Lo Stato del Pentesting nel 2025: Perché la Validazione della Sicurezza Guidata da Intelligenza Artificiale è Ora un Imperativo Strategico

Il Rapporto sullo Stato del Pentesting 2025 di Pentera dipinge un quadro impressionante di un paesaggio di sicurezza informatica sotto assedio e in rapida evoluzione. Questa non è solo una storia sulla difesa dei confini digitali, ma un progetto di come le imprese stanno trasformando il loro approccio alla sicurezza, guidato dall’automazione, dagli strumenti basati sull’intelligenza artificiale e dalla pressione incessante delle minacce reali.

Le Violazioni Persistono Nonostante le Pile di Sicurezza più Grandi

Nonostante l’impiego di pile di sicurezza sempre più complesse, il 67% delle imprese statunitensi ha segnalato di aver subito una violazione nei 24 mesi precedenti. Questi non erano incidenti minori: il 76% ha segnalato un impatto diretto sulla riservatezza, integrità o disponibilità dei dati, e il 36% ha sperimentato un tempo di fermo imprevisto, mentre il 28% ha subito perdite finanziarie.

La correlazione è chiara: man mano che la complessità della pila aumenta, aumentano anche gli allarmi e le violazioni. Le imprese che utilizzano più di 100 strumenti di sicurezza hanno sperimentato in media 3.074 allarmi settimanali, mentre quelle che utilizzano tra 76-100 strumenti hanno affrontato 2.048 allarmi a settimana.

Tuttavia, questa valanga di dati spesso sopraffà i team di sicurezza, ritardando i tempi di risposta e consentendo alle minacce reali di sfuggire attraverso le fessure.

L’Assicurazione di Sicurezza Informatica Sta Plasmando l’Adozione Tecnologica

Gli assicuratori di sicurezza informatica sono diventati inaspettatamente i driver dell’innovazione nella sicurezza informatica. Un impressionante 59% delle imprese statunitensi ha implementato nuovi strumenti di sicurezza specificamente su richiesta del loro assicuratore, e il 93% dei CISO ha segnalato che gli assicuratori hanno influenzato le loro posizioni sulla sicurezza. In molti casi, queste raccomandazioni sono andate oltre la conformità: hanno plasmato la strategia tecnologica.

L’Ascesa del Pentesting Basato su Software

Il pentesting manuale non è più la scelta predefinita. Oltre il 55% delle organizzazioni si affida ora al pentesting basato su software all’interno dei loro programmi interni, mentre un altro 49% utilizza fornitori terzi. Al contrario, solo il 17% si affida ancora esclusivamente al test manuale interno.

Questo passaggio al test di adversarial basato su software riflette una tendenza più ampia: la necessità di validazione scalabile, ripetibile e in tempo reale in un’era di minacce in continua evoluzione. Queste piattaforme automatizzate simulano attacchi che vanno dal malware senza file all’escalation di privilegi, consentendo alle imprese di valutare la loro resilienza in modo continuo e senza interruzioni.

I Bilanci per la Sicurezza Stanno Crescendo – Velocemente

La sicurezza non sta diventando più economica, ma le organizzazioni la stanno comunque priorizzando. Il budget annuale medio per il pentesting è di 187.000 dollari, che rappresenta il 10,5% della spesa totale per la sicurezza informatica. Le imprese più grandi (con più di 10.000 dipendenti) spendono ancora di più: in media 216.000 dollari all’anno.

Nel 2025, il 50% delle imprese prevede di aumentare i propri bilanci per il pentesting, e il 47,5% si aspetta di aumentare la spesa totale per la sicurezza. Solo il 10% prevede una riduzione degli investimenti. Questi numeri evidenziano l’ascesa della sicurezza da necessità operativa a priorità di livello dirigenziale.

Il Test di Sicurezza Sta Ancora Inseguendo

Ecco una discordanza sorprendente: il 96% delle imprese segnala cambiamenti infrastrutturali almeno trimestralmente, ma solo il 30% esegue il pentesting con la stessa frequenza. Il risultato? Le nuove vulnerabilità sfuggono ai test non eseguiti sui cambiamenti, ampliando la superficie di attacco con ogni push di software o aggiornamento di configurazione.

Solo il 13% delle grandi imprese con più di 10.000 dipendenti esegue il pentesting trimestrale. Nel frattempo, quasi la metà esegue ancora il test solo una volta all’anno: un ritardo pericoloso in un ambiente di minacce dinamico.

L’Allineamento del Rischio è più Netto che Mai

In modo incoraggiante, i leader della sicurezza stanno focalizzando i test dove effettivamente avvengono le violazioni. Quasi il 57% priorizza gli asset che affacciano sul web, seguiti dai server interni, dalle API, dall’infrastruttura cloud e dai dispositivi IoT. Questo allineamento riflette una crescente consapevolezza che gli attaccanti non discriminano: sfruttano qualsiasi vulnerabilità disponibile in tutta la superficie di attacco.

Le API, in particolare, sono emerse come un obiettivo di alta priorità, sia per gli attaccanti che per i difensori. Queste interfacce sono sempre più essenziali per le operazioni aziendali, ma spesso mancano di visibilità e monitoraggio standard, rendendole mature per lo sfruttamento.

Operativizzare i Risultati del Pentesting

I rapporti di pentesting non vengono più archiviati. Invece, il 62% delle imprese trasferisce immediatamente i risultati all’IT per la priorità di risoluzione, mentre il 47% condivide i risultati con la direzione senior e il 21% li segnala direttamente ai consigli di amministrazione o ai regolatori.

Questo spostamento verso l’azione riflette un’integrazione più profonda del pentesting nella gestione del rischio strategico, e non solo nella conformità. La validazione della sicurezza sta diventando parte della conversazione aziendale.

Cosa Sta Bloccando un Progresso Ancora più Veloce?

Mentre le tendenze sono positive, rimangono alcuni ostacoli chiave. I due principali ostacoli al pentesting più frequente sono le limitazioni di budget (44%) e la mancanza di pentester disponibili (48%), quest’ultimo riflesso di un deficit globale di 4 milioni di professionisti della sicurezza informatica, secondo il World Economic Forum.

Il rischio operativo, come la paura di interruzioni durante i test, rimane una preoccupazione per il 30% dei CISO.

Dall’Obligo di Conformità ad Arma Strategica

Il pentesting è evoluto ben oltre le sue origini come requisito regolamentare. Oggi, supporta iniziative strategiche, tra cui la due diligence per fusioni e acquisizioni e la presa di decisioni a livello esecutivo. Quasi un terzo dei rispondenti cita ora “mandato esecutivo” e “preparazione per fusioni e acquisizioni” come motivi chiave per eseguire il pentesting.

Questo segna una trasformazione fondamentale: da un controllo reattivo a una misura proattiva e continua di resilienza informatica.

Considerazioni Finali

Il Rapporto sullo Stato del Pentesting 2025 è più di un aggiornamento: è un richiamo all’attenzione. Mentre le superfici di attacco crescono e gli attaccanti diventano più sofisticati, le organizzazioni non possono più permettersi approcci lenti, manuali o isolati alla sicurezza. Il pentesting basato su intelligenza artificiale e software sta colmando questo divario con velocità, scala e insight.

Le organizzazioni che prospereranno in questa nuova era saranno quelle che trattano la validazione della sicurezza non solo come una necessità tecnica, ma come un imperativo strategico.

Per ulteriori informazioni, scaricate il Rapporto Completo sullo Stato del Pentesting 2025 da Pentera.