La sicurezza a campagne ha perso la sua scala: il caso del testing continuo

Il modello di sicurezza basato su campagne periodiche appartiene a un'era di rilasci trimestrali. Per le organizzazioni che rilasciano ogni settimana, la scelta è tra copertura continua e finestre di esposizione crescenti.

Quasi tutti i CISO concordano che la frequenza dei rilasci sia il principale motore del rischio applicativo. Eppure la maggior parte delle organizzazioni continua a testare con il modello a campagne, nato quando i rilasci erano trimestrali. Oggi un'applicazione critica cambia ogni settimana: la finestra tra due test è diventata la vera superficie di rischio, e non può essere ridotta dal perimetro di quel modello.

Il numero che convince un comitato di rischio non è quante vulnerabilità sono state trovate, ma quanto tempo passa tra l'introduzione di un difetto e la sua scoperta. In un programma a campagne quel tempo si misura in mesi per costruzione; in un programma continuo si misura in giorni. Su questa metrica — non sul volume dei report — si decide il dibattito.

La risposta è spostare il testing dentro la pipeline di rilascio. Con Cirox ogni build viene esplorata da agenti autonomi, i percorsi di attacco vengono riprodotti passo per passo e ogni segnalazione arriva con evidenze riproducibili. Il testing smette di essere un evento di calendario e diventa una conseguenza del rilascio stesso.

Rimane una decisione delicata: la priorità. Un punteggio CVSS descrive la severità tecnica di una vulnerabilità, non il danno che produce in quella specifica architettura. Le liste ordinate per CVSS generano lavoro che non riduce il rischio reale; una priorità calcolata sull'impatto di business concentra il tempo degli sviluppatori dove conta.

L'implicazione per le persone è netta: il lavoro umano non sparisce, si sposta. Gli specialisti smettono di ripetere test sistematici e si concentrano sulle catene di attacco multi-step, dove il giudizio conta più della copertura. Le organizzazioni che fanno questo passaggio misurano la sicurezza sul tempo di esposizione — e quello, finalmente, scende.