La nuova LPD (legge federale svizzera sulla protezione dei dati, in vigore dal settembre 2023) impone alle aziende di attuare misure tecniche e organizzative proporzionate per proteggere i dati personali. Sebbene non imponga esplicitamente un audit di rete annuale, la documentazione delle misure di sicurezza è obbligatoria. In caso di violazione dei dati, l'assenza di diligenza provata può comportare multe fino a 250 000 CHF per i responsabili del trattamento. Un rapporto di audit costituisce questa prova di diligenza presso l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Sì, un penetration test può potenzialmente disturbare la produzione, ma ciò dipende fortemente dalla metodologia utilizzata, dal livello di aggressività autorizzato e dalla maturità dell'infrastruttura testata. Ad esempio, lo sfruttamento di alcune vulnerabilità può causare riavvii di servizi, blocchi di accesso o un degrado delle prestazioni.
Per questo motivo, è essenziale definire un quadro chiaro prima di qualsiasi test, includendo le fasce orarie autorizzate, i sistemi da escludere (o da duplicare in ambiente di test) e le misure di backup. I pentesters professionisti applicano tecniche non distruttive, ma una comunicazione stretta con il team IT rimane indispensabile per anticipare e gestire gli impatti eventuali.
Un pentest può occasionalmente rivelare una zero-day, ma non è garantito. I pentesters si basano principalmente su vulnerabilità note (CVE, configurazioni errate, pratiche rischiose), ma può accadere che un test manuale, una logica di attacco particolare o un'intuizione permetta di scoprire una vulnerabilità inedita.
Tuttavia, la scoperta di zero-day nell'ambito di un pentest rimane rara e dipende dal livello di profondità dell'analisi, dall'esperienza dei tester e dalla complessità del sistema testato. Per questa ragione, alcuni pentest molto avanzati includono fasi di fuzzing o di audit del codice specifici per la ricerca di zero-day, soprattutto in contesti ad alto rischio (settore difesa, finanza, infrastrutture critiche).