Assessment applicativo Correzioni e nuova verifica Anche su software di altri fornitori

Metti in sicurezza il software che usi già.

Un cliente ti chiede prove che il tuo software è sicuro? Un questionario di due diligence ti blocca una trattativa? Analizziamo l'applicazione, correggiamo i problemi e lo dimostriamo con una nuova verifica. Tutto documentato, rischi residui compresi.

Richiedi un assessment Guarda un esempio

Sistema di gestione ISO 27001 in certificazione

Quando serve

Di solito ci chiamano in uno di questi momenti.

Un cliente importante chiede evidenze sulla sicurezza del software prima di firmare.
Un questionario di sicurezza o una due diligence pone domande a cui il team non sa rispondere.
Il software è stato scritto da un fornitore che non c'è più, o non risponde.
Un prototipo è finito in produzione senza che nessuno lo abbia controllato.
Devi capire cosa chiedono Cyber Resilience Act, NIS2 o i tuoi clienti al tuo prodotto.
Le dipendenze non vengono aggiornate da mesi, o da anni.

Il percorso

Trovare, correggere, dimostrare.

Perimetro e assessment

Concordiamo per iscritto cosa analizziamo, con quali accessi e in quali ambienti. Poi verifichiamo accessi e autorizzazioni, gestione dei dati, dipendenze, configurazioni e interfacce.

Perimetro scritto

Correzioni

Problemi riproducibili, ordinati per priorità. Le correzioni le implementiamo noi, il tuo team o il fornitore attuale: lo decidi tu. Per ogni correzione, un test che impedisce al problema di tornare.

Test di regressione

Nuova verifica e gestione

Ripetiamo i controlli e documentiamo cosa è risolto e cosa resta. Poi, se vuoi, seguiamo il software nel tempo: aggiornamenti delle dipendenze e gestione delle vulnerabilità.

Rischi residui documentati

Esempio dimostrativo

Come appare un rilievo, dall'inizio alla fine.

Esempio costruito a scopo illustrativo, non riferito a un cliente. Mostra il livello di dettaglio che trovi nel documento finale.

Fase	Cosa contiene
Rilievo	Un utente con ruolo "operatore" può scaricare le fatture di altri clienti cambiando il numero nell'indirizzo della pagina.
Impatto e priorità	Esposizione di dati di terzi. Priorità alta.
Correzione	Controllo di autorizzazione lato server su ogni richiesta di documento, legato all'utente e al cliente.
Test di regressione	Test automatico che prova l'accesso incrociato e deve fallire.
Nuova verifica	Richiesta ripetuta con utente diverso: accesso negato. Rilievo chiuso.
Rischio residuo	Documenti già scaricati in passato: valutazione affidata al cliente, con l'estratto dei log disponibili.

Requisiti

Le sigle, spiegate per quello che servono.

Tema	Cosa facciamo	Cosa non facciamo
Sicurezza applicativa	Controlli su accessi, dati, dipendenze, configurazioni, interfacce; correzioni e nuova verifica.	Non dichiariamo "sicuro al 100%" un software: documentiamo cosa abbiamo verificato.
Cyber Resilience Act	Analisi dei requisiti tecnici per prodotti con elementi digitali che rientrano nel regolamento.	Non sostituiamo la valutazione regolatoria della tua organizzazione.
NIS2	Contributo tecnico a sviluppo, manutenzione e catena di fornitura sicuri.	Non "certifichiamo NIS2" un software: non esiste una certificazione del genere.
AI Act	Valutazione dei requisiti in funzione del sistema e del suo uso.	Usare l'AI per scrivere codice non determina da solo come si classifica il software.

Perché fidarti

Siamo abituati a lavorare dove gli standard sono severi.

Con il Centro Ortopedico di Quadrante, l'ospedale italiano del gruppo Ramsay Santé, sviluppiamo un software dispositivo medico: requisiti, rischi e verifiche vanno documentati uno per uno. Per questo stiamo implementando un sistema qualità secondo ISO 13485 e IEC 62304 e un sistema di gestione della sicurezza delle informazioni secondo ISO 27001, entrambi in certificazione.

Portiamo la stessa disciplina sul tuo software: perimetro scritto, prove riproducibili, nessuna promessa che non possiamo dimostrare.

Devi dimostrare che il tuo software è sicuro?

Raccontaci di che applicazione si tratta e chi te lo chiede. Il primo colloquio è gratuito. Accessi e codice si condividono dopo, con un accordo di riservatezza e un'autorizzazione scritta.

Richiedi un assessment

Domande frequenti

Prima di iniziare, di solito ci chiedono:

È un penetration test?

No, e preferiamo dirlo subito. Il nostro assessment combina revisione del codice e delle configurazioni, analisi delle dipendenze e prove mirate sull'applicazione, sul perimetro concordato. Un penetration test è un'attività con metodo e autorizzazioni specifiche: se ti serve, lo indichiamo e ti aiutiamo a prepararlo.

Rilasciate una certificazione di sicurezza?

No. Ti consegniamo verifiche, correzioni e documentazione che puoi mostrare a clienti e auditor. Il nostro collaudo non è una certificazione esterna; se serve una verifica indipendente, ti aiutiamo a prepararla.

Potete lavorare su un software scritto da un altro fornitore?

Sì, se il contratto con il fornitore lo consente e abbiamo accesso ai sorgenti. Senza sorgenti l'analisi è più limitata e lo scriviamo nel perimetro. Non promettiamo correzioni su software che non si può modificare.

Il software ricade nel Cyber Resilience Act o in NIS2?

Dipende dal prodotto, da come lo distribuisci e dal ruolo della tua organizzazione. Ti aiutiamo a capire quali requisiti tecnici si applicano e cosa serve per soddisfarli; la valutazione regolatoria finale resta della tua organizzazione e dei suoi consulenti.

Cosa succede dopo l'assessment?

Puoi affidarci le correzioni, farle con il tuo team o con il fornitore attuale. In ogni caso, una nuova verifica conferma cosa è stato risolto. Poi possiamo seguire il software nel tempo: aggiornamenti delle dipendenze e gestione delle vulnerabilità.

Il software è ancora un prototipo?

Vedi dal prototipo alla produzione: la sicurezza è parte del percorso.