Cosa include un penetration test — e perché influenza il prezzo

Un penetration test è un attacco controllato ai sistemi di un’azienda, eseguito da professionisti della sicurezza per identificare le vulnerabilità prima che lo facciano attaccanti reali. Il risultato è un report tecnico con le falle trovate, il loro livello di criticità e le raccomandazioni per correggerle.

Il problema è che ‘penetration test’ comprende cose molto diverse. Testare una singola applicazione web è ben diverso dall’auditare un’intera infrastruttura. E questa differenza ha un impatto diretto sul budget.

I tipi di pentest più comuni

• Pentest di applicazione web: vulnerabilità OWASP Top 10 (SQL injection, XSS, autenticazione rotta, ecc.) su una o più app
• Pentest di rete / infrastruttura: server, firewall, VPN e dispositivi di rete
• Pentest di app mobile: iOS e Android — comunicazioni, storage locale, API
• Red team: simulazione di attacco reale con exploitation tecnica e social engineering
• Sicurezza cloud: configurazioni AWS, Azure o GCP, controllo degli accessi, bucket esposti

Cosa consegna un’azienda di pentesting

Un pentest professionale comprende una fase di reconnaissance, lo sfruttamento delle vulnerabilità, l’escalation dei privilegi dove applicabile e un report che classifica i risultati per criticità (critica, alta, media, bassa, informativa). La maggior parte include anche una riunione di presentazione dei risultati.

Cosa determina il costo di un penetration test

• Scope: numero di applicazioni, range IP o domini nel perimetro. Più asset = più tempo = costo più alto
• Metodologia: black-box (senza credenziali), grey-box (accesso utente) o white-box (accesso completo al codice). Il white-box è il più completo e il più costoso
• Profondità: scanning automatico + revisione manuale base costa meno di un red team con social engineering
• Certificazioni: i provider certificati CREST o con consulenti OSCP tendono a fatturare di più, ma il livello tecnico è più alto
• Retest: alcuni preventivi includono una verifica dopo la correzione delle vulnerabilità, altri no

Prezzi di riferimento in Italia nel 2026

Il mercato italiano nel 2026 mostra le seguenti fasce di prezzo:

Questi numeri sono indicativi. Qualsiasi provider serio chiederà i dettagli dello scope prima di fare un preventivo. Un prezzo fisso dato senza conoscere il perimetro è un segnale d’allarme.

Team interno vs. fornitore esterno: cosa costa di più

Avere un team di sicurezza interno ha senso a partire da una certa dimensione aziendale. Ma per la maggior parte delle PMI italiane, il costo di un team dedicato — stipendi, strumenti, formazione continua — supera ampiamente quello di uno o due pentest esterni all’anno.

Un analista di cybersecurity senior in Italia guadagna tra 45 000 e 70 000 € lordi all’anno. Un pentest esterno completo (web + infrastruttura) costa tra 12 000 e 30 000 €. E il provider esterno porta una prospettiva esterna che un team interno perde inevitabilmente nel tempo.

La configurazione tipica per le medie imprese italiane: una o due persone interne per monitoring e gestione quotidiana, più pentest esterni annuali o semestrali con un provider specializzato.

Cosa verificare prima di scegliere un’azienda di pentesting

• Chiedete un esempio di report (anonimizzato). Un buon report include prove per ogni vulnerabilità, CVSS score e passi per riprodurre il problema
• Verificate le certificazioni: OSCP, CEH, CREST — non obbligatorio, ma indicatore di rigore tecnico
• Chiarite se il retest è incluso: la verifica delle correzioni fa parte del servizio nei provider seri
• Firmate un NDA prima di iniziare: il provider avrà accesso a sistemi sensibili
• Diffidate dei prezzi molto bassi: un pentest manuale di qualità non può costare 300 €

Come può aiutarti Yeeply

In Yeeply lavoriamo con aziende certificate specializzate in cybersecurity che eseguono penetration test seguendo le metodologie OWASP e PTES. Se hai bisogno di un team in Italia, ti mettiamo in contatto con provider locali con referenze verificate.

Per i progetti con budget più ridotto, collaboriamo anche con team spagnoli specializzati in sicurezza offensiva che offrono lo stesso rigore tecnico a un costo del 30-40% inferiore.

Puoi richiedere un preventivo senza impegno usando il pulsante Richiedi un preventivo in alto a destra su yeeply.com/it, oppure scrivendo a sales@yeeply.com con i dettagli del tuo perimetro.