Audit OSINT: cosa consegniamo e quanto tempo richiede davvero

Audit OSINT: cosa consegniamo e quanto tempo richiede davvero

Questa è una descrizione di servizio che non si legge come tale. Ripercorreremo, in ordine, esattamente com'è un audit OSINT difensivo nel nostro studio: quanto dura, cosa contiene il deliverable, cosa non contiene e cosa ci aspettiamo dal cliente. L'obiettivo è che un responsabile possa valutare il servizio senza una chiamata commerciale, decidere se si adatta e chiamarci solo quando la chiamata sia informata.

Abbiamo scelto questa trasparenza per due ragioni. La prima è di marca: ci siamo impegnati pubblicamente per l'onestà operativa e un servizio che descriviamo vagamente contraddice quell'impegno. La seconda è operativa: i clienti che arrivano informati producono incarichi più rapidi e di maggior valore, e preferiamo quei clienti. La selezione è reciproca.

Cos'è un audit OSINT difensivo

Un audit OSINT difensivo è la raccolta e l'analisi sistematiche di informazioni pubbliche sulla sua azienda, condotte dalla prospettiva esterna senza accesso privilegiato, organizzate in un report scritto che elenca le esposizioni, le ordina per severità e difficoltà di rimedio e propone azioni specifiche.

Non è un pentest. Non tentiamo di accedere ai sistemi. Non è una valutazione delle vulnerabilità. Non scansioniamo la sua infrastruttura con strumenti che sondano le debolezze. Non è un servizio di monitoraggio continuo. Consegniamo una fotografia puntuale.

È l'esercizio di cybersicurezza più economico che produce in modo consistente risultati azionabili per le medie imprese europee. Il rapporto costo-impatto è strutturalmente favorevole perché la maggior parte del valore proviene dalla sintesi e dalla prioritizzazione, non da strumenti costosi.

Perimetro: cosa guardiamo

Il nostro perimetro standard copre sei categorie. L'ampiezza è deliberata; la profondità varia a seconda di ciò che troviamo.

Categoria 1 · Esposizione del personale

• Impronta su LinkedIn dell'azienda e dei dipendenti nominati.
• Talk pubblici, apparizioni in podcast e articoli firmati dai dipendenti.
• Attività pubblica su GitHub, GitLab e Bitbucket dei dipendenti in orario lavorativo.
• Esposizioni su blog personali o social media professionalmente rilevanti.

Categoria 2 · Perimetro tecnico

• Record DNS (A, AAAA, MX, CNAME, TXT, SOA, NS) dei domini principali e scoperti.
• Voci nei log di trasparenza dei certificati degli ultimi 24 mesi.
• Visibilità su Shodan, Censys e ZoomEye dell'ASN e degli intervalli IP noti.
• Scansioni di DNS inverso sugli intervalli IP noti.
• Enumerazione di sottodomini tramite log dei certificati, indicizzazione dei motori di ricerca e forza bruta DNS sui pattern più comuni.

Categoria 3 · Infrastruttura email

• Postura SPF, DKIM e DMARC di domini e sottodomini scoperti.
• Presenza BIMI e stato di verifica VMC.
• Cambiamenti storici della postura di sicurezza email (via DNS passivo) degli ultimi 24 mesi.
• Identificazione del fornitore MX e cambiamenti storici.

Categoria 4 · Marca e superficie di spoofing

• Domini simili registrati negli ultimi 24 mesi che richiamino i suoi domini principali (typosquat, omoglifi, suffissi di marca).
• Account sulle principali piattaforme social che corrispondano o falsifichino la sua marca.
• Applicazioni mobili nei grandi store che usino il nome di marca.
• Riferimenti a kit di phishing che menzionino la sua azienda in fonti pubbliche indicizzate.

Categoria 5 · Visibilità della catena di fornitura

• JavaScript di terze parti caricato sulle sue proprietà web pubbliche.
• Sottodomini SaaS ospitati sotto il suo dominio (pagine di stato, portali di supporto, piattaforme di apprendimento).
• Logo di fornitori visibili nei suoi materiali pubblici.
• Riferimenti pubblici in testimonianze e case study di clienti che mappano relazioni azienda-fornitore.

