Qualificazione ACN e penetration test: quando serve davvero

Nell’ambito della Qualificazione ACN (Qualificazione dei Servizi Cloud per la Pubblica Amministrazione – Agenzia per la Cybersicurezza Nazionale), la domanda utile non è se il penetration test sia sempre obbligatorio, ma quando un servizio cloud o SaaS destinato alla PA ha bisogno di una prova tecnica che mostri se superfici esposte, API, ruoli privilegiati e workflow amministrativi sono davvero sotto controllo.

Scegliere l’attività sbagliata — o nel momento sbagliato — significa produrre evidenze poco leggibili per buyer pubblici e auditor, con ricadute dirette su remediation, retest e credibilità del percorso di qualifica.

In breve: quando il penetration test conta per la Qualificazione ACN

Il penetration test è rilevante quando il percorso di qualifica deve coprire applicazioni, portali, API, componenti cloud, ruoli amministrativi o superfici internet-facing che possono incidere sulla sicurezza del servizio. Conviene invece partire da un Cloud Security Assessment quando il problema immediato è ancora chiarire perimetro tecnico, architettura o baseline di configurazione.

A chi serve questa guida

Questa pagina è utile per capire:

• quando il penetration test ha senso in un percorso legato alla Qualificazione ACN;
• quando conviene partire prima da un cloud security assessment o da uno scoping;
• come evitare attività costose ma poco allineate alle aspettative del committente pubblico;
• come scegliere la prova tecnica più credibile per lo scenario specifico.

Quando il penetration test è la scelta giusta

Ha senso avviare un penetration test quando:

• Esistono portali, API o componenti cloud da validare;
• Il rischio coinvolge ruoli privilegiati, tenant o superfici amministrative;
• Un buyer pubblico o un auditor richiede prove tecniche, non solo documentazione;
• È necessario dimostrare che il servizio regge sul piano operativo;
• La remediation deve essere confermata da un retest.

Quando non è la prima attività da avviare

Può non essere la leva giusta come primo passo quando:

• Non è ancora chiaro quali componenti del servizio siano davvero critici;
• Mancano mappa IAM, trust boundary o dipendenze operative;
• Serve prima capire configurazioni cloud e perimetro reale;
• Il requisito immediato è definire meglio scope e architettura, non ancora validarle.

Come scegliere la prova tecnica più adatta

Bisogno principale	Attività consigliata	Perché
Capire configurazioni cloud e perimetro del servizio	Cloud Security Assessment	Aiuta a definire bene perimetro e rischio prima di testare
Validare superfici applicative e aree riservate	Web Application Penetration Testing	Verifica sfruttabilità e impatto su portali, API e workflow
Verificare superfici esterne e hardening	Network Penetration Testing	Misura esposizione, pivoting e rischio operativo

L’errore più frequente nel percorso di qualifica

Documentazione di qualifica, cloud assessment e penetration test vengono spesso trattati come alternative. In pratica funzionano meglio in sequenza: prima si chiarisce il servizio, poi si testa ciò che conta davvero, infine si traduce il risultato in remediation e prove leggibili per il committente pubblico.

Domande frequenti sulla Qualificazione ACN e il penetration test

• La Qualificazione ACN rende il penetration test obbligatorio?
• Non in ogni scenario. Diventa però molto rilevante quando bisogna dimostrare che il servizio cloud destinato alla PA regge su superfici esposte, API e ruoli privilegiati.
• Cosa conviene fare prima del penetration test?
• Definire quali componenti del servizio sono critici, dove passano dati e privilegi, come funzionano IAM e trust boundary e quali superfici meritano verifica prioritaria.
• Come valutare se si sta scegliendo l’attività giusta?
• Se l’output aiuta buyer pubblici, auditor e management a capire rischio, priorità e stato di remediation sul servizio, la direzione è corretta. Se produce solo issue scollegate dal contesto della qualifica, probabilmente no.

Per capire se la Qualificazione ACN richiede un penetration test o prima un’altra forma di assessment, il passo utile è chiarire perimetro cloud, rischio e obiettivo decisionale. A seconda dello scenario, si può partire da un Cloud Security Assessment, passare al Web Application Penetration Testing per le superfici applicative e completare con il Network Penetration Testing per le esposizioni esterne.

Approfondimenti correlati

• La guida principale su Qualificazione ACN e penetration test offre il quadro completo del percorso di compliance;
• Per il tema delle evidenze, la pagina su audit e vendor assessment nella Qualificazione ACN approfondisce cosa produrre per auditor e buyer pubblici;
• Per la gestione operativa del progetto, la guida su scope, deliverable e retest nella Qualificazione ACN chiarisce come strutturare l’attività dalla definizione del perimetro al retest finale.