Sicurezza nel codice.
Non un servizio cyber separato.
Quando sviluppiamo o manteniamo un sito o una web app, la sicurezza fa parte dei requisiti tecnici del prodotto: codice, accessi, dipendenze, configurazione e deploy. Perseo non propone cybersecurity enterprise, offensive security o servizi SOC.
Parliamo del progettoSicurezza integrata nello sviluppo web
Interveniamo sugli aspetti di sicurezza che fanno parte direttamente del codice, della configurazione e della manutenzione del prodotto web.
Secure coding
Validazione degli input, gestione degli errori, controlli lato server e pattern di sviluppo orientati a ridurre vulnerabilità introdotte dal codice.
HTTPS, TLS e security headers
Configurazione HTTPS, redirect corretti e header come CSP, HSTS, Referrer-Policy e Permissions-Policy quando sono adatti al progetto.
Autenticazione e permessi
Implementazione corretta di login, sessioni, ruoli e autorizzazioni applicative, con attenzione al principio del minimo privilegio.
Dipendenze, CMS e aggiornamenti
Aggiornamento di framework, plugin e librerie, rimozione di componenti inutilizzati e gestione tecnica delle dipendenze del progetto.
Configurazione e segreti
Separazione degli ambienti, gestione di variabili e credenziali, permessi file e configurazioni server coerenti con l’applicazione.
Backup e ripristino tecnico
Backup applicativi e procedure di ripristino legate al sito o alla web app, come parte della manutenzione tecnica del prodotto.
Come lavoriamo
La sicurezza viene trattata come qualità del software, non come un pacchetto di cybersecurity venduto separatamente.
Minimo privilegio
Utenti, servizi e processi ricevono solo i permessi realmente necessari.
Validazione lato server
Gli input vengono controllati nel punto in cui possono produrre effetti sull’applicazione o sui dati.
Dipendenze sotto controllo
Aggiornamenti e componenti di terze parti vengono gestiti insieme al normale ciclo di manutenzione.
Ambienti separati
Sviluppo, staging e produzione vengono mantenuti distinti, con configurazioni e credenziali appropriate.
Code review e test
Le modifiche vengono verificate come parte del lavoro di sviluppo, con test funzionali e controlli tecnici riproducibili.
Modifiche documentate
Configurazioni, dipendenze e interventi rilevanti vengono documentati per rendere il progetto più mantenibile.
Un perimetro chiaro
Questa offerta riguarda esclusivamente la sicurezza applicata allo sviluppo e alla manutenzione di siti e applicazioni web.
Rientra nel servizio
- Correzione nel codice di problemi rilevati durante sviluppo, manutenzione o normali controlli tecnici.
- Hardening applicativo e configurativo direttamente collegato al sito, al CMS o alla web app.
- Gestione tecnica di autenticazione, permessi, sessioni, dipendenze, HTTPS e security headers.
- Ripristino tecnico di un sito o CMS compromesso quando l’attività consiste nel rimettere in funzione e aggiornare il prodotto web, senza attività forense.
Non eroghiamo come servizio
- Vulnerability assessment, penetration testing, red teaming o offensive security.
- SOC, monitoraggio di sicurezza 24/7, MDR o servizi gestiti di rilevamento delle minacce.
- Incident response, digital forensics, threat intelligence o investigazioni su attacchi.
- Consulenza cyber enterprise, sicurezza di rete o cloud security come servizio autonomo.
- Assessment o consulenza di conformità NIS2, DORA, ISO 27001 o altri framework di cybersecurity.
- Formazione di security awareness, phishing simulation o programmi di sicurezza organizzativa.
Perseo Research
Ricerca passiva sulla sicurezza del web
Il progetto IWSS misura in modo passivo configurazioni pubblicamente osservabili come TLS, security header, CSP, cookie, autenticazione email e security.txt. È attività di ricerca distinta dai servizi commerciali di offensive security o vulnerability assessment.
Hai un progetto web da sviluppare o mantenere?
Possiamo integrare buone pratiche di sicurezza direttamente nel codice, nella configurazione e nel ciclo di manutenzione del tuo sito o della tua applicazione.
Parliamo del progetto