CYBSicurezza informatica

Quanto costa un penetration test: i fattori del prezzo e le due domande da fare prima

Il prezzo di un penetration test dipende da perimetro, approccio, lavoro manuale, documentazione e nuova verifica. Come leggere un preventivo, che cosa chiedono le norme e che cosa deve restare dopo il test.

Redazione Strategic 22 luglio 2026 Aggiornato il 16 settembre 2026 8 min di lettura

Quanto costa un penetration test: i fattori del prezzo e le due domande da fare prima

Il costo di un penetration test dipende soprattutto dal lavoro qualificato che richiede, di norma misurato in giornate, e quel lavoro dipende da cinque fattori: il perimetro da provare, l’approccio (black, grey o white box), la quota di verifiche manuali, i requisiti di documentazione e la nuova verifica dopo le correzioni. Per questo non esiste un listino valido per tutti. Un prezzo serio arriva dopo aver risposto ad altre due domande: che cosa si vuole mettere alla prova e che cosa si farà con i risultati.

Perché due preventivi per «lo stesso» test possono essere così diversi?

Perché spesso non descrivono lo stesso lavoro. Sotto il nome «penetration test» si trovano offerte che vanno da una scansione automatica con un rapporto generato da un programma a settimane di lavoro di specialisti che provano le logiche di un’applicazione con utenti di ruoli diversi.

Una scansione automatica ha il suo valore, ma non è un penetration test. Chi propone un prezzo fisso senza conoscere il perimetro rischia di vendere proprio quella: un resoconto buono per archiviare una pratica, che difficilmente dice dove un attaccante entrerebbe davvero.

Vulnerability assessment o penetration test: che differenza c’è?

Il vulnerability assessment cerca le debolezze note di sistemi e applicazioni, in gran parte con strumenti automatici, e le elenca per gravità. Il penetration test prova a sfruttarle, come farebbe un attaccante, su un perimetro autorizzato per iscritto: combina più debolezze, verifica fin dove si arriva e distingue i rischi reali dai falsi allarmi. La guida tecnica del NIST sui test di sicurezza tratta le due attività come complementari.

	Vulnerability assessment	Penetration test
Obiettivo	trovare le debolezze note	dimostrare che cosa si riesce a fare sfruttandole
Come si fa	soprattutto con strumenti automatici, poi verifica dei risultati	lavoro manuale di specialisti, con strumenti di supporto
Che cosa restituisce	un elenco ampio, ordinato per gravità	percorsi d’attacco, prove, impatto e correzioni
Quando serve	con regolarità, su tutto il perimetro	sui sistemi più importanti, prima dell’avvio e dopo cambiamenti rilevanti

Quali fattori fanno il prezzo?

Sono pochi, e vanno chiariti prima di parlare di cifre.

Fattore	Che cosa chiarire	Perché pesa
Perimetro	quanti indirizzi, applicazioni web, interfacce per programmi (API), app mobili, ambienti cloud, reti interne, sedi	ogni elemento richiede tempo di analisi e di prova
Approccio	black, grey o white box	cambia il tempo di ricognizione e la profondità raggiungibile
Profondità	quota di verifiche manuali, numero di ruoli utente da provare, logiche di business da mettere alla prova	il lavoro manuale è quello che trova i problemi più gravi
Vincoli operativi	finestre orarie, ambiente di produzione o di prova, sistemi delicati da non disturbare	più vincoli significano più coordinamento
Documentazione	requisiti di un cliente, della NIS2, di DORA o di PCI DSS; sintesi per la direzione	un resoconto destinato a terzi richiede più cura
Nuova verifica	se è prevista dopo le correzioni, e su che cosa	senza, non si sa se le correzioni funzionano

Senza perimetro, approccio e nuova verifica, un preventivo non si può confrontare.

Black box, grey box o white box: quale scegliere?

La scelta dipende da che cosa si vuole sapere, non da quale approccio costa meno.

