Oltre il CVE: perché il contesto conta più della gravità nella gestione delle vulnerabilità

By Mirko Peters · 2026-08-13

Bentornati sul blog! Se vi è mai capitato di fissare un report di uno scanner di vulnerabilità con centinaia o migliaia di Common Vulnerabilities and Exposures (CVE), conoscete già la sensazione di sconforto che deriva dal sovraccarico di informazioni…

Automatically translated with AI from the original post. Read the English original

Bentornati sul blog! Se vi è mai capitato di fissare un report di uno scanner di vulnerabilità con centinaia o migliaia di Common Vulnerabilities and Exposures (CVE), conoscete già la sensazione di sconforto che deriva dal sovraccarico di informazioni. Viene naturale pensare che l'approccio più intelligente sia ordinare l'elenco per punteggio CVSS più alto e cominciare a lavorare dall'alto verso il basso. Nella sicurezza aziendale moderna, però, questo approccio vi porta rapidamente in un vortice di lavoro sprecato, lasciando l'organizzazione realmente esposta alle minacce del mondo reale. Di recente, nel podcast, abbiamo approfondito proprio questa sfida. Per gustarvi l'esperienza audio completa, ascoltate l'episodio collegato Microsoft Defender Vulnerability Management - Simply Explained. In questo post approfondiamo questi concetti ed esploriamo perché il contesto, non solo la gravità tecnica, è la chiave definitiva per una gestione efficace delle vulnerabilità.

Gestione delle patch e gestione delle vulnerabilità

Per costruire un programma di sicurezza resiliente dobbiamo prima chiarire un equivoco comune: gestione delle patch e gestione delle vulnerabilità non sono la stessa cosa. La gestione delle patch è essenzialmente un'attività operativa che consiste nell'applicare le correzioni. È l'atto di aggiornare Windows, installare una versione più recente del browser, rimuovere software obsoleto o modificare una configurazione di sistema. È il «come» si risolve un problema noto.

La gestione delle vulnerabilità, invece, risponde a una serie di domande molto più ampie e strategiche. Quale problema va affrontato per primo? Quanto è davvero urgente? Quali dispositivi specifici sono interessati? Chi è responsabile del processo di risoluzione? E, cosa forse più importante, la correzione ha effettivamente eliminato la vulnerabilità una volta applicata?

Consideriamo questo scenario reale: immaginate di avere un CVE critico segnalato su una macchina di test isolata e offline in un laboratorio di ricerca. Nello stesso momento, avete una vulnerabilità di gravità media, con punteggio più basso, su un laptop usato ogni giorno dal reparto finanziario: un dispositivo che gestisce dati altamente sensibili, si connette a reti esterne ed è esposto a threat actor attivi. Se vi affidate solo ai punteggi CVSS, dedicherete il vostro tempo a correggere per primo il computer di test. Ma in termini di rischio reale per l'organizzazione, il laptop della finanza rappresenta un pericolo molto maggiore. La gravità conta certamente, ma il contesto conta infinitamente di più.

Scoperta: sapere cosa si possiede davvero

Prima che possano avere luogo la definizione delle priorità o la risoluzione, i team di sicurezza e IT devono ottenere una visibilità completa sul proprio ambiente. Non si può proteggere ciò che non si sa di possedere. Strumenti moderni come Microsoft Defender Vulnerability Management monitorano in modo continuo le debolezze dei dispositivi, inclusi software obsoleto, aggiornamenti mancanti, configurazioni non sicure e altre lacune di sicurezza.

Lacune nell'inventario di dispositivi e software

Le organizzazioni soffrono spesso di punti ciechi nell'inventario degli asset. Le scansioni periodiche tradizionali spesso non rilevano asset dinamici o appena connessi. Defender sfrutta i segnali continui degli endpoint per comprendere i sistemi operativi, le versioni del software installato e le vulnerabilità note su tutti i dispositivi integrati. Inoltre, le funzionalità di individuazione dei dispositivi usano gli endpoint gestiti per rilevare gli altri sistemi visibili nella rete locale. Quella stampante dimenticata, il router abbandonato o la workstation non gestita nascosta in un angolo possono finalmente essere portati alla luce.

