Marketplace AgID e penetration test per la PA

Il Marketplace AgID (Agenzia per l’Italia Digitale) è il contesto in cui la Pubblica Amministrazione qualifica, confronta e seleziona servizi digitali: non valuta solo funzionalità o prezzo, ma affidabilità, sicurezza operativa e capacità di produrre evidenze tecniche verificabili.

Quando un servizio SaaS, cloud o applicativo deve risultare credibile verso enti pubblici, il penetration test incide direttamente sulla fiducia nel fornitore e sulla solidità della documentazione presentata. Senza scope, evidenze e retest allineati al contesto del Marketplace, le dichiarazioni commerciali restano difficili da sostenere in fase di audit o vendor assessment.

Cosa conta davvero per il Marketplace AgID

La PA non si ferma alla scheda servizio: valuta segregazione degli ambienti, controllo degli accessi, tracciabilità delle azioni sensibili e maturità complessiva del fornitore. Quando questi requisiti dipendono da applicazioni, portali, API, tenant o workflow di erogazione, il penetration test trasforma dichiarazioni commerciali in prove tecniche credibili. Il suo valore cresce quando collega i finding tecnici all’impatto su procurement, qualificazione e fiducia dell’ente acquirente.

A chi è rilevante questa guida

Il contenuto è utile a CISO, CTO, Responsabili commerciali PA, Compliance Manager e Product Manager che devono collegare la qualifica nel Marketplace al rischio tecnico, nonché a fornitori SaaS, cloud provider e software house che lavorano con la PA e affrontano vendor assessment, richieste documentali, audit tecnici o percorsi di qualificazione.

Perché il rischio tecnico conta nel Marketplace AgID

In un percorso legato al Marketplace AgID, le vulnerabilità tecniche possono compromettere elementi chiave:

• Credibilità della scheda servizio e delle dichiarazioni rese al buyer pubblico;
• Segregazione tra tenant, ambienti di test, produzione e account di supporto;
• Controllo degli accessi amministrativi e tracciabilità delle azioni sensibili;
• Affidabilità di API, portali e componenti esposti agli enti clienti;
• Capacità di sostenere audit, richieste di chiarimento e verifiche documentali.

Per questo, anche quando il Marketplace non richiede esplicitamente un penetration test in ogni caso, la verifica tecnica diventa spesso la prova più utile per dimostrare che il servizio sia davvero maturo e non solo ben descritto.

Dove il penetration test produce valore concreto

Il penetration test è utile soprattutto quando occorre dimostrare che il servizio esposto alla PA non presenti vulnerabilità facilmente sfruttabili, che ruoli, autorizzazioni e account di supporto non creino escalation indebite, che portali, API e ambienti multi-tenant reggano a scenari di abuso realistici e che remediation e retest producano una prova leggibile anche da auditor, buyer o management.

Nei test su servizi presenti o in ingresso nel Marketplace ACN/AgID, i finding più ricorrenti riguardano portali amministrativi accessibili da enti diversi senza segregazione adeguata, API esposte agli enti PA che non verificano l’identità dell’ente richiedente e ambienti di gestione raggiungibili con credenziali di supporto prive di MFA.

Cosa verificano buyer, auditor e valutatori

Un responsabile acquisti PA, un CIO di ente pubblico o un valutatore in fase di gara che esamina un servizio nel Marketplace ACN chiede cose precise:

• Il servizio è qualificato ACN per la categoria e il livello di sicurezza corrispondenti al tipo di dati trattati dall’ente;
• Portali, API e ambienti di gestione sono stati verificati tecnicamente in modo indipendente;
• I finding impattano segregazione tra enti, disponibilità del servizio o accesso ai dati pubblici trattati;
• Il fornitore dispone di documentazione tecnica aggiornata e verificabile da mostrare in fase di due diligence;
• Esiste un retest recente che conferma la chiusura delle criticità più rilevanti.

