Dla firm

Znaleźć dziury przed tymi, którzy ich szukają, i pokazać audytorowi, że bezpieczeństwo nie jest tylko na papierze.

Omówić zadanie

Pentest

Web, API, aplikacje mobilne, infrastruktura, chmura. Praca ręczna według metodyk OWASP i PTES, a nie raport ze skanera.

Audyt

Kod, architektura, konfiguracje. Mówimy, gdzie ryzyko jest realne, a gdzie można nie wydawać pieniędzy.

Compliance

ISO 27001, SOC 2, RODO, NIS2 i DORA. Od analizy luk po polityki i przygotowanie do certyfikacji. vCISO, jeśli nie macie własnego CISO.

Co dostajecie

Raport z dowodami, poziomem ryzyka i planem napraw, zrozumiały dla programisty i dla dyrektora
Ponowną weryfikację po poprawkach z potwierdzeniem
Streszczenie na jedną stronę dla zarządu i audytora
Omówienie wyników z waszym zespołem online

Częste pytania

Od czego zacząć, jeśli nigdy nie robiliśmy pentestu?

Od krótkiej rozmowy o systemach i ryzykach, po której zaproponujemy zakres i format. Zwykle pierwszy pentest robi się na głównej aplikacji w trybie grey box.

Czy wystarczy skaner podatności?

Skaner jest przydatny jako regularna higiena, ale nie widzi błędów logiki i nie składa znalezisk w realny scenariusz ataku. Pentest robi właśnie to.

Jak często powtarzać?

Raz w roku lub po istotnych zmianach w systemie. Dla ISO 27001 i SOC 2 częstotliwość jest zapisana w politykach.

Poufność jako protokół, nie obietnica

Tak obchodzimy się z Waszymi materiałami od pierwszego maila do zniszczenia artefaktów.

Szyfrowanie od początku
Materiały leżą na zaszyfrowanym nośniku, dostęp ma tylko wykonawca. Raport przekazujemy zaszyfrowany, hasło osobnym kanałem.
Zgoda przed pierwszym skanem
Żadnych testów bez pisemnej zgody właściciela systemu. Zakres, okna testowe i słowo stop ustalamy z góry.
Krytyczne zgłaszamy od razu
Groźne znalezisko przekazujemy w dniu wykrycia, nie czekając na raport końcowy.
Niszczenie według harmonogramu
Po projekcie artefakty niszczymy i wystawiamy potwierdzenie. Publiczne case study tylko za osobną pisemną zgodą.

Sprawdź sam

Dwa bezpłatne testy, które pokazują to, co każdy może zobaczyć o Was w minutę. Bez rejestracji, wyniki nie są zapisywane.

Sprawdź ochronę strony

Co Wasza strona sama oddaje każdemu odwiedzającemu: przekierowanie na HTTPS, nagłówki bezpieczeństwa, skrypty i trackery firm trzecich, ujawnione wersje oprogramowania.

Wykonujemy dwa zwykłe zapytania do strony głównej, jak przeglądarka. Niczego nie skanujemy ani nie zapisujemy.

Sprawdź ochronę swojej poczty

Bez SPF i DMARC każdy może wysłać mail w imieniu Waszej domeny. Sprawdzenie czyta tylko publiczne rekordy DNS i niczego nie zapisuje.

Czytamy tylko publiczne rekordy DNS domeny. Niczego nie zapisujemy ani nie skanujemy.

Napisz do nas

Wiadomość trafia prosto do naszego Telegrama. Na serwerze nic nie zostaje.