Perimetro
Digitale, fisico, personale.
Pentest e compliance per l'azienda, bonifiche da microspie e dispositivi blindati per le persone che vale la pena attaccare.
Quattro aree, una sola responsabilità
Invece di tre fornitori che si rimpallano il problema.
Pentest e audit
Un attacco controllato ai vostri sistemi secondo OWASP e PTES, con un report che capiscono sia lo sviluppatore sia il direttore.
- Web e API
- App mobili
- Infrastruttura e cloud
- Ingegneria sociale
- Audit del codice
Compliance e consulenza
Preparazione alla certificazione e policy che funzionano, non che restano in un raccoglitore.
- ISO 27001
- SOC 2
- GDPR, NIS2, DORA
- vCISO
- Formazione del personale
Bonifica da microspie
Verifica strumentale di locali, auto e apparecchiature alla ricerca di microspie e telecamere nascoste.
- Ufficio e sala riunioni
- Automobile
- Abitazione
- Apparecchiature e regali
Protezione dei dispositivi
Telefono e laptop configurati per il vostro modello di minaccia, e comunicazioni che nessun terzo legge.
- GrapheneOS
- Configurazione del telefono
- Laptop
- Messaggistica ed email
- Chiavi hardware
Un perimetro, quattro aree
Ogni linea dello schema, con i fornitori abituali, è un team separato. Da noi è una sola responsabilità.
- Pentest e audit
- Compliance e consulenza
- Bonifica da microspie
- Protezione dei dispositivi
Le metodologie con cui lavoriamo
Nessun «metodo proprietario», solo standard aperti che il vostro auditor e il vostro sviluppatore conoscono.
- OWASP WSTG
- OWASP API Top 10
- OWASP MASVS
- PTES
- NIST SP 800-115
- ISO 27001
- SOC 2
- NIS2
- DORA
- GDPR
Come si svolge il lavoro
01Colloquio
Chiariamo cosa proteggiamo esattamente e da chi. Senza questionari da quaranta domande.
02Perimetro e contratto
Fissiamo i confini del test, i tempi e il formato del report. Firmiamo un NDA.
03Lavoro
Testiamo e documentiamo ogni rilievo con evidenza e livello di rischio.
04Report e correzioni
Spieghiamo cosa correggere per primo. Riverifichiamo dopo le correzioni.
Per chi siamo
Sei situazioni tipiche con cui le persone si rivolgono a noi. Se riconoscete la vostra, il passo successivo è una breve conversazione.
Dirigenti e titolari
Trattative che non devono trapelare e un telefono che nessuno deve leggere.
Cosa serve di solito: Bonifica di ufficio e auto, telefono blindato, comunicazioni
Avvocati
Segreto professionale in studio, in auto e sui dispositivi che possono essere sequestrati.
Cosa serve di solito: Bonifica dei locali, cifratura, dispositivi che possono essere sequestrati
Giornalisti
Tutela delle fonti: comunicazioni, dispositivi, bonifica dei locali prima di interviste delicate.
Cosa serve di solito: Comunicazioni sicure, dispositivi, bonifica prima di interviste delicate
Fintech e banche
Pentest prima del rilascio, DORA e NIS2, report per l'autorità e i partner.
Cosa serve di solito: Pentest, DORA e NIS2, piano di risposta agli incidenti, vCISO
E-commerce e marketplace
Protezione del flusso di pagamento, dei dati personali dei clienti e delle API per i partner.
Cosa serve di solito: Pentest di sito e API, flusso dei pagamenti, policy
SaaS e team di prodotto
Pentest di applicazione e API, SOC 2 per i clienti USA, ciclo di sviluppo sicuro.
Cosa serve di solito: Pentest dell'applicazione, SOC 2, sviluppo sicuro
Scanner o pentest
Lo scanner è utile, ma non è una verifica di sicurezza. Ecco la differenza.
| Scanner di vulnerabilità | Pentest | |
|---|---|---|
| Cosa trova | Vulnerabilità note da un database | Scenari reali di violazione, logica inclusa |
| Falsi positivi | Centinaia, da smistare voi | Ogni rilievo verificato a mano |
| Catene di attacco | Non le vede | Concatena rilievi minori in uno critico |
| Report | Un elenco tecnico | Per il direttore, lo sviluppatore e l'auditor |
| Nuova verifica | La stessa scansione | Conferma che è stato corretto |
Come lavoriamo
Senza vendere paura
Non vendiamo paura. Diciamo quale rischio è reale e dove potete risparmiare.
NDA prima della prima parola
Firmiamo l'accordo di riservatezza prima di qualsiasi dettaglio. Il vostro modello o il nostro.
Un report che si legge
Una pagina per la direzione, passi per lo sviluppatore, evidenze per l'auditor.
