Un’azienda senza team di sicurezza raccoglie asset, vulnerabilità e policy a mano, poi prova a mapparli sui requisiti in fogli separati. Per un audit l’evidenza resta frammentaria e sempre da ricostruire.
CyberAgent
Readiness NIS2, superficie d'attacco sotto l'osservazione continua dell'agente e sfruttabilità validata: rischi qualificati ed evidenze pronte, non liste di CVE.
Caso d'uso · Piattaforma disponibileOggi Con CyberAgent
Readiness NIS2
Dalla direttiva NIS2 alle evidenze, anche senza un SOC interno.
Fino a €10M o 2% del fatturatola sanzione che la NIS2 mette in gioco
L’agente mappa vulnerabilità e misure sui requisiti NIS2, tiene la superficie sotto osservazione continua e prepara report e checklist pronti per il board e per gli auditor.
Cos'è
La NIS2 estende gli obblighi di sicurezza informatica a migliaia di PMI in settori essenziali e importanti. Chiede misure tecniche e organizzative adeguate, gestione delle vulnerabilità e responsabilità in capo agli organi di gestione.
Riferimenti
Direttiva (UE) 2022/2555 (NIS2); D.Lgs. 138/2024 (recepimento italiano). Framework: ISO/IEC 27001. Settore finanziario: Regolamento (UE) 2022/2554 (DORA).
Cosa mostra CyberAgent
misure mancantivulnerabilità sui requisitichecklist di conformitàevidenze per l’auditorpriorità e scadenze
Caso d'uso · Piattaforma disponibileOggi Con CyberAgent
Superficie d’attacco sotto controllo
Da una scansione trimestrale a un presidio continuo su rete, web app e API.
Copertura continuanon una fotografia ogni tre mesi
Assessment periodici o red team costosi, con una finestra lunga in cui le nuove vulnerabilità non vengono viste. La lista di CVE cresce senza una priorità che tenga conto del rischio reale.
Asset discovery e vulnerability assessment continui, database CVE aggiornato in tempo reale, correlazione con EPSS e CISA KEV. Le nuove esposizioni emergono appena compaiono, già qualificate per rischio.
Cos'è
La superficie d’attacco cambia ogni settimana: nuovi servizi, sottodomini, API, dipendenze. Una scansione periodica fotografa un istante; tra una scansione e l’altra le nuove esposizioni restano invisibili.
Riferimenti
Fonti di rischio: CVE (MITRE/NVD), EPSS (FIRST), CISA KEV catalog. Allineato ai controlli ISO/IEC 27001 e ai requisiti NIS2 di gestione delle vulnerabilità.
Cosa mostra CyberAgent
nuovi asset espostiCVE con EPSS altopresenza in CISA KEVservizi e porte apertedipendenze vulnerabili
Caso d'uso · Piattaforma disponibileOggi Con CyberAgent
Sfruttabilità validata
Il pentest automatizzato conferma quali vulnerabilità sono davvero sfruttabili nel tuo ambiente.
Senza red team esternosfruttabilità confermata in automatico, in continuo
Red team esterni ingaggiati una o due volte l’anno, costosi e puntuali. Nel mezzo si lavora su una lista di CVE senza sapere quali contano davvero.
Il pentest automatizzato simula attacchi reali su rete, web app e API e conferma cosa è sfruttabile, con continuità. Il team riceve rischi validati, non solo segnalazioni.
Cos'è
Un pentest verifica se una vulnerabilità è concretamente sfruttabile nel contesto reale: catene di attacco, configurazioni, raggiungibilità. Un elenco di CVE ordinato per CVSS non lo dice: molte “critiche” non sono raggiungibili, alcune “medie” lo sono.
Riferimenti
Metodologie di riferimento: OWASP Testing Guide, PTES. Uso legittimo: le attività sono eseguite solo su asset di cui è verificato il controllo (validazione del dominio).
Cosa mostra CyberAgent
vulnerabilità sfruttabilicatene di attaccofalsi positivi esclusiasset raggiungibiliexploit dimostrati in sicurezza
Caso d'uso · Piattaforma disponibileOggi Con CyberAgent
Phishing e awareness
La NIS2 chiede formazione e igiene informatica di base: il fattore umano si misura, non si presume.
Art. 21 NIS2chiede igiene informatica di base e formazione in cibersicurezza
Formazione una tantum o corsi online generici, senza misura dell’efficacia: non si sa chi cade nel phishing né se la situazione migliora nel tempo. Per l’audit resta solo l’attestato di partecipazione.
Campagne di phishing simulate e percorsi di training, con scoring per dipendente: il fattore umano diventa una metrica osservabile che migliora nel tempo, con evidenze pronte per l’audit.
Cos'è
Tra le misure minime dell’art. 21 della NIS2 ci sono le pratiche di igiene informatica di base e la formazione in materia di cibersicurezza. Il phishing resta uno dei vettori di accesso iniziale più comuni: la difesa tecnica da sola non basta se un clic apre la porta.
Riferimenti
Direttiva (UE) 2022/2555 (NIS2), art. 21: igiene informatica di base e formazione. D.Lgs. 138/2024 (recepimento italiano). Controlli correlati: ISO/IEC 27001 (awareness e formazione).
Cosa mostra CyberAgent
tasso di clic per campagnascoring per dipendenteandamento nel temposegnalazioni degli utentievidenze di formazione
CyberAgent presidia la superficie e valida la sfruttabilità in continuo: l'agente prepara, la decisione su cosa correggere resta al tuo team. Ambito e intensità delle scansioni si concordano sul tuo caso, e ogni attività gira solo su asset di cui è verificato il controllo.