NVD · CISA KEV · FIRST EPSS · SSVC
Gestione delle vulnerabilità nella Pubblica Amministrazione: dalle CVE alla priorità
Le vulnerabilità pubblicate ogni settimana sono troppe per correggerle tutte subito. Serve sapere quali riguardano l'ente, quali sono già sfruttate e che cosa fare prima. AuditManagement legge le fonti ufficiali, le collega all'inventario e propone una priorità motivata.
- NVD
- scheda e punteggio CVSS della CVE
- KEV
- vulnerabilità già sfruttate (CISA)
- EPSS
- probabilità di sfruttamento
- €0
- per le Pubbliche Amministrazioni
Le fonti, spiegate
- CVE — il codice univoco di una vulnerabilità pubblica (es. CVE-2024-…);
- NVD — il database del NIST con descrizione e punteggio di gravità CVSS;
- KEV — il catalogo CISA delle vulnerabilità sfruttate davvero: sono quelle da correggere per prime;
- EPSS — la probabilità stimata che una vulnerabilità venga sfruttata nei prossimi 30 giorni;
- CSIRT Italia — i bollettini dell'ACN, che l'applicazione legge e confronta con l'inventario.
La fonte propone, l'ente decide: l'applicazione non sovrascrive le valutazioni fatte a mano e funziona anche senza rete.
Che cosa fare prima: SSVC
La priorità segue il metodo SSVC della CISA: sfruttamento, automatizzabilità, impatto tecnico e importanza del servizio colpito portano a una decisione — monitorare, seguire, intervenire, agire subito. Ogni elemento dichiara da dove viene, e ciò che non si sa si assume nel modo più prudente.
Un ciclo di vita con le sue regole
Ogni vulnerabilità attraversa cinque fasi, dalla rilevazione alla chiusura verificata, con SLA di rimedio. Non si chiude senza azioni completate e verificate; il rischio si accetta solo con motivazione e approvatore.
Come lo gestisce AuditManagement
Nel menu dell'applicazione la sezione dedicata ha 4 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
Registro e processo
- Cruscotto VulnerabilitàcruscottoVulnerabilità aperte per gravità, SLA di rimedio sforati ed esposizione residua
- Registro VulnerabilitàOgni vulnerabilità con CVSS, CVE importata da NVD, catalogo KEV ed EPSS, ciclo di vita a cinque fasi, risorse esposte, task e rischio collegato.
- Processo & MetodologiaIl processo e la metodologia di gestione delle vulnerabilità: le fasi, le condizioni d'uscita e la matrice di valutazione dell'ente.
- Bollettini CSIRT ItaliaAlert e bollettini di CSIRT Italia confrontati con l'inventario: da esaminare, pertinenti, gestiti
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
Serve una chiave per usare NVD?
No, la consultazione funziona anche senza; una chiave gratuita del NIST aumenta solo il numero di richieste consentite.
Si possono cercare le CVE dei software dell'ente?
Sì, identificando ogni risorsa con il suo nome CPE: la ricerca diventa esatta e non per parole chiave.