'EPSS (Exploit Prediction Scoring System di FIRST) stima la probabilità che una vulnerabilità venga sfruttata nei prossimi 30 giorni.
- Il catalogo KEV dell'agenzia statunitense CISA elenca le vulnerabilità di cui è documentato lo sfruttamento attivo.
- Raggiungibilità e percorsi di attacco mostrano se una vulnerabilità è raggiungibile dall'esterno e porta a sistemi critici: è ciò che fa l'exposure management.
Scadenze ed evidenze
Le scadenze di remediation dovrebbero dipendere dal rischio, ad esempio pochi giorni per vulnerabilità attivamente sfruttate e raggiungibili su sistemi critici. Per gli audit secondo ISO/IEC 27001 (Allegato A 8.8 «Gestione delle vulnerabilità tecniche») e per la NIS2 conta che processo, scadenze e remediation siano documentati in modo tracciabile.
Che cosa conta in un software di gestione delle vulnerabilità
- Unificazione di tutte le fonti senza duplicati
- Prioritizzazione in base a sfruttabilità e raggiungibilità, non solo al CVSS
- Attività con contesto per i team responsabili
- Verifica automatica dopo la remediation
- Report con andamento storico per auditor e direzione
01Piattaforma
Prodotti correlati
02FAQ
Domande frequenti
Che cos'è la gestione delle vulnerabilità basata sul rischio?
Un approccio che assegna le priorità alle vulnerabilità non solo in base alla gravità tecnica, ma al rischio reale: sfruttabilità, raggiungibilità e importanza del sistema coinvolto.
Qual è la differenza tra CVSS ed EPSS?
Il CVSS valuta quanto è grave tecnicamente una vulnerabilità. L'EPSS stima quanto è probabile che venga sfruttata a breve. Insieme danno un quadro migliore di ciascuno dei due da solo.
Con quale frequenza bisogna eseguire le scansioni?
I sistemi critici e raggiungibili da Internet in modo continuo, quelli interni almeno una volta a settimana, e sempre dopo modifiche sostanziali.
Know your exposure.
Control your risk.
3Contatti
Parli con noi della Sua superficie di attacco, delle Sue priorità e del modo più adatto per iniziare con XMfortress.