Annualmente, per monitorare la sicurezza IT. In occasione di cambiamenti tecnologici e aggiornamenti importanti dell'infrastruttura IT. Per rispettare le scadenze normative e di compliance, colmando eventuali lacune non emerse durante gli audit preventivi. Dopo un incidente o in caso di sospetto attacco informatico.
Operiamo senza bisogno di informazioni aggiuntive: ci basta il contratto, la firma dell’NDA e lo scope, qualora debba essere definito. Dopodiché, agiamo come veri attaccanti, con una fase di ricognizione e campagne di attacco reali, per individuare le vulnerabilità esattamente come farebbe un attore ostile.
Riduzione del rischio reputazionale e protezione del valore azionario. Un attacco informatico può avere un impatto diretto sulla fiducia degli investitori, causando il crollo del valore delle azioni e danneggiando l’immagine dell’azienda. Il VAPT permette di prevenire attacchi mirati, proteggendo la continuità operativa e la reputazione aziendale prima che una vulnerabilità venga sfruttata.
Competenze tecniche avanzate in cybersecurity
Con chi lavoriamo
I nostri clienti costruiscono e gestiscono sistemi critici: ambienti industriali e manifatturieri, piattaforme di identità digitale e autenticazione, cloud e SaaS multi-tenant, sanità e benessere, e l’infrastruttura e-mail su cui poggia il loro business.
Come lavoriamo
Ogni attività va dall’inizio alla fine, dal primo contatto alla correzione verificata.
Cosa abbiamo testato
Non testiamo in laboratorio. Il nostro lavoro copre i sistemi su cui contate ogni giorno:
Microsoft 365 · Exchange · Postfix · Proofpoint · Keycloak · SPF/DKIM/DMARC · DNS e mail routing · REST API · API mobile e backend · applicazioni web · sistemi di identità e autenticazione · architetture multi-tenant · ambienti SaaS · infrastruttura cloud
Non ci fermiamo all'identificazione delle vulnerabilità.
Le nostre attività includono indicazioni pratiche per la correzione delle vulnerabilità, la validazione degli exploit, l'hardening delle configurazioni, l'analisi delle catene di attacco e la verifica post-intervento, con l'obiettivo di ridurre la reale superficie di attacco e migliorare la resilienza operativa.
Da DeepSec Vienna 2025 a un'estensione RDAP registrata presso IANA
Affidabilità dei registrar: da un talk a un'estensione RDAP registrata presso IANA
Alessandro Bertoldi (Bertoldi Cybersecurity)
Talk DeepSec, idee e revisioni: Enrico Bertoldi, Simon Pietro Romano, Emanuele Galdi, Giovanni Minotti
Internet-Draft IETF: Alessandro Bertoldi e Simon Pietro Romano (Università di Napoli Federico II)
A DeepSec Vienna 2025 abbiamo mostrato come i registrar possano essere l'anello debole della sicurezza di un'azienda e abbiamo proposto un Reliability Scoring per i registrar. Quella proposta è diventata un Internet-Draft in discussione nel gruppo di lavoro IETF REGEXT, che definisce come il risultato di una valutazione viaggia dentro una risposta RDAP (trasporto, non giudizio). Il 6 ottobre 2026 IANA ha registrato l'identificatore di estensione reliabilityAssessment con Bertoldi Cybersecurity come contatto. Il draft è un lavoro in corso, non uno standard IETF, ed è in agenda a IETF 127 a San Francisco.
GNA 128
bcsec è una GCVE Numbering Authority. Assegniamo e pubblichiamo identificativi di vulnerabilità per i problemi che la nostra ricerca individua, in formato GCVE-BCP-05 e dalla nostra infrastruttura. Una scoperta resta così documentata e citabile indipendentemente dalla coda di pubblicazione di una singola autorità.