Prima di un pentest servono un perimetro preciso e regole condivise. Ecco come preparare accessi, contatti, limiti operativi e gestione delle evidenze. La preparazione determina quanto il test sarà utile e gestibile. La guida al penetration testing spiega il percorso completo; qui definiamo ciò che committente e tester devono chiarire prima delle attività. Partire dall'obiettivo, non dall'elenco di strumenti "Controllare la sicurezza" è troppo generico per progettare un incarico. "Verificare che un utente cliente non possa leggere i fascicoli di altri clienti" permette invece di scegliere ruoli, dati e prove. Scrivi la domanda principale e le decisioni che il risultato deve supportare. Per un portale con area riservata, la scheda iniziale può indicare applicazione, ambiente, versione, ruoli disponibili e responsabile. Se il portale usa un servizio di pagamento esterno, distingui l'integrazione gestita dall'azienda dai sistemi del fornitore. Un componente collegato non è automaticamente compreso nel test. Autorizzazione e perimetro L'incarico deve individuare chi autorizza le attività e su quali asset può farlo. Domini, indirizzi, applicazioni, tenant e account inclusi vanno descritti senza ambiguità; serve anche un elenco delle esclusioni. Le regole dei fornitori cloud e delle terze parti devono essere verificate prima delle prove che li coinvolgono. Il NIST SP 800-115 tratta pianificazione e regole d'ingaggio nelle valutazioni tecniche. La lezione operativa è preparare confini e procedure prima di incontrare un problema, non durante l'emergenza. Definire intensità e condizioni di interruzione Concorda finestre orarie, ambienti disponibili e modalità di comunicazione. Specifica quali attività richiedono un consenso separato: prove che possono consumare molte risorse, modifiche ai dati, social engineering o coinvolgimento di sistemi particolarmente delicati non vanno lasciati impliciti. Esempio: il gestionale genera fatture e comunica con un archivio reale. Il gruppo sceglie inizialmente una copia isolata con documenti fittizi. Una successiva verifica in produzione riguarda soltanto controlli definiti e viene seguita dal referente applicativo. Il risultato potrà distinguere le due coperture senza attribuire al test di laboratorio conclusioni sull'intero ambiente reale. Preparare persone, accessi e prove Prima dell'avvio verifica che gli account funzionino e abbiano i ruoli concordati. Decidi chi riceve una segnalazione critica, quale canale usare e chi può fermare le attività. Prepara la custodia delle evidenze, la loro consegna e il periodo di conservazione. Utilizza dati sintetici quando bastano a dimostrare il comportamento. Checklist per la riunione iniziale • Obiettivo verificabile e responsabile dell'incarico. • Asset inclusi, terze parti ed esclusioni. • Accessi e documentazione consegnati al tester. • Attività consentite e condizioni di arresto. • Referenti raggiungibili durante le prove. • Modalità di consegna, protezione e cancellazione delle evidenze. • Report atteso e criteri della successiva verifica. Conserva queste decisioni insieme alla documentazione tecnica del servizio. Quando cambia il perimetro, aggiorna l'accordo prima di estendere le prove. Poi scegli il modello black box, gray box o white box e prepara le fasi operative del pentest.