Sintesi dei punti chiave
- Tariffe giornaliere tradizionali: Le storiche società di consulenza svizzere fatturano in media tra CHF 2'200 e CHF 3'500 per persona/giorno. Un progetto tipico richiede da 4 a 10 giorni (da CHF 8'800 a CHF 35'000).
- Analisi delle minacce moderna: Grazie alla pre-analisi assistita da IA e alla verifica rigorosa di esperti accreditati, Suisse Guard verifica l'intera superficie esterna a un prezzo fisso garantito di CHF 2'800 IVA esclusa.
- Fasi operative: Un pentest professionale si articola sempre in scoping, ricognizione (OSINT), exploitation controllata, dossier di bonifica e verifica post-risoluzione (re-test obbligatorio).
- Criterio decisivo: Un report grezzo generato da scanner automatici di 80 pagine con elenchi CVSS non serve a nulla. Ciò che conta è un dossier prioritario con istruzioni pratiche di bonifica e convalida finale.
1. Perché le differenze di prezzo nei pentest svizzeri sono così ampie?
Chi a Lugano, Bellinzona, Zurigo o Berna richiede un preventivo per un penetration test riceve spesso offerte che differiscono di un fattore quattro o cinque. Un grande fornitore stima CHF 18'000 per un progetto di due settimane, mentre un altro propone una «scansione di sicurezza» per CHF 1'200. Qual è la vera differenza?
La determinazione dei prezzi sul mercato svizzero si basa tradizionalmente sul classico modello consulenziale a tempo: uno o due consulenti senior bloccano giornate sul calendario, conducono test manuali e redigono a mano un rapporto. A tariffe giornaliere comprese tra CHF 2'200 e CHF 3'500 IVA esclusa, i costi complessivi lievitano rapidamente. Se per le grandi banche sistemiche ciò rientra nella norma, per le PMI ticinesi, i comuni o gli studi notarili rischia di mandare all'aria il budget IT.
Dall'altro lato troviamo i semplici vulnerability scanner automatici. Questi generano centinaia di falsi allarmi, non comprendono il contesto aziendale e non verificano catene d'attacco complesse (come bypass MFA o privilege escalation).
| Modello di verifica | Prezzo indicativo (CHF) | Tempi & Impegno | Profondità & Valore aggiunto |
|---|---|---|---|
| Scansione vulnerabilità pura (es. Nessus, Qualys) |
CHF 500 – 1'500 | 1 – 2 giorni | Solo confronto versioni di CVE note. Alto tasso di falsi allarmi, nessun exploit manuale, nessun contesto applicativo. |
| Pentest esterno classico (Grandi società di consulenza) |
CHF 9'000 – 22'000 | 2 – 4 settimane di attesa, 5 – 10 giorni uomo | Approfondito ma oneroso e con burocrazia pesante. La verifica post-risoluzione viene spesso fatturata a parte. |
| Analisi minacce Suisse Guard (Intera superficie esterna) |
CHF 2'800 (forfait) | Avvio entro 48 ore, 5 – 10 giorni lavorativi | Pre-analisi estesa via IA, convalida manuale di ogni vulnerabilità critica, dossier con istruzioni precise, re-test e certificato ISO 27001 inclusi. |
2. Fasi operative di un penetration test esterno
Affinché un audit tecnico sia riconosciuto e opponibile dinanzi ai regolatori elvetici (IFPDT, UFCS, FINMA), deve aderire a standard comprovati quali OWASP Top 10 e NIST SP 800-115:
- Inquadramento e accordo di riservatezza (NDA): Definizione degli obiettivi, perimetro IP e domini autorizzati, tutelati dal diritto elvetico.
- Ricognizione e mappatura esterna (OSINT & EASM): Rilevamento di sottodomini dimenticati, pannelli di amministrazione esposti su Internet (RDP, SSH, VPN), certificati scaduti e credenziali compromesse nel Darknet.
- Exploitation controllata: Test non distruttivi volti a provare l'effettiva penetrabilità senza compromettere la continuità operativa dei sistemi di produzione.
- Dossier di bonifica dettagliato: Classificazione per severità reale di business con indicazioni puntuali e configurazioni pronte all'uso per il team IT locale.
- Re-test obbligatorio: Dopo l'applicazione delle correzioni entro 30 giorni, i nostri ingegneri riverificano ogni punto aperto prima di emettere il certificato ufficiale.
3. Come scegliere il partner giusto in Svizzera
Prima di affidare i test della propria infrastruttura, è fondamentale verificare tre requisiti:
- Sovranità dei dati e sede in Svizzera: I report di vulnerabilità contengono i segreti più sensibili della vostra organizzazione. Suisse IT garantisce che nessun dato transiti o venga conservato su server esteri soggetti al Cloud Act statunitense.
- Certificazione ISO/IEC 27001:2022: Suisse IT GmbH gestisce un sistema ISMS certificato dall'organismo accreditato elvetico Swiss Safety Center AG.
- Verifica post-risoluzione compresa nel prezzo: Diffidate da chi fa pagare il controllo dei fix come prestazione aggiuntiva. Senza re-test l'audit rimane incompiuto.
