XNinja: Piattaforma Automatizzata di Penetration Testing e Compliance per Aziende e PMI

Un penetration test costa tra EUR 10.000 e 50.000 e richiede settimane per essere organizzato. Per un produttore tedesco di medie dimensioni che deve rispettare le scadenze di conformita NIS2, questo non e solo costoso — e operativamente paralizzante. L'azienda ha bisogno di valutazioni di sicurezza trimestrali per mantenere la compliance, ma ogni incarico richiede di trovare pentester disponibili, negoziare l'ambito, attendere il rapporto e poi tradurre risultati tecnici grezzi nel linguaggio di controllo specifico di NIS2, BSI IT-Grundschutz e ISO 27001. Quando il rapporto arriva, l'infrastruttura e gia cambiata. Lo snapshot di compliance e gia obsoleto.

La Sfida

Il panorama normativo europeo si e irrigidito drasticamente. NIS2, entrata in vigore nell'ottobre 2024, ha esteso gli obblighi di cybersicurezza a oltre 160.000 organizzazioni in tutta l'UE — molte delle quali non erano mai state soggette a valutazioni di sicurezza obbligatorie. BSI IT-Grundschutz, il framework nazionale tedesco, richiede evidenza documentata di penetration testing regolari. La certificazione TISAX, obbligatoria per i partecipanti alla catena di fornitura automobilistica, esige controlli di sicurezza dimostrabili. E la DSGVO (GDPR) richiede alle organizzazioni di dimostrare di adottare misure tecniche adeguate per proteggere i dati personali.

Per le grandi aziende con team di sicurezza dedicati, questo e gestibile. Per la stragrande maggioranza delle imprese europee — i produttori del Mittelstand, le aziende di logistica, i fornitori di servizi sanitari e le societa di servizi finanziari con 50-500 dipendenti — crea una scelta impossibile: spendere EUR 40.000 o piu all'anno in pentest manuali che a malapena possono permettersi, o rischiare sanzioni per non conformita che possono raggiungere il 2% del fatturato annuo sotto NIS2.

Gli strumenti automatizzati esistenti risolvono solo parte del problema. Nmap scansiona le reti. Nuclei testa le applicazioni web. TestSSL verifica le configurazioni dei certificati. Ma nessuno di essi produce un output che un responsabile della compliance possa utilizzare. Un elenco di porte aperte non e un risultato di compliance. Un identificatore CVE non e un'analisi dei gap di controllo. La traduzione da vulnerabilita tecnica a linguaggio di compliance richiede competenza umana — che e esattamente cio che rende i pentest manuali cosi costosi.

Come Funziona una Scansione

Quando un utente avvia una scansione in XNinja, viene eseguita la seguente sequenza di orchestrazione:

• L'utente inserisce un dominio target o un intervallo IP e seleziona i framework di compliance applicabili (es., NIS2 + ISO 27001 + BSI IT-Grundschutz)
• L'orchestratore LangGraph analizza il target e distribuisce gli agenti appropriati: scansione di rete (Nmap), test di applicazioni web (Nuclei), analisi SSL/TLS (TestSSL) e discovery degli endpoint — tutti in esecuzione parallela in contenitori isolati
• Man mano che i risultati arrivano da ogni agente, il motore di scoring del rischio basato su AI valuta l'impatto aziendale — una vulnerabilita critica su un sistema di pagamento esposto a internet viene valutata diversamente dalla stessa vulnerabilita su un server di sviluppo interno
• Il motore di mappatura di compliance prende ogni risultato e lo mappa ai controlli specifici che influenza in tutti i framework selezionati. Un certificato SSL scaduto, ad esempio, si mappa a ISO 27001 A.10.1.1, NIS2 Articolo 21(2)(e) e BSI IT-Grundschutz CON.1
• Il generatore di report produce tre output simultaneamente: un sommario esecutivo per il management, un report tecnico con istruzioni di remediation passo per passo e un'analisi dei gap di compliance che mostra esattamente quali controlli sono soddisfatti e quali richiedono azione
• Tempo totale dall'avvio della scansione al report completo: tipicamente meno di 15 minuti per un'applicazione web e perimetro di rete standard

Il Motore di Compliance

Il motore di compliance di XNinja non e una semplice tabella di consultazione. Ciascuno dei 5 framework supportati (ISO 27001, NIS2, BSI IT-Grundschutz, DSGVO, TISAX) contiene tra 80 e 200 controlli individuali, e le relazioni tra risultati tecnici e controlli sono spesso many-to-many. Una singola regola firewall mal configurata puo influenzare controlli in piu framework, e un singolo controllo puo essere impattato da piu risultati tecnici.

