FAQ
Qual è la differenza tra i pacchetti Essentiel, Avancé e Premium?
I tre pacchetti si distinguono per la profondità dell'analisi:
- Essentiel: 10 punti di controllo, scansione automatizzata, rapporto semplificato — per i siti piccoli o per i primi audit.
- Avancé: 15 punti di controllo, test manuali delle vulnerabilità comuni, analisi dell'autenticazione, rapporto dettagliato con piano d'azione priorizzato.
- Premium: 20 punti di controllo, test di penetrazione approfonditi, audit delle API e del database, verifica completa OWASP Top 10, sessione di presentazione inclusa.
Tutti i pacchetti comprendono un follow-up post-audit e un'assistenza all'implementazione.
Qual è la differenza tra ISO 27001 e ISO 27002?
L'ISO 27001 definisce i requisiti per un sistema di gestione della sicurezza delle informazioni (SGSI) e consente la certificazione. L'ISO 27002 è una guida alle buone pratiche che dettaglia l'implementazione dei 93 controlli dell'Allegato A. In sintesi: la 27001 dice «cosa fare», la 27002 dice «come farlo».
Qual è la differenza tra la formazione online Bexxo Academy e le sessioni in presenza?
La formazione online (academy.bexxo.ch) è disponibile 24h/24, individuale e a progressione libera — ideale per la sensibilizzazione regolare, il monitoraggio continuo e i team geograficamente dispersi. Le sessioni in presenza a Ins (BE) sono raccomandate quando si desidera formare simultaneamente da 5 a 20 persone, realizzare workshop interattivi con messe in situazione reali, o ancorare una cultura della sicurezza durante un evento aziendale (seminario, giornata tematica). Per i team di più di 10 persone, raccomandiamo generalmente una combinazione: sensibilizzazione iniziale online, poi sessione in presenza per consolidare gli apprendimenti e trattare i casi specifici della vostra organizzazione.
Qual è la differenza tra PhishTrainer e Bexxo Academy?
Sono due strumenti complementari:
- PhishTrainer agisce attraverso la pratica: invia finte e-mail di phishing ai vostri collaboratori e misura chi clicca e chi segnala l'attacco. È l'approccio comportamentale — imparare dall'esperienza. La dashboard fornisce il tasso di clic, il tasso di segnalazione e l'evoluzione nel tempo.
- Bexxo Academy agisce attraverso la conoscenza: moduli video, quiz interattivi, giochi didattici sulle minacce informatiche. Accessibile 24 ore su 24 online, completato da sessioni in presenza a Ins (BE). Ideale per l'integrazione dei nuovi collaboratori e l'aggiornamento delle conoscenze.
I due strumenti insieme coprono il ciclo completo: sensibilizzare → testare → misurare → migliorare.
Qual è la differenza tra PhishTrainer e Bexxo Academy?
PhishTrainer e Bexxo Academy sono due strumenti complementari: PhishTrainer testa (simulazione di attacchi, identificazione delle vulnerabilità, misurazione del tasso di clic), Bexxo Academy forma (moduli e-learning, quiz, video, sessioni in presenza). Funzionano in sinergia: i risultati di PhishTrainer identificano i team o i profili a rischio, Bexxo Academy fornisce i percorsi di formazione adeguati. Per una protezione efficace, Bexxo raccomanda di usare entrambi gli strumenti insieme secondo il metodo Simulare → Formare → Misurare.
Qual è la differenza tra sensibilizzazione e formazione tecnica?
La sensibilizzazione mira a diffondere una cultura generale della sicurezza, accessibile a tutti i collaboratori, indipendentemente dalla loro professione o livello tecnico. Copre argomenti concreti: phishing, password, mobilità, social network, vigilanza nel telelavoro, ecc. L'obiettivo è rendere ciascuno attore della sicurezza nelle proprie abitudini quotidiane.
La formazione tecnica, invece, si rivolge a profili più specializzati (team IT, sviluppatori, amministratori) e riguarda competenze specifiche come l'hardening dei sistemi, lo sviluppo sicuro o la gestione degli incidenti. Spesso richiede prerequisiti e mira a rafforzare la sicurezza attraverso la padronanza tecnica.
Qual è la differenza tra un pentest black box, gray box e white box?
La differenza principale tra i test black box, gray box e white box risiede nel livello di informazione fornito al tester prima di iniziare l’attacco simulato.
- In black box, l’attaccante non ha alcuna conoscenza pregressa del sistema. Agisce come un hacker esterno e tenta di accedere alle risorse senza alcun aiuto. Questo tipo di test è realistico per simulare un attacco esterno, ma è spesso limitato a ciò che si può dedurre o scoprire dall’esterno.
- In gray box, il tester dispone di alcune informazioni tecniche o accessi parziali (come un account utente). Ciò riflette uno scenario in cui l’attaccante ha già infiltrato una parte del sistema o possiede conoscenze interne, come un ex dipendente.