Nuova verifica inclusa
Dopo le correzioni testiamo di nuovo e confermiamo che è chiuso.
Riservatezza come protocollo, non come promessa
Così trattiamo il vostro materiale dalla prima e-mail alla distruzione degli artefatti.
Cifratura fin dall'inizio
Il materiale sta su un supporto cifrato e vi accede solo chi esegue il lavoro. Il report viene consegnato cifrato, la password passa per un altro canale.
Autorizzazione prima della prima scansione
Nessun test senza il consenso scritto del proprietario del sistema. Perimetro, finestre di test e parola di stop si concordano in anticipo.
Le criticità si comunicano subito
Una scoperta pericolosa viene consegnata il giorno in cui la vediamo, senza aspettare il report finale.
Distruzione programmata
A fine progetto distruggiamo gli artefatti e rilasciamo un attestato. Case study pubblico solo con consenso scritto separato.
Così è protetto questo sito
Non vi chiediamo di crederci sulla parola. Verificate voi stessi.
- Nessun database
- Il sito è statico. Non c'è nulla da violare: niente pannello, niente sessioni, niente password.
- Le richieste non vengono salvate
- Il modulo invia il messaggio direttamente al nostro Telegram e non lascia copie sul server.
- Header di sicurezza
- CSP, HSTS, divieto di incorporamento in altri siti. Verificate su securityheaders.com.
- Nessun tracker
- Niente cookie, pixel o analytics di terze parti.
Verificate voi stessi
Due verifiche gratuite che mostrano ciò che chiunque può vedere di voi in un minuto. Senza registrazione, i risultati non vengono salvati.
Verificate la protezione del sito
Ciò che il vostro sito consegna a ogni visitatore: redirect su HTTPS, header di sicurezza, script e tracker di terze parti, versioni software esposte.
Facciamo due richieste normali alla home page, come un browser. Non scansioniamo né salviamo nulla.
Verificate la protezione della vostra posta
Senza SPF e DMARC chiunque può inviare e-mail a nome del vostro dominio. La verifica legge solo record DNS pubblici e non salva nulla.
Leggiamo solo i record DNS pubblici del dominio. Non salviamo né scansioniamo nulla.
Guida
Articoli brevi su ciò che facciamo e perché. Cinque minuti di lettura che fanno risparmiare un'ora di conversazione.
Cos'è un pentest e in cosa differisce da uno scanner di vulnerabilità
Lo scanner trova falle note da una lista. Il pentester ragiona come un attaccante e concatena i dettagli in una violazione reale.
4 min di lettura
Come si svolge una bonifica da microspie
Cosa facciamo in ufficio, in auto o in casa, quali strumenti usiamo e perché richiede ore.
5 min di lettura
GrapheneOS: cos'è e a chi serve davvero
Un sistema operativo per Pixel senza servizi Google di default. Non per tutti, ma per alcuni l'unica opzione.
4 min di letturaDomande frequenti
Quanto costa un pentest?
Dipende dal perimetro: numero di applicazioni, dimensione della rete, modalità di accesso. Una piccola app web e una grande infrastruttura differiscono di molte volte. Dopo un breve colloquio diamo un prezzo fisso e una scadenza; non pubblichiamo prezzi sul sito perché senza perimetro sono fuorvianti.
Ci romperete qualcosa durante il pentest?
Lavoriamo entro confini e regole concordati: niente DoS, niente distruzione di dati, azioni distruttive solo in ambiente di test e con permesso separato. Avvisiamo in anticipo dei passaggi rischiosi.
Quanto dura il lavoro?
Pentest di un'applicazione: una o due settimane compreso il report. Infrastruttura: da due a quattro settimane. Bonifica da microspie: da qualche ora a un giorno. Preparazione a ISO 27001: da tre a nove mesi a seconda del punto di partenza.
Firmate un NDA?
Sì, prima di iniziare qualsiasi lavoro. Possiamo firmare il vostro modello o fornire il nostro.
Posso contattarvi in forma anonima?
Sì. Il modulo ha una modalità riservata: senza nome né telefono, solo un alias Signal o Session. Per una bonifica concordiamo un incontro senza testimoni.
È legale testare i nostri sistemi?
Sì, con l'autorizzazione scritta del proprietario del sistema. Perimetro, finestre e parola di stop vengono fissati nelle regole di ingaggio prima di iniziare. Senza, non partiamo.
Ci aiutate a correggere ciò che trovate?
Sì. Spieghiamo ogni scoperta agli sviluppatori, accompagniamo la correzione e poi ritestiamo con conferma.
Scriveteci
Il messaggio arriva direttamente al nostro Telegram. Sul server non resta nulla.
Telegram
