Secure code review

Una copia del codice, come archivio o con accesso in sola lettura al repository, e un referente tecnico che lo conosca, più la documentazione sull'architettura se ce l'hai. Se il codice non può uscire dalla tua azienda, possiamo lavorare su un desktop virtuale o su una macchina che ci fornisci tu.

Sì, ma non riga per riga. Le scansioni automatiche coprono l'intera codebase e i loro risultati li rivediamo a mano, mentre l'analisi manuale approfondita si concentra sulle parti più critiche, che concordiamo con te in base a cosa fanno e a quanto sono esposte. Così l'approfondimento va dove c'è più rischio e sai fin dall'inizio cosa copre l'analisi.

Solo se ce lo consenti. Come nei nostri penetration test, la componente AI è un'opzione: non è un chatbot, ma una piattaforma che abbiamo sviluppato internamente apposta per i test di sicurezza, e decidi tu quale codice può usare e se può uscire dalla nostra infrastruttura. Ogni problema che segnala lo verifichiamo a mano.

Dipende da cosa vuoi scoprire. Una code review fa emergere problemi che un test dall'esterno, con tempi limitati, può non trovare, mentre un penetration test mostra cosa può fare un attaccante contro l'applicazione in esecuzione. Insieme funzionano bene: quando li facciamo entrambi, verifichiamo sull'applicazione in esecuzione quello che troviamo nel codice.