Regole d'ingaggio dei test di sicurezza

Sono il patto che si firma prima di cominciare: dove si può lavorare, quando, cosa non viene fatto mai, e cosa succede se qualcosa si ferma. Le pubblichiamo qui perché chi sta valutando possa leggerle prima, non dopo.

Versione 1.9 — 13/09/2026. La versione accettata viene registrata insieme alla firma: serve a sapere, anche fra due anni, esattamente quale testo era stato mostrato.

1. 1. Si lavora solo dove hai scritto tu

   Vengono provati esclusivamente i sistemi che hai elencato in questo modulo. Quello che non è scritto non viene toccato, nemmeno se raggiungibile da quelli autorizzati. I servizi di terzi collegati — pagamenti, posta, statistiche, documenti legali — restano fuori sempre.

2. 2. Si lavora solo quando hai detto tu

   Le prove si eseguono dentro le date e la fascia oraria che hai indicato, nel tuo fuso orario: gli orari si scrivono a 24 ore e sempre col fuso accanto, così nessuno deve chiedersi «le 20 di chi». Fuori da quella finestra non viene eseguito nulla. Se serve più tempo si concorda per iscritto: questo modulo non si allunga da solo.

3. 3. Si lavora da remoto, salvo accordo

   Il lavoro si svolge da remoto, attraverso la rete, sui soli sistemi che hai indicato. Se serve la presenza fisica in sede — per una rete interna o postazioni non raggiungibili da fuori — si concorda a parte e per iscritto: la trasferta ha un costo aggiuntivo, che sta nel preventivo, e non parte mai da sola.

4. 4. Cosa non viene fatto, mai

   Non si eseguono prove che mirano a far cadere o rallentare i sistemi. Non si cancellano, modificano o cifrano dati. Non si fanno telefonate o email ingannevoli al tuo personale: le prove verso le persone non le eseguiamo, nemmeno su richiesta. Prove di carico o cancellazioni di dati, se ti servono, si concordano a parte e per iscritto.

5. 5. Se qualcosa si ferma, si ferma tutto

   Se durante il lavoro un sistema si blocca o rallenta, le prove si interrompono subito e viene chiamato il riferimento che hai indicato. Per questo quel numero deve essere raggiungibile per tutta la finestra.

6. 6. Niente exploit, ransomware o malware consegnati, in alcun modo

   Exploit, ransomware o malware non vengono consegnati in alcun modo: né a te, né a terzi, né lasciati sui tuoi sistemi. Quello che serve a dimostrare un difetto viene cancellato finiti i test e non finisce in nessun report. Ricevi un resoconto del prima e del dopo: cosa era esposto, cosa si è dimostrato, quanto è grave, come si chiude — mai cosa è stato usato per farlo.

7. 7. La crittografia si guarda sempre, non se capita

   In ogni test controlliamo come sono protetti i dati e gli accessi: chiavi o password scritte dentro al codice, sistemi di protezione vecchi o considerati superati, certificati scaduti o configurati male, password degli utenti conservate in chiaro o con metodi che oggi non bastano più. È un passaggio fisso del lavoro, non un di più: è dove si trovano i difetti che da soli non fanno rumore, e che però aprono la porta a tutto il resto. Ti diciamo cosa abbiamo trovato e come si chiude: non rilasciamo certificazioni e non dichiariamo la conformità a nessuno standard, perché quella la attesta un ente accreditato ed è un altro mestiere.

8. 8. Quello che si vede resta fra noi

   Durante un test capita di imbattersi in dati riservati. Restano coperti da riservatezza senza scadenza, non vengono copiati fuori se non nella misura minima per dimostrare il problema, e nel referto sono oscurati.

9. 9. Il referto è tuo

   Il documento finale — difetti trovati, gravità, rischio, come si correggono — è di tua proprietà. Non viene usato come caso di studio, non viene citato e il tuo nome non compare in nessun materiale commerciale senza una tua autorizzazione scritta e separata.

10. 10. La copia di sicurezza è consigliata

    Ti raccomandiamo una copia di sicurezza recente e verificata dei sistemi indicati: un test di sicurezza comporta un rischio che non si azzera, e la copia è ciò che lo rende sopportabile. Non è un blocco: se dichiari di non averla, lavoriamo con la massima prudenza e quel rischio te lo assumi tu.

11. 11. Cosa questo lavoro non è

    Un test di sicurezza dice cosa è stato trovato nel perimetro e nel tempo concordati. Non è una garanzia che il sistema sia inattaccabile, e non è una certificazione.

12. 12. Chi firma deve poterlo fare

    Firmando dichiari di essere titolare dei sistemi indicati, o di avere il permesso scritto di chi lo è, e di avere il potere di impegnare l'azienda. Se i sistemi stanno su un fornitore terzo — hosting, gestionale, negozio online — serve anche il permesso di quel fornitore.

Oppure scrivici a assistenzaopexscore@protonmail.com — o torna a sicurezza informatica.