Security audits, fix de finding, rapporteer hem niet alleen, threat models die matchen hoe het product echt werkt.
De meeste security-audits zijn PDFs die ongelezen liggen tot de volgende renewal-cyclus. Wij doen audits met engineering-tanden: we identificeren de finding, documenteren het threat-model erachter, en opleveren de fix in dezelfde engagement. De output is een geharden product, geen stapel findings die het team moet vertalen.
Wat we bouwen
Threat modelling tegen de echte architectuur
STRIDE-based threat modelling per service, gemapt naar daadwerkelijke attack-paths in deze codebase. Geen generieke OWASP-recap; de threats specifiek voor hoe jouw tenancy, auth en data-flow gevormd zijn.
OWASP Top 10 met codebase-voorbeelden
Per-categorie review tegen de daadwerkelijke handlers, injection in echte queries, broken access control in echte authz-checks, SSRF in echte outbound calls. De findings benoemen het bestand en de regel, geen de abstracte categorie.
Dependency-hardening als routine
Snyk + Dependabot bedraad in CI met auto-PRs voor veilige patches. Handmatige review voor major-version bumps. De dependency-graph blijft current; de volgende CVE vangt het team niet plat.
Authn + authz als aparte audit-oppervlakken
Authentication (wie je bent) en authorization (wat je mag doen) geaudit als twee aparte dingen. De meeste security-incidents zijn authz-bugs vermomd als authn-bugs; we vangen ze door ze anders te behandelen.
Secrets-scanning + rotation-discipline
Pre-commit hooks voor secret-detectie, GitHub secret-scanning aan, vault-stored production-secrets, rotation-playbook die het team daadwerkelijk geoefend heeft. Het lek dat niet gebeurde is de grootste audit-winst.
Findings opgeleverd als fixes, geen tickets
Kritieke en hoge findings worden in de engagement gefixt, geen handoff. Het audit-rapport bevat de PR-links voor wat we al hebben opgeleverd, met het threat-model achter elk.
Waar dit past
Je gaat door SOC 2 Type II-prep en de gap-analysis surfacede security-findings waar het team geen bandbreedte voor heeft.
Je hebt al 18+ maanden geen third-party security-review gehad en je begint enterprise te verkopen.
Je laatste review was een PDF met 47 findings en niemand weet welke 5 er daadwerkelijk toe deden.
Tech stack
- OWASP Top 10
- Snyk
- Semgrep
- Burp Suite
- Threat Modelling
Wil je dit voor je team?
30 minuten om vast te stellen wat je nodig hebt. Geen pitchdeck, geen verplichtingen. We zeggen je eerlijk of Stacklane past.