Approccio	Che cosa simula	Che cosa serve dall’azienda	Quando conviene
Black box	un attaccante esterno che parte da zero	solo il perimetro autorizzato	per vedere ciò che è esposto su internet, così come lo vede chi attacca
Grey box	un utente con credenziali: cliente, dipendente, fornitore	account di prova con ruoli diversi	per applicazioni con accesso riservato, dove si nasconde gran parte del rischio
White box	chi conosce codice e architettura	documentazione, codice sorgente, schemi	per andare a fondo in meno tempo, su sistemi critici o sviluppati su misura

A parità di tempo il black box esplora meno in profondità, perché parte del lavoro va nella ricognizione; il white box va più a fondo, ma richiede un accordo di riservatezza solido. Per le applicazioni aziendali il grey box è spesso il compromesso più utile.

Che cosa deve restare dopo il test?

Il valore di un test sta in ciò che l’azienda riesce a correggere. Un buon resoconto contiene:

una sintesi per la direzione, leggibile senza competenze tecniche: che cosa è stato provato, che cosa si è trovato, che cosa fare per primo;
la parte tecnica: perimetro, date, approccio, metodologia di riferimento (per esempio la guida OWASP per le applicazioni web);
per ogni vulnerabilità: descrizione, prove, gravità (spesso espressa con il sistema di punteggio CVSS), impatto per l’azienda, correzione proposta e chi può eseguirla;
un ordine di lavoro, non solo un elenco;
l’esito della nuova verifica, quando è prevista.

Per i soggetti essenziali della NIS2 in Italia il contenuto minimo è fissato: le specifiche di base dell’Agenzia per la Cybersicurezza Nazionale chiedono relazioni con la descrizione delle attività svolte e dei loro esiti e delle vulnerabilità rilevate con il loro livello di impatto.

Ogni quanto va ripetuto, e che cosa chiedono le norme?

Dipende dal settore e dal rischio. I riferimenti principali sono questi.

NIS2 in Italia. Per i soggetti essenziali, le specifiche di base dell’ACN (Determinazione n. 379907/2025, misura ID.RA-01) prevedono, almeno per i sistemi rilevanti, attività periodiche di identificazione delle vulnerabilità che comprendano vulnerability assessment e/o penetration test, e comunque prima della messa in esercizio. Per tutti i soggetti NIS la direttiva chiede procedure per valutare l’efficacia delle misure di sicurezza.
Settore finanziario (DORA). Il regolamento (UE) 2022/2554 chiede test almeno annuali sui sistemi che sostengono funzioni essenziali o importanti, tra cui possono rientrare i penetration test, e test di penetrazione guidati dalla minaccia almeno ogni tre anni per le entità individuate.
Pagamenti con carta (PCI DSS). Lo standard, nella versione 4.0.1, chiede penetration test interni ed esterni almeno ogni dodici mesi e dopo ogni cambiamento significativo.
Tutti gli altri. La prassi è legare i test al rischio e ai cambiamenti: una nuova applicazione, una migrazione, un’acquisizione, l’apertura di un nuovo accesso dall’esterno.

Per le imprese sammarinesi il quadro è diverso e va valutato caso per caso.

Che cosa serve prima di iniziare?

Un penetration test è un attacco autorizzato, e l’autorizzazione deve essere scritta e firmata da chi ha titolo sui sistemi: in Italia l’accesso abusivo a un sistema informatico è un reato (articolo 615-ter del codice penale). Se alcuni sistemi sono ospitati da fornitori, come hosting o servizi in cloud, vanno verificate anche le loro regole.

Servono poi regole d’ingaggio chiare:

perimetro ed esclusioni, date, orari e referenti raggiungibili;
che cosa fare se emerge una vulnerabilità critica o il segno di un attacco già avvenuto: la falla di cPanel mostra quanto a lungo una porta sul retro può restare nascosta;
come vengono trattati e cancellati i dati visti durante il lavoro;
copie di sicurezza verificate prima di toccare sistemi delicati, come spiega l’articolo sul tassello mancante.