Mappatura tra aree di rischio, evidenze e attività

Area da validare	Evidenza utile	Attività ISGroup più adatta	Output atteso
Portali e superfici applicative usate dagli enti	Vulnerabilità sfruttabili e impatto sul servizio	Web Application Penetration Testing	Executive summary, finding, remediation
Ambienti cloud, segregazione e configurazioni	Errori di hardening, accesso e trust boundary	Cloud Security Assessment	Dettaglio tecnico e priorità
Rete, accessi di supporto e componenti infrastrutturali	Pivoting, esposizione, hardening debole	Network Penetration Testing	Report tecnico e rischio operativo
Governo del miglioramento	Roadmap, remediation, retest e presidio	Virtual CISO	Piano di miglioramento e riesame

Scenario operativo tipico

Un fornitore che propone un servizio applicativo alla PA deve spesso sostenere richieste tecniche su sicurezza, segregazione degli ambienti, accesso degli amministratori e affidabilità del portale. La documentazione può essere formalmente completa, ma quando arriva una verifica tecnica emergono domande più scomode: gli enti condividono lo stesso tenant? Gli operatori di supporto hanno privilegi eccessivi? Le API esposte ai clienti pubblici possono essere abusate? Il portale amministrativo riflette davvero i controlli dichiarati? In quel momento il penetration test diventa lo strumento per trasformare la presenza nel Marketplace AgID in evidenza tecnica concreta. Un riferimento utile in questo contesto è il caso ISWEB S.p.A., che mostra come ISGroup traduca verifica tecnica, remediation e fiducia del cliente in un risultato leggibile anche fuori dal team security.

Errori frequenti da evitare

• Trattare il Marketplace come un tema solo amministrativo e non come un problema di credibilità tecnica;
• Limitare lo scope a un singolo componente quando il servizio reale è più ampio;
• Confondere vulnerability assessment e penetration test in un contesto di procurement pubblico;
• Produrre un report tecnico senza collegarlo a qualificazione, vendor assessment e fiducia dell’ente;
• Chiudere l’attività senza retest.

Domande frequenti sul Marketplace AgID e penetration test

• Cos’è il Marketplace ACN e chi può vendere alla PA tramite esso?
• Il Marketplace ACN (precedentemente Cloud Marketplace AgID) è la piattaforma italiana che raccoglie i servizi cloud qualificati acquistabili dalla Pubblica Amministrazione. Solo i provider che hanno ottenuto la qualificazione ACN per il servizio specifico possono inserirlo nel marketplace, con l’obiettivo di garantire che la PA acquisti solo servizi cloud verificati per sicurezza, affidabilità e conformità normativa.
• Il penetration test aiuta a ottenere o mantenere la qualificazione ACN?
• Sì: i requisiti tecnici della qualificazione includono misure di verifica della sicurezza, tra cui penetration test e vulnerability management. Un test aggiornato e documentato riduce i tempi di valutazione nella fase di qualificazione e risponde direttamente alle richieste di evidenza tecnica durante l’audit ACN.
• Come si differenzia la qualificazione SaaS da quella IaaS/PaaS nel marketplace?
• I requisiti tecnici variano per categoria: SaaS include requisiti sull’applicazione web, sulla gestione degli utenti e sulla sicurezza dei dati; IaaS e PaaS includono requisiti sull’infrastruttura, sull’isolamento delle risorse e sulle API di gestione. Il penetration test deve essere allineato alla categoria specifica: un test solo applicativo non copre i requisiti di un’offerta IaaS.

Per collegare la presenza nel Marketplace AgID a evidenze tecniche davvero spendibili, il primo passo utile è chiarire quali componenti del servizio influenzano segregazione, accessi e affidabilità verso la PA. A seconda dello scope, è possibile partire da un Cloud Security Assessment, affiancare un Web Application Penetration Testing o un Network Penetration Testing, e strutturare il percorso con il supporto di un Virtual CISO per rendere il lavoro leggibile, verificabile e convincente in fase di audit o gara.

Approfondimenti correlati

• Per capire quando il penetration test è davvero necessario nel contesto del Marketplace AgID, è utile leggere quando il penetration test conta davvero per il Marketplace AgID;
• Per affrontare audit, vendor assessment e richieste di evidenza da parte del buyer pubblico, è disponibile l’approfondimento su evidenze utili per audit e vendor assessment nel Marketplace AgID;
• Per definire scope, deliverable e retest in modo coerente con il contesto, è disponibile la guida pratica su scope, deliverable e retest per il Marketplace AgID.