Trovare vulnerabilità è facile (ogni scanner ne sputa a migliaia); gestirle è il problema vero: deduplicare i risultati di dieci scanner diversi, dare priorità sensate, assegnare, tracciare fino alla chiusura, e dimostrare all'auditor che il processo esiste. È il ruolo delle piattaforme di vulnerability management:
- DefectDojo – orchestratore open source: ingerisce l'output di decine di scanner (SAST/DAST/SCA, immagini), deduplica, gestisce il ciclo di vita del finding (triage → assegnazione → verifica → chiusura), e produce metriche e report per la compliance
- Dependency-Track – specializzato sulla supply chain: consuma gli SBOM dei tuoi progetti e ti avvisa quando una CVE nuova colpisce una dipendenza che già usi – il monitoraggio continuo che il singolo scan al momento del build non dà
Il principio che le rende utili: la priorità non è il CVSS nudo ma il rischio nel tuo contesto – exploitability (EPSS/KEV), esposizione, criticità dell'asset (che esce dalla BIA). E il VEX (Vulnerability Exploitability eXchange) permette di dichiarare formalmente "questa CVE non ci tocca, perché...", tagliando il rumore. Per una PMI, DefectDojo su un LXC trasforma il caos degli scanner in un processo tracciabile – che è metà di ciò che NIS2 e ISO chiedono di dimostrare.