05Πρακτική · security
Ασφάλεια & συμμόρφωση.
Security audits και PCI DSS consultancy για ASVs.
Ιδανικό για
ASVs και merchants που χρειάζονται έναν συνεργάτη που και βρίσκει το θέμα και βγάζει τη διόρθωση.
Βοηθάμε Approved Scanning Vendors και merchants να κλείσουν το κενό ανάμεσα σε ένα scan που περνάει και σε μια στάση που μπορεί να υπερασπιστεί. PCI DSS scoping, συλλογή αποδείξεων, scan-result triage και remediation engineering — γραμμένα από αυτούς που θα φτιάξουν τον κώδικα, όχι μόνο που θα γράψουν την αναφορά.
Το PCI DSS είναι ένα paper trail και μια στάση. Οι περισσότερες ομάδες έχουν το ένα χωρίς το άλλο. Βοηθάμε να κλείσει το κενό και στα δύο: scoping του cardholder data environment ειλικρινά, πακετάρισμα των αποδείξεων ώστε η ζωή του QSA να είναι εύκολη, και triage σε ASV scan results ώστε να ξοδεύεις ώρες σε πραγματικά findings αντί για εβδομάδες σε θόρυβο. Έχουμε δουλέψει και στην πλευρά του merchant και στην πλευρά του ASV, και καταλαβαίνουμε πού διαφέρουν.
Εκεί που γίνεται ενδιαφέρουσα η δουλειά είναι το remediation. Το να βρεις το θέμα είναι το πρώτο δέκα τοις εκατό — οι περισσότερες αναφορές σταματάνε εκεί. Εμείς μένουμε μέχρι τη διόρθωση: code review, threat modelling, το patch το ίδιο και το re-scan που σου επιτρέπει να υπερασπιστείς το αποτέλεσμα. Reverse-engineering protection όπου το threat model το δικαιολογεί, όχι by default.
Τι φτιάχνουμε
- 01PCI DSS scoping και gap assessments για περιβάλλοντα SAQ-A έως SAQ-D.
- 02ASV scan triage: false-positive review, πακετάρισμα αποδείξεων, προετοιμασία dispute.
- 03Application security audits — code review, threat modelling, fix patches. Προστασία από reverse engineering.
- 04Remediation work για findings που κανείς άλλος στην ομάδα δεν θέλει να αναλάβει.
Σημάδια ότι πρέπει να μας πάρεις
- §Ένα ASV scan με είκοσι ανοιχτά findings που κανείς στην ομάδα σου δεν αναλαμβάνει.
- §Ένα SAQ-D περιβάλλον που μεγάλωσε πιο γρήγορα από το διάγραμμά του.
- §Ένα νέο payments flow που δεν έχει περάσει ακόμα από threat modelling.
- §Μια ανακοίνωση παραβίασης ή audit failure που θέλεις ένα ψύχραιμο χέρι αυτή την εβδομάδα.
Πότε δεν είμαστε εμείς
Bug bounty επιχειρήσεις ή single-point pen tests χωρίς follow-through. Δουλεύουμε σε engagements, όχι σε πέρα-δώθε.
Stack
Μία συζήτηση, χωρίς proposal deck.
Εξήντα λεπτά στο τηλέφωνο. Εμείς φέρνουμε ερωτήσεις. Εσύ φέρνεις το πρόβλημα. Στο τέλος, και οι δύο ξέρουμε αν ταιριάζουμε — συνήθως μέσα στα πρώτα δέκα.
Studio · είσοδος
01
Q2 · 2 από 3 θέσεις ανοιχτές