- In white box, tutte le informazioni sono fornite: codice sorgente, documentazione tecnica, accesso amministratore. Questo tipo di test permette di avere una visione completa e di identificare vulnerabilità profonde, spesso invisibili dall’esterno.
Ogni approccio ha i suoi vantaggi, e la scelta dipende dagli obiettivi del test e dal livello di rischio da coprire.
Qual è la differenza tra un pentest e una scansione di vulnerabilità?
Una scansione di vulnerabilità è un'analisi automatizzata realizzata da uno strumento che esamina un sistema o un'applicazione alla ricerca di falle note, generalmente confrontando le versioni software o testando configurazioni. È rapida, poco costosa, ma produce spesso risultati grezzi o incompleti, con falsi positivi.
Un pentest, al contrario, va oltre la semplice rilevazione: cerca di sfruttare realmente le falle per dimostrare il loro impatto concreto. Si tratta di un processo manuale e metodico, che convalida le vulnerabilità rilevate, ne identifica di nuove e fornisce scenari di attacco realistici. Il pentest è quindi molto più approfondito e contestuale, ma necessita di tempo, competenza e pianificazione.
Qual è la differenza tra White Box, Grey Box e Black Box per una rete?
Il White Box dà accesso agli schemi di rete e alle configurazioni (il più completo, ideale pre-certificazione ISO). Il Grey Box simula un dipendente o un fornitore con accesso VPN parziale (il più equilibrato per le PMI). Il Black Box testa dall'esterno senza conoscenze preliminari, come un attaccante reale. Bexxo raccomanda il Grey Box come standard per le PMI.
Qual è la differenza tra White Box, Grey Box e Black Box?
Il White Box analizza il codice sorgente e l'architettura interna (il più completo). Il Grey Box simula un utente con accesso parziale (il più equilibrato per le PMI). Il Black Box testa dall'esterno senza conoscenze preliminari, come un attaccante (il più realistico). Bexxo raccomanda il Grey Box come standard per le PMI.
Qual è la prima cosa da fare in caso di attacco informatico?
Isolate immediatamente i sistemi compromessi dalla rete, non pagate alcun riscatto, documentate l'incidente e contattate uno specialista di cybersecurity. Bexxo offre un servizio di risposta agli incidenti per le aziende svizzere.
Qual è la responsabilità dell'azienda in caso di incidente causato da un dipendente non adeguatamente informato?
Se si verifica un incidente di sicurezza a causa di un comportamento a rischio di un dipendente non adeguatamente informato, l'azienda rimane in gran parte responsabile. La legge, in particolare la LPD in Svizzera e il GDPR in Europa, impone alle organizzazioni di adottare le misure necessarie per proteggere i dati e ridurre i rischi. Ciò include la formazione e la sensibilizzazione del personale.
In caso di controversia o indagine, un'azienda che non è in grado di dimostrare di aver messo in atto azioni di prevenzione (come corsi di formazione regolari, campagne di sensibilizzazione o promemoria delle buone pratiche) potrebbe essere giudicata negligente. Ciò può comportare multe, danni alla reputazione e perdita di fiducia da parte di clienti e partner.
Quale gestore di password raccomandano per una PMI svizzera?
La nostra analisi comparativa del febbraio 2026 valuta 8 soluzioni per PMI svizzere (5-200 collaboratori). Solo 3 rispettano pienamente la nLPD con hosting in Svizzera o in Europa. Scaricate il rapporto completo per scoprire la nostra raccomandazione dettagliata per profilo di PMI.
Quali ambiti copre l'analisi di cybersecurity?
L'analisi copre 5 ambiti prioritari per le PMI:
- Rete: configurazione del firewall, accessi remoti (VPN), segmentazione.
- Sito web: SSL/TLS, header di sicurezza, vulnerabilità comuni (OWASP Top 10).
- Autenticazione: politica delle password, MFA, gestione degli accessi amministratori.
- Formazione: livello di sensibilizzazione dei team al phishing (il 91% degli attacchi informatici inizia con un'email — Proofpoint 2024).
- Dati: classificazione dei dati sensibili, conformità alla nLPD.
In base alle vostre esigenze, l'analisi può concentrarsi su uno o più ambiti specifici.
Quali certificazioni garantiscono l'affidabilità di Bexxo?
Bexxo / Tesweb SA detiene tre certificazioni chiave: il Label CyberSafe, che distingue le aziende impegnate in un approccio proattivo alla cybersicurezza; il Swiss Label, certificazione dell'Unione svizzera delle arti e dei mestieri (usam) che garantisce un radicamento 100% svizzero dei prodotti e servizi (fondato nel 1917, centenario festeggiato nel 2017); e un'abilitazione federale che permette di operare su ambienti classificati — il massimo livello di rigore in materia di riservatezza.