Sicurezza Software su misura e on-premise
Software verticali, applicazioni desktop e sistemi client-server restano in uso per anni, spesso senza aggiornamenti: sono tra i bersagli più trascurati.
Un software scritto anni fa può dipendere da librerie obsolete, memorizzare password in chiaro o comunicare senza cifratura sulla rete locale.
Valutiamo il software come un asset di rischio: codice, dipendenze, dati, comunicazioni e ciclo di aggiornamento.
Rischi tipici del software custom
Dipendenze obsolete
Librerie e runtime fuori supporto con vulnerabilità note e nessuna patch disponibile.
Dati in chiaro
Password, chiavi e dati personali memorizzati o trasmessi senza cifratura.
Credenziali hardcoded
Utenti di servizio e chiavi API incorporati nel codice o nei file di configurazione.
Aggiornamenti non verificati
Meccanismi di update senza firma digitale, sfruttabili per distribuire codice malevolo.
Privilegi eccessivi
Applicazioni eseguite come amministratore o con accesso completo al database.
Supply chain
Pacchetti di terze parti compromessi o typosquatting nei gestori di dipendenze.
Cosa verifichiamo
Analisi statica e dinamica
SAST sul codice e test del comportamento dell'applicazione in esecuzione.
Inventario delle dipendenze (SBOM)
Elenco dei componenti e monitoraggio delle vulnerabilità note.
Gestione dei segreti
Rimozione di credenziali dal codice e adozione di vault o variabili protette.
Protezione di comunicazioni e dati
TLS ovunque, cifratura dei dati sensibili a riposo, gestione sicura delle chiavi.
Aggiornamenti sicuri
Processo di rilascio e distribuzione con firma e verifica dell'integrità.
Checklist software
- Runtime e librerie in supporto, con processo di aggiornamento definito
- Nessun segreto nel repository o nei file di configurazione distribuiti
- Comunicazioni cifrate anche all'interno della rete aziendale
- Esecuzione con privilegi minimi e account di servizio dedicati
- Build riproducibili e artefatti firmati
- Log degli eventi di sicurezza e piano di gestione delle vulnerabilità
Domande frequenti
Avete accesso al codice sorgente?
Per una revisione completa sì, con NDA. Senza sorgente effettuiamo test black box e analisi del comportamento.
Possiamo mantenere il software vecchio?
Dipende dal rischio: spesso si può isolare, segmentare e proteggere in attesa di una migrazione pianificata.
Mettiamo in sicurezza il tuo software custom e desktop
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.