Vai al contenuto

Trova i punti deboli prima degli attaccanti

Cybersecurity

Penetration test, secure code review e vulnerability assessment per app web, API, app mobile e cloud. I test sono condotti manualmente, seguono standard pubblicati e si concludono con le correzioni, non solo con un report.

Cosa testiamo e correggiamo

Penetration test

Test manuali, dal punto di vista di un attaccante, delle tue applicazioni web e dell'infrastruttura esposta su Internet. Troviamo ciò che gli scanner automatici non vedono: controlli di accesso difettosi, errori logici e vulnerabilità concatenate.

  • Test di applicazioni web
  • Test dell'infrastruttura esterna
  • Test con e senza autenticazione
  • Approcci black, grey e white box

OWASP WSTG, PTES, NIST SP 800-115

  • Test di API e app mobile

    API REST e GraphQL e app iOS e Android, testate per falle di autorizzazione, archiviazione dei dati non sicura e cifratura debole delle comunicazioni.

    OWASP API Security Top 10, OWASP MASVS, OWASP MASTG

  • Vulnerability assessment

    Scansioni autenticate dei tuoi sistemi e delle dipendenze. Ogni risultato viene verificato manualmente, i falsi positivi vengono eliminati e il resto è ordinato per rischio reale.

    CVSS v4.0, CISA KEV

  • Secure code review

    Revisione riga per riga del codice più critico, come autenticazione, pagamenti e accesso ai dati, supportata da analisi statica e controllo delle dipendenze.

    OWASP ASVS, CWE Top 25

  • Verifica di sicurezza cloud

    Un audit della configurazione dei tuoi account AWS, Azure o Google Cloud: identità e accessi, esposizione di rete, logging, cifratura e storage.

    CIS Benchmarks

  • Threat modeling

    Prima dello sviluppo individuiamo come il tuo sistema potrebbe essere attaccato e quali controlli progettare fin dall'inizio. Costa molto meno che correggere dopo.

    STRIDE

  • Correzione e retest

    Siamo sia tester sia ingegneri del software: possiamo correggere le vulnerabilità nel tuo codice, poi testarle di nuovo una per una e confermare che sono risolte.

Come si svolge un incarico

Definisci un test

  1. Perimetro e autorizzazione

    Concordiamo obiettivi, tipo di test, tempistiche e referenti. Prima di qualsiasi test firmi un'autorizzazione scritta.

  2. Test

    I test sono condotti manualmente secondo la metodologia concordata. Gli strumenti automatici li supportano, ma non li sostituiscono mai.

  3. Report

    Ogni vulnerabilità include un punteggio CVSS, le prove, i passaggi per riprodurla e indicazioni chiare per correggerla. I problemi critici vengono segnalati subito.

  4. Correzione e retest

    Il tuo team o il nostro corregge le vulnerabilità. Poi le testiamo di nuovo ed emettiamo un report aggiornato.

Cosa ricevi da noi

  • Sintesi per la direzione

    I rischi spiegati in modo chiaro a founder, consigli di amministrazione e auditor.

  • Risultati tecnici

    Ogni problema valutato con CVSS v4.0, con prove e passaggi per riprodurlo.

  • Indicazioni per la correzione

    Correzioni specifiche per il tuo stack, ordinate per priorità.

  • Lettera di attestazione

    La conferma di ciò che è stato corretto, da condividere con clienti o auditor.

Fa per te se tu

  • Stai per lanciare o raccogliere fondi e ti serve un controllo di sicurezza
  • Ricevi dai clienti richieste di un report di penetration test
  • Tratti dati personali, sanitari o di pagamento
  • Vuoi le vulnerabilità corrette, non solo elencate

Gli standard che seguiamo nei test

Seguiamo metodologie pubblicate e riconosciute dal settore, così sai esattamente cosa è stato testato e come, e puoi confrontare i nostri risultati con qualsiasi altra valutazione.

  • OWASP WSTG
  • OWASP ASVS
  • OWASP MASVS
  • OWASP API Top 10
  • PTES
  • NIST SP 800-115
  • CVSS v4.0
  • CIS Benchmarks
  • CWE Top 25

Come trattiamo i tuoi sistemi

  • Autorizzazione scritta

    Testiamo solo i sistemi di tua proprietà o per cui hai l'autorizzazione a far eseguire test, e solo entro il perimetro che firmi.

  • Regole di ingaggio concordate

    Finestre di test, sistemi esclusi e contatti di emergenza vengono fissati prima di iniziare.

  • Riservatezza come standard

    Firmiamo un accordo di riservatezza su richiesta, cifriamo i risultati in archiviazione e in transito e condividiamo i report solo con i referenti che indichi.

  • Cancellazione a fine incarico

    Dati di test e prove vengono cancellati in modo sicuro al termine del periodo di conservazione concordato.

Hai trovato una vulnerabilità nel nostro sito? Leggi la nostra politica di sicurezza