Oltre all'hardware, costruire un inventario accurato del software è fondamentale. Invece di controllare manualmente centinaia di computer, i team di sicurezza possono individuare un'applicazione vulnerabile e vedere immediatamente tutti i dispositivi che la eseguono. Viceversa, possono approfondire una macchina specifica per verificare ogni singolo software installato. Questa visibilità granulare porta le operazioni di sicurezza ben oltre le capacità manuali.

Oltre le patch software

La gestione delle vulnerabilità va ben oltre la classica applicazione di patch alle applicazioni desktop. A seconda delle licenze e delle configurazioni, le piattaforme moderne valutano anche certificati digitali, estensioni del browser, firmware, configurazioni di sicurezza dell'hardware e condivisioni di rete. A volte la correzione giusta non consiste affatto nell'installare un aggiornamento software. Potrebbe significare modificare una configurazione rischiosa, rimuovere un'applicazione non necessaria, limitare l'accesso alla rete o sostituire hardware obsoleto.

Definizione delle priorità: da cosa iniziare?

Una volta completata la fase di individuazione, i team si ritrovano inevitabilmente sommersi di dati. È qui che la definizione delle priorità diventa la tua migliore alleata. Il CVSS offre un utile punteggio di gravità di base, ma opera nel vuoto: non tiene conto del contesto specifico della tua azienda.

Gli strumenti avanzati di gestione delle vulnerabilità aggiungono al quadro informazioni cruciali. Esiste un exploit pubblico disponibile? La vulnerabilità è attivamente sfruttata dagli attori delle minacce? Ci sono già avvisi di sicurezza collegati attivi all'interno della rete? Quanti dispositivi sono interessati e quali ruoli svolgono nell'attività? La domanda guida cambia da «Quale CVE ha il punteggio più alto?» a «Quale vulnerabilità crea l'esposizione più concreta per la nostra organizzazione?»

Punteggi di esposizione, Secure Score e raccomandazioni di sicurezza

Per misurare questa esposizione, gli strumenti forniscono i punteggi di esposizione dell'organizzazione. Un punteggio più basso è sempre preferibile, ma non va mai interpretato come una garanzia assoluta di invulnerabilità. A questo si affianca il Secure Score per i dispositivi, che valuta le configurazioni di sicurezza e le protezioni consigliate. Questi parametri aiutano i team a monitorare i miglioramenti nel tempo, ma devono essere accompagnati da raccomandazioni di sicurezza concrete e operative.

Le raccomandazioni operative collegano una specifica vulnerabilità al software interessato, ai dispositivi esposti e a un'azione correttiva concreta. Qui il contesto cambia tutto. Un file vulnerabile che giace inutilizzato in una directory d'archivio annidata presenta un profilo di rischio completamente diverso rispetto a un software vulnerabile che è in esecuzione, resta in ascolto del traffico di rete ed elabora le richieste degli utenti.

Sfruttare l'analisi delle minacce per una definizione delle priorità più intelligente

La gestione moderna delle vulnerabilità si integra direttamente con le piattaforme di threat intelligence. Quando una nuova vulnerabilità zero-day finisce in prima pagina, i team di sicurezza non devono limitarsi a ipotizzare la propria esposizione. Possono usare l'analisi delle minacce per verificare se la loro organizzazione è coinvolta, individuare i dispositivi esposti, controllare la presenza di avvisi correlati e applicare mitigazioni temporanee in attesa delle patch ufficiali. È questo il modo di lavorare in modo più intelligente, non più faticoso.

