Competenze di Application Security, quando ti servono.

Dalla situazione attuale. Analizziamo come i tuoi team progettano, scrivono, rivedono, testano e rilasciano il software, e confrontiamo questo processo con un modello di maturità riconosciuto come OWASP SAMM. Il risultato è una roadmap con le priorità: quali attività introdurre per prime (threat modeling, secure code review, security testing nella pipeline, vulnerability management), chi ne è responsabile e come misurare i progressi. Poi la mettiamo in pratica insieme, perché non resti sulla carta.

No. Non rivendiamo licenze, quindi la nostra è una selezione indipendente, basata solo sui tuoi linguaggi, sui framework, sulla pipeline CI/CD e sul team. Mettiamo alla prova gli strumenti candidati sulle tue applicazioni e sul tuo codice, ne confrontiamo i falsi positivi, la velocità e il modo in cui segnalano i problemi agli sviluppatori, poi ti affianchiamo nell'integrazione di quelli scelti.

Se pubblichi software, gestisci un servizio online o vendi un prodotto connesso, sì. Una disclosure policy indica ai ricercatori di sicurezza come segnalarti una vulnerabilità in modo sicuro, invece di renderla pubblica o lasciar perdere. È una buona pratica consolidata (ISO/IEC 29147, insieme a un file security.txt come definito nella RFC 9116). Per i fabbricanti di prodotti con elementi digitali immessi sul mercato UE, il Cyber Resilience Act rende obbligatoria una policy di coordinated vulnerability disclosure dall'11 dicembre 2027, e la NIS2 (articolo 21) include la gestione e la divulgazione delle vulnerabilità tra le misure di sicurezza richieste ai soggetti che rientrano nel suo ambito. Scriviamo con te la policy, organizziamo ricezione e triage delle segnalazioni e valutiamo se abbia senso un bug bounty.

Rispondono a domande diverse. Un penetration test è una verifica approfondita di un perimetro stabilito, in tempi definiti, svolta da un team che scegli tu e documentata in un report da mostrare a un auditor. Un bug bounty premia ricercatori indipendenti per le segnalazioni valide e inedite, e tiene i tuoi sistemi sotto osservazione nel tempo, ma la copertura dipende da chi partecipa. Conviene partire con penetration test regolari e una disclosure policy, e aggiungere un bug bounty quando sei in grado di gestire e correggere le segnalazioni in tempi rapidi.

Sì, e le scriviamo su misura. Partiamo da riferimenti OWASP come l'Application Security Verification Standard e la Cheat Sheet Series, che da soli restano generici, e li caliamo sulla tua realtà: lo stack (Java, .NET, PHP, Android, iOS e altri), i framework e le librerie interne che usi, i dati che tratti e i rischi propri del tuo business. Ogni regola è accompagnata da esempi, possibilmente presi dal tuo codice, ed è scritta in modo da poter essere verificata in code review o con un controllo SAST. Le linee guida funzionano meglio se affiancate da formazione pratica per gli sviluppatori che dovranno seguirle.

Per lo sviluppo sicuro il team ha CSSLP di ISC2 (la sicurezza nell'intero ciclo di vita del software) e CASE Java e CASE .NET di EC-Council (secure coding in Java e .NET). L'elenco completo, che comprende anche penetration test e cloud, è nella pagina Chi siamo.

Se il tuo sistema rientra tra quelli ad alto rischio secondo l'AI Act, sì: l'articolo 15 richiede che sia resiliente ai tentativi di sfruttarne le vulnerabilità, con misure, ove opportuno, contro l'avvelenamento dei dati, l'avvelenamento dei modelli, gli esempi antagonistici e gli attacchi alla riservatezza. Dopo la modifica del 2026 (Regolamento (UE) 2026/1744), questi requisiti si applicano dal 2 dicembre 2027 per i sistemi ad alto rischio elencati nell'allegato III e dal 2 agosto 2028 per quelli legati a prodotti disciplinati dalla normativa di armonizzazione dell'Unione elencata nell'allegato I. Anche fuori da quella categoria, le applicazioni basate su LLM sono esposte a rischi come prompt injection, divulgazione di informazioni sensibili ed eccesso di autonomia (excessive agency), elencati nella OWASP Top 10 for LLM Applications. Prima del go-live possiamo fare con te il threat modeling del sistema, definire i guardrail e pianificare i test di sicurezza.