Il motore utilizza la ricerca di similarita semantica pgvector per identificare mappature di controllo non ovvie che il matching per parole chiave non rileva. Quando emerge un nuovo tipo di vulnerabilita — ad esempio, una nuova misconfiguration degli header HTTP — il motore puo identificare quali controlli di compliance influenza anche se non e stata codificata una mappatura esplicita, analizzando la similarita semantica tra la descrizione della vulnerabilita e i requisiti del controllo.

Come Appare un Report

XNinja genera tre livelli di report progettati per diverse audience all'interno di un'organizzazione:

• Sommario esecutivo (1-2 pagine): Punteggio di rischio complessivo, numero di risultati per severita, stato di compliance per ciascun framework selezionato e un elenco prioritizzato delle 5 azioni principali che avrebbero il maggior impatto sulla postura di sicurezza dell'organizzazione. Scritto in linguaggio chiaro, adatto per presentazioni al consiglio.
• Report tecnico (dettagliato): Ogni risultato con riferimenti CVE, prova di sfruttabilita, istruzioni di remediation passo per passo con esempi di codice dove applicabile, e stima dell'impegno per la correzione. Questo e cio di cui il team IT ha bisogno per risolvere effettivamente i problemi.
• Analisi dei gap di compliance (per framework): Per ciascun framework di compliance selezionato, una valutazione controllo per controllo che mostra quali controlli sono soddisfatti dalla postura di sicurezza attuale, quali presentano lacune e quali azioni specifiche sono necessarie per raggiungere la conformita. Formattato per invio diretto agli auditor.

Tutti i report sono generati in tedesco e inglese, con guide di remediation localizzate per ogni lingua. Lingue aggiuntive sono sulla roadmap in base alla domanda dei clienti.

Stato del Prodotto

XNinja e attualmente in beta chiusa con clienti pilota selezionati in Germania e Austria, principalmente nei settori manifatturiero, logistico e dei servizi finanziari. Questi engagement pilota stanno validando l'accuratezza della mappatura di compliance, la qualita dei report e l'usabilita per professionisti non specializzati in sicurezza. Il lancio pubblico e previsto per il Q2 2026, con disponibilita iniziale nella regione DACH (Germania, Austria, Svizzera) prima di espandersi ai mercati UE piu ampi.

Siamo trasparenti su questa tempistica perche crediamo che l'onesta sulla maturita del prodotto costruisca piu fiducia delle affermazioni di marketing premature. I clienti pilota stanno fornendo feedback reale che sta plasmando il prodotto — dalle priorita di copertura dei framework di compliance alle preferenze di formato dei report ai requisiti di integrazione con i loro strumenti di gestione IT esistenti.

Modello di Pricing

XNinja ha un prezzo pensato per rendere le valutazioni di sicurezza regolari economicamente sostenibili per le organizzazioni che attualmente non possono permettersi il pentesting manuale. Una scansione automatizzata completa costa una frazione di un pentest manuale — rendendo fattibile eseguire valutazioni trimestrali o anche mensili invece di test annuali puntuali. Il modello di abbonamento include scansioni illimitate, aggiornamenti della mappatura di compliance man mano che i framework evolvono e monitoraggio continuo per le organizzazioni che ne hanno bisogno.

Risultati e Impatto

• 5 framework di compliance mappati: ISO 27001, NIS2, BSI IT-Grundschutz, DSGVO e TISAX
• 8 strumenti di sicurezza integrati orchestrati da agenti AI per copertura completa
• Meno di 15 minuti dall'avvio della scansione al report completo di compliance per target tipici
• Tre livelli di report (esecutivo, tecnico, compliance) generati simultaneamente in DE/EN
• Mappatura di compliance semantica tramite pgvector che identifica relazioni di controllo non ovvie
• Architettura SaaS multi-tenant con isolamento completo dei dati e infrastruttura solo UE
• Monitoraggio continuo della compliance che sostituisce costose valutazioni puntuali

Stack Tecnologico

• Frontend Angular con dashboard WebSocket in tempo reale per avanzamento scansione live
• Backend Django REST con isolamento multi-tenant e controllo degli accessi basato sui ruoli
• PostgreSQL con pgvector per ricerca di similarita semantica nei database di vulnerabilita
• Orchestrazione multi-agente LangGraph per coordinare workflow di scansione paralleli
• Nmap, Nuclei, TestSSL e strumenti di discovery personalizzati per copertura completa della superficie di attacco
• Redis per accodamento task, caching e streaming eventi in tempo reale