Come si confrontano due preventivi?

Otto domande per capire se due offerte descrivono lo stesso lavoro:

Il perimetro è scritto, sistema per sistema?
Quante giornate sono previste, e quante persone con quale esperienza?
Quanta parte del lavoro è manuale?
Quale approccio e quale metodologia di riferimento?
La nuova verifica è inclusa, e su che cosa?
Il resoconto comprende una sintesi per la direzione e le correzioni proposte?
Come vengono protetti i risultati e i dati incontrati durante il test?
Chi è raggiungibile se durante il test qualcosa smette di funzionare?

E gli assistenti di intelligenza artificiale?

Se l’azienda usa assistenti o agenti AI collegati a posta, documenti o gestionale, anche quelli fanno parte del perimetro. L’elenco dei rischi pubblicato da OWASP per le applicazioni basate su modelli linguistici mette al primo posto la prompt injection, cioè istruzioni nascoste nei contenuti che l’assistente legge; seguono, tra gli altri, la divulgazione di informazioni riservate e l’eccessiva autonomia degli agenti. Verificare questi sistemi è parte del lavoro di sicurezza e governance dell’intelligenza artificiale.

Quanto costa non farlo?

Un incidente comporta costi diretti (fermo, ripristino, analisi forense, eventuali notifiche e sanzioni per chi è soggetto alla NIS2) e costi meno visibili: il tempo della direzione, i rapporti con clienti e partner. Un penetration test non elimina il rischio, ma mostra dove si trova mentre c’è tempo per ridurlo. E, come racconta la lettera di un attaccante pentito, spesso basta chiudere le porte più facili perché chi attacca passi oltre.

In sintesi

Il costo dipende da perimetro, approccio, lavoro manuale, documentazione e nuova verifica: non esiste un listino.
Una scansione automatica non è un penetration test; i due strumenti sono complementari.
Black box per ciò che vede chi attacca, grey box per le applicazioni con accesso, white box per i sistemi critici.
Il resoconto serve se ha sintesi per la direzione, prove, gravità e correzioni in ordine.
NIS2 (soggetti essenziali), DORA e PCI DSS fissano cadenze e contenuti; per gli altri decidono rischio e cambiamenti.
Prima di iniziare: autorizzazione scritta, regole d’ingaggio, copie verificate.

Domande frequenti

Quanto costa un penetration test?

Dipende dal lavoro che richiede: quanti sistemi e applicazioni si provano, con quale approccio, quanta parte manuale, quale documentazione e se è prevista la nuova verifica. Per questo il prezzo si definisce dopo aver scritto il perimetro, in una proposta che elenca attività, tempi ed esclusioni.

Quanto dura un penetration test?

Dipende dal perimetro: un’applicazione limitata richiede pochi giorni di lavoro, un perimetro con più applicazioni, sedi e ambienti cloud può richiedere settimane, tra preparazione, test e resoconto. Correzioni e nuova verifica vengono dopo.

La NIS2 obbliga a fare penetration test?

In Italia le specifiche di base dell’ACN prevedono, per i soggetti essenziali e almeno per i sistemi rilevanti, attività periodiche che comprendano vulnerability assessment e/o penetration test, documentate in apposite relazioni. Per i soggetti importanti le specifiche di base chiedono di identificare le vulnerabilità e di gestirle con un piano, senza indicare questi strumenti in modo esplicito.

Si può fare un penetration test sui sistemi in produzione?

Sì, con regole precise: orari concordati, esclusione delle prove che possono interrompere il servizio, referenti raggiungibili e copie di sicurezza verificate. Quando esiste un ambiente di prova fedele, alcune verifiche si spostano lì.

Un penetration test utile parte da un perimetro scritto e finisce con correzioni verificate. La divisione Cybersecurity di Strategic svolge penetration test e vulnerability assessment su perimetri autorizzati per iscritto, con un resoconto per l’IT, una sintesi per la direzione e la nuova verifica concordata.

Fonti

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.