Penetration Testing e Audit di Sicurezza per SaaS — Esterno, Web App, Mobile, API e Cloud

Dipende dalla vostra superficie di attacco. Il pentest di rete esterno (metodologia PTES, NIST SP 800-115) copre l'infrastruttura esposta a Internet — DNS, mail, servizi perimetrali, interfacce amministrative esposte. Il pentest web app copre la logica applicativa ed è calibrato su OWASP ASVS (Application Security Verification Standard) L1 per minacce opportunistiche, L2 per la maggior parte dei SaaS che gestiscono dati sensibili, L3 per high-assurance (healthcare, fintech, difesa). Il pentest mobile segue OWASP MASVS (Mobile ASVS) e copre controlli di piattaforma (iOS/Android), rete, crittografia, autenticazione e qualità del codice. Il pentest API segue OWASP API Security Top 10 2023 (BOLA, broken auth, BOPLA, consumo illimitato di risorse, ecc.) e testa authn/authz a livello di richiesta. L'audit di configurazione cloud verifica AWS/GCP/Azure rispetto ai CIS Benchmark e al pilastro di sicurezza del provider Well-Architected Framework. La maggior parte dei SaaS necessita annualmente di web app + API + cloud config; mobile se si distribuisce un'app mobile.

I nostri tester principali detengono una combinazione di OSCP (Offensive Security Certified Professional — esame pratico di 24 ore), OSCE/OSEP (exploitation avanzato), CREST CRT/CCT (riconosciuto dall'industria UK, accettato da HMG e CBEST della Bank of England) e, dove pertinente, CISSP per il ruolo di senior advisor. Perché è importante: un titolare OSCP ha dimostrato di aver compromesso ambienti multi-host sotto pressione temporale; uno scanner automatizzato non lo ha fatto. I procurement enterprise, CBEST della Bank of England, EU TIBER-EU e la maggior parte dei sottoscrittori di cyber-assicurazione richiedono ora tester nominativi con credenziali sull'ingaggio, non solo la dichiarazione marketing di 'professionisti certificati' da parte di una società.

Ogni risultato viene valutato con CVSS v4.0 (il vettore attuale pubblicato da FIRST che include metriche di Minaccia e Ambientali, più le estensioni Safety/Automated/Recovery). Assegniamo inoltre una valutazione contestuale del rischio aziendale perché CVSS da solo non coglie il contesto di isolamento tenant e classificazione dei dati. Il report contiene: un executive summary leggibile dal CdA, una sezione metodologica che cita le fasi PTES e i capitoli ASVS/MASVS/API Top 10 testati, una sezione dei risultati con passi di riproduzione, vettore CVSS, impatto aziendale e remediation prioritizzata, una narrativa dell'attacco che ricostruisce il percorso che un attaccante seguirebbe e un'appendice delle evidenze di test. Consegniamo anche un tracker di remediation come CSV importabile in JIRA.

Sì — ogni ingaggio include un retest gratuito entro 90 giorni dalla consegna del report. Ri-eseguiamo il proof-of-concept per ogni risultato High e Critical, verifichiamo la correzione e ri-emettiamo una lettera di retest pulita che potete consegnare al procurement enterprise o a un auditor. I retest fuori scope (oltre 90 giorni o scope ampliato) sono preventivati al 30% dell'ingaggio originale. Per un'assurance continua, il bundle annuale da 4 test include cadenza trimestrale e retest continuo all'interno di ogni trimestre.

SOC 2 prevede un pentest periodico come evidenza per il monitoraggio CC4.1 e l'identificazione delle vulnerabilità CC7.1; i nostri report sono accettati da ogni grande società di revisione. PCI DSS v4.0.1 Req 11.4.3 richiede un penetration test esterno/interno annuale e dopo ogni modifica significativa; Req 11.4.5 richiede test di segmentazione (annuale per i merchant, ogni 6 mesi per i service provider). HIPAA non nomina esplicitamente il 'penetration test' ma il §164.308(a)(8) richiede una valutazione tecnica periodica — i pentest sono l'evidenza de facto. EU AI Act Articolo 15 richiede test di accuratezza, robustezza e cybersecurity; DORA (Regolamento (UE) 2022/2554) impone il Threat-Led Penetration Testing (TLPT) alle entità finanziarie significative dal gennaio 2025. Mappiamo ogni risultato al controllo pertinente affinché il report svolga una doppia funzione negli audit.

Prezzi per ingaggio. Il Pentest di Rete Esterno è 5.500 EUR (5 giorni lavorativi di test + report) — scope perimetro Internet, fino a ~50 host. Il Pentest Applicazione Web è 8.500 EUR (8 giorni) — singola applicazione o multi-app con scope stretto, ASVS L2 di default. Il Pentest Applicazione Mobile è 7.500 EUR (7 giorni) — iOS o Android, MASVS L1+R; entrambe le piattaforme insieme a 13.500 EUR. Il Pentest API è 6.500 EUR (6 giorni) — singola superficie API, OWASP API Top 10 2023. L'Audit di Configurazione Cloud è 7.000 EUR (6 giorni) — singolo account AWS/GCP/Azure, CIS Benchmark + pilastro di sicurezza provider Well-Architected. Il Bundle Annuale 4-Test è 22.000 EUR — qualsiasi combinazione di quattro test nell'anno con scheduling prioritario, retest continuo e un executive summary di fine anno su tutti gli ingaggi. Retest gratuito entro 90 giorni incluso in ogni ingaggio.