L’audit esamina una situazione con un obiettivo definito
Il termine audit può indicare una verifica di configurazione, organizzazione o esposizione. Occorre precisare cosa viene esaminato e su quali basi. Conoscere le risorse visibili da Internet è diverso dal rivedere il codice o verificare procedure. Il nome del servizio non ne definisce da solo il contenuto.
Il penetration test verifica la sfruttabilità
Il test mette alla prova sistemi concordati, con accessi e regole definiti. Può fornire elementi concreti su una vulnerabilità e le sue conseguenze. Non copre automaticamente l’intera organizzazione e non costituisce una garanzia generale di sicurezza. I risultati valgono nel perimetro della missione.
Scegliere o combinare le attività
Partite dalla decisione attesa: conoscere l’esposizione, testare un’applicazione o migliorare le pratiche. Un inventario incompleto può giustificare un audit di esposizione prima del test. Un problema software può richiedere una revisione del codice. Chiedete cosa dimostrerà ogni missione e cosa resterà escluso.