Categoria 6 · Credenziali pubbliche ed esposizione di codice

• Repository pubblici sotto la sua organizzazione o riconoscibilmente collegati.
• Gist pubblici o paste su pastebin che facciano riferimento al suo dominio o a identificatori di marca.
• Indici pubblici di fughe di credenziali per i suoi domini email (usando solo dati già indicizzati da fonti serie di threat intelligence con licenza).
• Metadati di documenti PDF e Office pubblicamente scaricabili (non aggiriamo alcun controllo di accesso).

Cosa non includiamo

• Nulla che richieda autenticazione, ingegneria sociale o sfruttamento tecnico. Se non possiamo raggiungerlo come osservatore esterno senza accesso privilegiato, non lo documentiamo.
• Dati personali dei dipendenti oltre ciò che essi espongono professionalmente. Noteremo che il ruolo è su LinkedIn. Non enumereremo la loro vita personale sui social media.
• Dati soggetti a considerazioni di protezione dei dati per il cui trattamento non siamo autorizzati. Quando identifichiamo l'esposizione di dati personali di persone che non sono dipendenti, descriviamo la categoria e l'entità senza includere il dato nel report.
• Speculazione su chi potrebbe attaccarla o attribuzione. Il report tratta l'esposizione, non la modellazione dell'avversario.

Tempi: 5 giorni lavorativi e una rifinitura opzionale

Un incarico standard dura 5 giorni lavorativi per il lavoro centrale, con un'estensione opzionale di 2 giorni se il volume dei risultati lo giustifica (raro, circa uno su sette incarichi).

• Giorno 1. Kick-off con il cliente (90 minuti, virtuale). Conferma del perimetro, domini dentro e fuori perimetro, canale di comunicazione, persona di contatto, accordo su cosa fare se facciamo emergere qualcosa che richiede azione immediata.
• Giorni 2 e 3. Ricognizione attiva nelle sei categorie. La maggior parte della profondità avviene qui. I risultati vengono registrati man mano in un repository interno strutturato.
• Giorno 4. Triage e prioritizzazione. Ogni risultato riceve un punteggio bidimensionale: severità (bassa, media, alta, critica) e difficoltà di rimedio (banale, facile, moderata, difficile). Redigiamo la bozza del report.
• Giorno 5. Revisione tra pari interna della bozza da parte di un secondo consulente senior. Consegna al cliente (PDF firmato e datato). Debriefing con il cliente (60 minuti, virtuale). Ripasso opzionale di ogni risultato di severità alta con l'ingegnere responsabile lato cliente.

I tempi di 5 giorni sono ciò che ci impegniamo a rispettare alla firma. Abbiamo consegnato più rapidamente su richiesta in due occasioni; non abbiamo mai consegnato in ritardo.

Deliverable: il report

Il report è un documento scritto, firmato dal responsabile dell'incarico, datato e consegnato in PDF e bundle Markdown. La lunghezza varia; la mediana è tra le 25 e le 45 pagine per un incarico di medie dimensioni. Struttura:

1. Sintesi esecutiva (2 pagine, per l'organo di gestione).

2. Metodologia (2 pagine, cosa abbiamo fatto e come).

3. Risultati per categoria (15-30 pagine, una sezione per categoria, ogni risultato con severità, difficoltà, URL o riferimento di evidenza e azione raccomandata).

4. Top 10 dei rimedi prioritari (2 pagine, quelli da fare per primi).

5. Raccomandazioni di coda lunga (1-3 pagine, quelli da fare dopo).

6. Allegati (dettagli tecnici: elenco completo dei sottodomini, dump completo del DNS, dump completo dei banner Shodan quando applicabile).

Ogni risultato include l'URL o il riferimento tecnico che consente al suo team di riprodurlo. Il report è riproducibile. Lo rendiamo esplicito perché alcuni clienti hanno avuto brutte sorprese con report che non potevano verificare internamente.

