Vulnerabilità di prodotto: perché non è la sicurezza informatica aziendale
La sicurezza informatica aziendale protegge la tua rete, i tuoi computer, la tua posta. La sicurezza di prodotto riguarda ciò che vendi: il firmware di una macchina, il software di un dispositivo, l'app che lo accompagna. Sono due mestieri diversi, con strumenti, responsabili e norme diverse. Il Cyber Resilience Act riguarda il secondo.
Aggiornato al 14 ottobre 2026 · Questa pagina ha scopo informativo e non costituisce consulenza legale.
| Sicurezza informatica aziendale | Sicurezza di prodotto | |
|---|---|---|
| Che cosa protegge | I sistemi che usi: rete, server, postazioni, posta | I prodotti che vendi, installati presso i clienti |
| Chi se ne occupa | Responsabile informatico, fornitore IT | Ufficio tecnico, responsabile firmware o software, qualità e conformità |
| Norme di riferimento | NIS2, GDPR, ISO 27001 | Cyber Resilience Act, Regolamento Macchine, direttiva RED |
| Orizzonte | L'azienda, oggi | Ogni prodotto, per tutto il periodo di assistenza, anche anni dopo la vendita |
| Domanda tipica | «Siamo protetti?» | «Questa vulnerabilità tocca i prodotti che abbiamo venduto?» |
Troppe vulnerabilità, poche che contano
Ogni vulnerabilità pubblica ha un numero di catalogo, la CVE (Common Vulnerabilities and Exposures). Il volume è fuori scala, ma solo una piccola parte viene effettivamente usata dagli attaccanti. Il lavoro non è leggerle tutte: è capire quali riguardano i tuoi prodotti e, tra queste, quali richiedono un'azione.
- Non ogni vulnerabilità nota in un componente è sfruttabile nel tuo prodotto: dipende da come lo usi.
- La gravità «sulla carta» non basta: contano l'esposizione reale, l'importanza del prodotto, il contesto.
- Quando una falla viene sfruttata, spesso succede subito: serve un processo pronto, non improvvisato.
In cifre
Dalla vulnerabilità alla decisione
Il percorso che ogni segnalazione dovrebbe seguire, e che Assiduo rende ripetibile.
Tre parole da conoscere
PSIRT
Product Security Incident Response Team: il gruppo (anche di due persone) che riceve le segnalazioni sui prodotti, le valuta e coordina le correzioni. In una piccola impresa può essere il responsabile tecnico con un sostituto, con il supporto di un servizio esterno.
Divulgazione coordinata
La politica con cui dichiari come un ricercatore o un cliente può segnalarti una vulnerabilità e che cosa succede dopo. Il Cyber Resilience Act la richiede, insieme a un contatto pubblico per le segnalazioni (Allegato I, Parte II).
VEX
Vulnerability Exploitability eXchange: la dichiarazione con cui il fabbricante dice se una vulnerabilità nota in un componente riguarda effettivamente il suo prodotto. Evita di rincorrere falle che non ti riguardano e dà ai clienti una risposta documentata.
Domande frequenti
Abbiamo già un fornitore di sicurezza informatica. Non basta?
Di solito no: protegge la tua azienda, non i prodotti che hai venduto. Può diventare un alleato, ma il lavoro sui componenti, sulle SBOM e sulle segnalazioni di prodotto è un processo diverso.
Uno scanner automatico non è sufficiente?
Uno scanner elenca; non decide. Senza una valutazione del contesto produce molti falsi allarmi e lascia a te il lavoro di capire che cosa conta. Il valore è nella selezione ragionata e nella decisione documentata.
Quanto spesso va fatto il controllo?
Le vulnerabilità escono ogni giorno. Un controllo continuo, con una valutazione quando serve, è la differenza tra un presidio e una fotografia.
Dall'elenco alle decisioni
Scopri come Assiduo rende questo percorso un lavoro di ogni giorno, con persone che valutano.
Configura il tuo presidio