Correzione: trasformare i risultati in attività concrete

Individuare e dare priorità ai rischi è solo metà del lavoro: i risultati devono tradursi in azioni concrete. Uno strumento di gestione delle vulnerabilità raramente è, da solo, un motore di patching universale. Il suo compito è individuare, dare priorità, tracciare e verificare. Il lavoro pesante della distribuzione viene spesso affidato a piattaforme come Microsoft Intune, ServiceNow o altri sistemi di ticketing IT.

Mettere in relazione sicurezza e IT con Defender e Intune

Collegando strumenti di sicurezza come Microsoft Defender a soluzioni di gestione come Microsoft Intune, le organizzazioni possono colmare il tradizionale divario tra team di sicurezza e amministratori IT. I team di sicurezza individuano e danno priorità al rischio, mentre i team che gestiscono i dispositivi stabiliscono il modo più sicuro per distribuire le modifiche senza interrompere le attività aziendali.

Per esempio, anziché distribuire un aggiornamento critico del browser a tutti gli endpoint contemporaneamente, cosa che rischia di compromettere le applicazioni web personalizzate, l'IT può coinvolgere prima un piccolo gruppo pilota. Una volta confermata la compatibilità, l'aggiornamento viene distribuito progressivamente. Questo flusso di lavoro collaborativo evita i disservizi e mantiene solide le difese di sicurezza.

Gestione di eccezioni, mitigazioni e verifica

Nella realtà, non tutte le vulnerabilità possono essere risolte immediatamente. Le applicazioni legacy potrebbero dipendere da componenti obsoleti, i fornitori potrebbero ritardare il rilascio degli aggiornamenti o i server di produzione potrebbero richiedere finestre di manutenzione rigorose. In questi scenari, eccezioni documentate, con una chiara giustificazione di business e date di scadenza precise, sono essenziali.

Quando le patch definitive devono essere rinviate, le mitigazioni temporanee, come limitare la connettività di rete, bloccare le applicazioni rischiose o applicare le soluzioni alternative fornite dal produttore, mantengono l'organizzazione al sicuro nel frattempo. Infine, la verifica garantisce che il lavoro sia davvero completato. Un ticket chiuso in un sistema di tracciamento non significa che una vulnerabilità sia scomparsa. Gli strumenti avanzati monitorano continuamente i segnali dei dispositivi per confermare che i sistemi interessati abbiano effettivamente smesso di segnalare la debolezza.

L'ecosistema di sicurezza connesso: contesto e sensibilità dei dati

La gestione delle vulnerabilità esprime il suo vero potenziale quando opera come parte di un ecosistema di sicurezza connesso. Quando i sistemi di endpoint detection, gestione dei dispositivi e identità dialogano tra loro, la sicurezza diventa dinamica e automatizzata.

Pensa a come Microsoft Defender, Intune ed Entra ID lavorano insieme. Se un dispositivo presenta vulnerabilità di sicurezza gravi, Intune può contrassegnarlo come non conforme. I criteri di accesso condizionale in Entra ID possono quindi limitare automaticamente questo endpoint rischioso dall'accesso alle risorse aziendali come SharePoint, Teams o Exchange Online, finché la rimedia­zione non è completata. La minaccia viene contenuta immediatamente, molto prima che un tecnico metta le mani sulla macchina.

Possiamo spingerci oltre aggiungendo il livello della sensibilità dei dati. Con strumenti come Microsoft Purview, i team di sicurezza possono individuare dove risiedono i dati finanziari riservati o la proprietà intellettuale. Un dispositivo che gestisce queste informazioni sensibili merita una priorità più alta rispetto a una macchina generica che presenta esattamente la stessa vulnerabilità. Combinando gravità tecnica, threat intelligence, contesto del dispositivo e sensibilità dei dati, le organizzazioni raggiungono finalmente un programma di gestione delle vulnerabilità davvero maturo.

Per ascoltare altre discussioni su come proteggere il tuo ambiente aziendale moderno con questi potenti strumenti, non perdere l'episodio di podcast correlato, Microsoft Defender Vulnerability Management - Simply Explained. Grazie per la lettura e restate al sicuro!