Perimetro
Digitale, fisico, personale.
Pentest e compliance per l'azienda, bonifiche da microspie e dispositivi blindati per le persone che vale la pena attaccare.
Quattro aree, una sola responsabilità
Invece di tre fornitori che si rimpallano il problema.
Pentest e audit
Un attacco controllato ai vostri sistemi secondo OWASP e PTES, con un report che capiscono sia lo sviluppatore sia il direttore.
- Web e API
- App mobili
- Infrastruttura e cloud
- Ingegneria sociale
- Audit del codice
Compliance e consulenza
Preparazione alla certificazione e policy che funzionano, non che restano in un raccoglitore.
- ISO 27001
- SOC 2
- GDPR, NIS2, DORA
- vCISO
- Formazione del personale
Bonifica da microspie
Verifica strumentale di locali, auto e apparecchiature alla ricerca di microspie e telecamere nascoste.
- Ufficio e sala riunioni
- Automobile
- Abitazione
- Apparecchiature e regali
Protezione dei dispositivi
Telefono e laptop configurati per il vostro modello di minaccia, e comunicazioni che nessun terzo legge.
- GrapheneOS
- Configurazione del telefono
- Laptop
- Messaggistica ed email
- Chiavi hardware
Un perimetro, quattro aree
Ogni linea dello schema, con i fornitori abituali, è un team separato. Da noi è una sola responsabilità.
- Pentest e audit
- Compliance e consulenza
- Bonifica da microspie
- Protezione dei dispositivi
Le metodologie con cui lavoriamo
Nessun «metodo proprietario», solo standard aperti che il vostro auditor e il vostro sviluppatore conoscono.
- OWASP WSTG
- OWASP API Top 10
- OWASP MASVS
- PTES
- NIST SP 800-115
- ISO 27001
- SOC 2
- NIS2
- DORA
- GDPR
Come si svolge il lavoro
01Colloquio
Chiariamo cosa proteggiamo esattamente e da chi. Senza questionari da quaranta domande.
02Perimetro e contratto
Fissiamo i confini del test, i tempi e il formato del report. Firmiamo un NDA.
03Lavoro
Testiamo e documentiamo ogni rilievo con evidenza e livello di rischio.
04Report e correzioni
Spieghiamo cosa correggere per primo. Riverifichiamo dopo le correzioni.
Per chi siamo
Sei situazioni tipiche con cui le persone si rivolgono a noi. Se riconoscete la vostra, il passo successivo è una breve conversazione.
Dirigenti e titolari
Trattative che non devono trapelare e un telefono che nessuno deve leggere.
Avvocati
Segreto professionale in studio, in auto e sui dispositivi che possono essere sequestrati.
Giornalisti
Tutela delle fonti: comunicazioni, dispositivi, bonifica dei locali prima di interviste delicate.
Fintech e banche
Pentest prima del rilascio, DORA e NIS2, report per l'autorità e i partner.
E-commerce e marketplace
Protezione del flusso di pagamento, dei dati personali dei clienti e delle API per i partner.
SaaS e team di prodotto
Pentest di applicazione e API, SOC 2 per i clienti USA, ciclo di sviluppo sicuro.
Scanner o pentest
Lo scanner è utile, ma non è una verifica di sicurezza. Ecco la differenza.
| Scanner di vulnerabilità | Pentest | |
|---|---|---|
| Cosa trova | Vulnerabilità note da un database | Scenari reali di violazione, logica inclusa |
| Falsi positivi | Centinaia, da smistare voi | Ogni rilievo verificato a mano |
| Catene di attacco | Non le vede | Concatena rilievi minori in uno critico |
| Report | Un elenco tecnico | Per il direttore, lo sviluppatore e l'auditor |
| Nuova verifica | La stessa scansione | Conferma che è stato corretto |
Come lavoriamo
Senza vendere paura
Non vendiamo paura. Diciamo quale rischio è reale e dove potete risparmiare.
NDA prima della prima parola
Firmiamo l'accordo di riservatezza prima di qualsiasi dettaglio. Il vostro modello o il nostro.
Un report che si legge
Una pagina per la direzione, passi per lo sviluppatore, evidenze per l'auditor.
Nuova verifica inclusa
Dopo le correzioni testiamo di nuovo e confermiamo che è chiuso.
Così è protetto questo sito
Non vi chiediamo di crederci sulla parola. Verificate voi stessi.
- Nessun database
- Il sito è statico. Non c'è nulla da violare: niente pannello, niente sessioni, niente password.
- Le richieste non vengono salvate
- Il modulo invia il messaggio direttamente al nostro Telegram e non lascia copie sul server.
- Header di sicurezza
- CSP, HSTS, divieto di incorporamento in altri siti. Verificate su securityheaders.com.
- Nessun tracker
- Niente cookie, pixel o analytics di terze parti.
Guida
Articoli brevi su ciò che facciamo e perché. Cinque minuti di lettura che fanno risparmiare un'ora di conversazione.
Cos'è un pentest e in cosa differisce da uno scanner di vulnerabilità
Lo scanner trova falle note da una lista. Il pentester ragiona come un attaccante e concatena i dettagli in una violazione reale.
4 min di lettura
Come si svolge una bonifica da microspie
Cosa facciamo in ufficio, in auto o in casa, quali strumenti usiamo e perché richiede ore.
5 min di lettura
GrapheneOS: cos'è e a chi serve davvero
Un sistema operativo per Pixel senza servizi Google di default. Non per tutti, ma per alcuni l'unica opzione.
4 min di letturaDomande frequenti
Quanto costa un pentest?
Dipende dal perimetro: numero di applicazioni, dimensione della rete, modalità di accesso. Una piccola app web e una grande infrastruttura differiscono di molte volte. Dopo un breve colloquio diamo un prezzo fisso e una scadenza; non pubblichiamo prezzi sul sito perché senza perimetro sono fuorvianti.
Ci romperete qualcosa durante il pentest?
Lavoriamo entro confini e regole concordati: niente DoS, niente distruzione di dati, azioni distruttive solo in ambiente di test e con permesso separato. Avvisiamo in anticipo dei passaggi rischiosi.
Quanto dura il lavoro?
Pentest di un'applicazione: una o due settimane compreso il report. Infrastruttura: da due a quattro settimane. Bonifica da microspie: da qualche ora a un giorno. Preparazione a ISO 27001: da tre a nove mesi a seconda del punto di partenza.
Firmate un NDA?
Sì, prima di iniziare qualsiasi lavoro. Possiamo firmare il vostro modello o fornire il nostro.
Posso contattarvi in forma anonima?
Sì. Il modulo ha una modalità riservata: senza nome né telefono, solo un alias Signal o Session. Per una bonifica concordiamo un incontro senza testimoni.
Scriveteci
Il messaggio arriva direttamente al nostro Telegram. Sul server non resta nulla.
Telegram