Cosa ci aspettiamo dal cliente

• Una persona di contatto con autorità di decidere sul perimetro durante l'incarico. Senza comitati.
• Elenco dei domini dentro e fuori perimetro confermato per iscritto prima del giorno 1.
• Permesso di lanciare query contro il suo DNS e i suoi certificati durante la finestra dell'incarico. Non abbiamo bisogno di accesso ad alcuno dei suoi sistemi.
• Un contatto di emergenza per la piccola probabilità di far emergere qualcosa che richieda azione immediata (per esempio, un bucket S3 aperto con dati personali, un'interfaccia di amministrazione esposta con credenziali predefinite).
• Una finestra di 60 minuti per il debriefing del giorno 5. Senza debriefing, il valore del report cala del 30% secondo la nostra stima interna.

Principio di prezzo (non prezzo)

Seguiamo un modello a perimetro fisso e prezzo fisso. Il prezzo si fissa nella proposta una volta noto il conteggio dei domini in perimetro, l'organico approssimativo e l'impronta tecnica. Non fatturiamo a ore. Non fatturiamo sorprese. Se l'incarico rivela più lavoro di quanto il perimetro consentisse, consegniamo il perimetro concordato al prezzo concordato e proponiamo un incarico separato se il cliente lo desidera.

Non pubblichiamo prezzi pubblicamente perché dipendono genuinamente dal perimetro. Diamo una fascia nella prima conversazione, prima di qualsiasi impegno.

Cosa succede dopo il report

Tre percorsi. Sceglie il cliente.

1. Il cliente prende il report e pone rimedio internamente. È il percorso più comune. Il report è abbastanza dettagliato da poter essere eseguito. Restiamo disponibili per domande di chiarimento durante i 30 giorni successivi alla consegna senza costo.

2. Il cliente ci ingaggia per il rimedio. Offriamo sprint a perimetro fisso (tipicamente 4-8 settimane) per i risultati prioritari.

3. Il cliente si abbona a un refresh OSINT periodico. Consegniamo un audit aggiornato ogni 3 o 6 mesi, focalizzato su cosa è cambiato dal report precedente.

Nessuno è la risposta per ogni cliente. Lo discutiamo onestamente nel debriefing.

> "I clienti che arrivano con una nozione chiara di cosa consegnerà e cosa non consegnerà un audit OSINT producono incarichi di maggior valore. Il costo di scrivere questo articolo in dettaglio è il tempo che è costato. Il beneficio è la selezione che opera per entrambe le parti." — Nota di design del servizio IBL, 2026

Cosa facciamo in IBL

Conduciamo audit OSINT difensivi come incarico fisso di 5 giorni con report scritto, debriefing e finestra di chiarimento di 30 giorni. Rifiutiamo incarichi in cui il perimetro sia genuinamente troppo stretto (meno di 30 dipendenti, dominio unico, senza impronta pubblica degna di nota) o in cui il cliente si aspetta un servizio di monitoraggio continuo che ancora non offriamo.

Se desidera parlare del suo perimetro specifico, scriva a info@ociria.com. Rispondiamo entro un giorno lavorativo.

Ibida Black Level S.L. è una società di consulenza boutique di cybersicurezza con sede a Málaga e team operativo in Romania. Lavoriamo con medie imprese europee che preferiscono l'onestà tecnica al confezionamento commerciale. Siamo stati fondati nel 2026; non ci inventiamo una storia più lunga.

Letture correlate

• OSINT 101: 7 cose che un attaccante scopre sulla sua azienda in 30 minuti (cluster pillar Q4)
• Tier-1 a confronto con tier-2 nei fornitori di cybersicurezza: come scegliere in base alla dimensione
• DMARC spiegato: perché la sua email è vulnerabile e come metterla in sicurezza in 24 ore (cluster pillar Q3)

Tag: osint, audit, trasparenza, deliverable, metodologia, media-impresa