Per le aziende

Trovare le falle prima di chi le cerca e dimostrare all'auditor che la vostra sicurezza non è solo sulla carta.

Pentest

Web, API, app mobili, infrastruttura, cloud. Lavoro manuale secondo le metodologie OWASP e PTES, non un report da scanner.

Audit

Codice, architettura, configurazioni. Diciamo dove il rischio è reale e dove potete risparmiare.

Compliance

ISO 27001, SOC 2, GDPR, NIS2 e DORA. Dalla gap analysis alle policy e alla preparazione alla certificazione. vCISO, se non avete un CISO interno.

Cosa ricevete

Un report con evidenze, livello di rischio e piano di correzione, comprensibile sia allo sviluppatore sia al direttore
Una nuova verifica dopo le correzioni, con conferma
Una sintesi di una pagina per la direzione e l'auditor
Un'analisi dei risultati con il vostro team online

Domande frequenti

Da dove iniziare se non abbiamo mai fatto un pentest?

Da un breve colloquio su sistemi e rischi, dopo il quale proponiamo perimetro e formato. Di solito il primo pentest si fa sull'applicazione principale in modalità grey box.

Basta uno scanner di vulnerabilità?

Lo scanner è utile come igiene periodica, ma non vede gli errori di logica e non concatena i rilievi in uno scenario di attacco reale. Il pentest fa esattamente questo.

Ogni quanto ripeterlo?

Una volta l'anno o dopo modifiche importanti al sistema. Per ISO 27001 e SOC 2 la frequenza è fissata nelle policy.

Riservatezza come protocollo, non come promessa

Così trattiamo il vostro materiale dalla prima e-mail alla distruzione degli artefatti.

Cifratura fin dall'inizio
Il materiale sta su un supporto cifrato e vi accede solo chi esegue il lavoro. Il report viene consegnato cifrato, la password passa per un altro canale.
Autorizzazione prima della prima scansione
Nessun test senza il consenso scritto del proprietario del sistema. Perimetro, finestre di test e parola di stop si concordano in anticipo.
Le criticità si comunicano subito
Una scoperta pericolosa viene consegnata il giorno in cui la vediamo, senza aspettare il report finale.
Distruzione programmata
A fine progetto distruggiamo gli artefatti e rilasciamo un attestato. Case study pubblico solo con consenso scritto separato.

Verificate voi stessi

Due verifiche gratuite che mostrano ciò che chiunque può vedere di voi in un minuto. Senza registrazione, i risultati non vengono salvati.

Verificate la protezione del sito

Ciò che il vostro sito consegna a ogni visitatore: redirect su HTTPS, header di sicurezza, script e tracker di terze parti, versioni software esposte.

Facciamo due richieste normali alla home page, come un browser. Non scansioniamo né salviamo nulla.

Verificate la protezione della vostra posta

Senza SPF e DMARC chiunque può inviare e-mail a nome del vostro dominio. La verifica legge solo record DNS pubblici e non salva nulla.

Leggiamo solo i record DNS pubblici del dominio. Non salviamo né scansioniamo nulla.

Scriveteci

Il messaggio arriva direttamente al nostro Telegram. Sul server non resta nulla.