Continuous security testing has accelerated releases and has reduced false positives in our workflows
What is our primary use case?
We use AUSUM Automated Web Pentesting to continuously audit the security of our web applications and APIs. We launch on-demand pentests from our CI/CD pipeline before each deployment. It allows us to detect OWASP Top 10 vulnerabilities and business logic flaws without waiting for quarterly manual audits.
How has it helped my organization?
We have moved from relying exclusively on manual pentests, which took 4 or 5 days, to getting results in less than 24 hours. This accelerates our release cycles without sacrificing security. By integrating it into CI/CD, we detect and fix vulnerabilities before they reach production, which is critical when working with promotional campaigns of large chains. Continuous coverage has given us peace of mind with our retail sector clients, who are very demanding in data protection.
What is most valuable?
The most valuable feature for us has been the assertion-based validation with CVSS scoring because it almost completely eliminates false positives and allows us to focus on what is truly exploitable. We also greatly value the detection of chained scenarios, such as IDOR combined with authentication bypass, which a typical automated tool does not cover. Additionally, the ready-to-audit executive and technical PDF reports, with mappings to OWASP, MITRE ATT&CK, and NIST, which we share directly with our customers, are very valuable.
What needs improvement?
We would like to see more native integrations with ticketing tools like Jira. This would allow us to automatically open incidents based on findings and have the ability to schedule recurring pentest campaigns with environment-specific calendars. We would also appreciate a comparative dashboard for the evolution of the security posture over time and configurable alerts by severity.
For how long have I used the solution?
We have been using AUSUM Automated Web Pentesting for 1 year.
Which solution did I use previously and why did I switch?
Previously, we relied on occasional external manual audits and some generic DAST scanners. We changed because the manual model couldn’t keep up with our deployment pace, and the generic scanner generated too many false positives and did not cover business logic. We needed continuity and precision, and AUSUM provided both.
What's my experience with pricing, setup cost, and licensing?
The subscription model with consumption per pentest is very reasonable compared to the cost of recurring manual audits. Our advice is to properly dimension the frequency of tests according to your deployment cycles, as the savings compared to traditional manual pentesting are noticeable from the first quarter. The value for money is excellent for a company that publishes changes frequently.
Which other solutions did I evaluate?
We evaluated other options in the market and the option to extend the manual pentesting contract with a consultancy. The combination of automation, validated precision, and the layer of expertise from the CISO and other AUSUM personnel was what tipped the balance.
What other advice do I have?
The support from the AUSUM team, with service in Spanish, has been agile and close, which is an important plus for us. Foreign Language: Probando la seguridad continua ha acelerado los lanzamientos y ha reducido los falsos positivos en nuestros flujos de trabajo caso de uso: Usamos AUSUM Automated Web Pentesting para auditar de forma continua la seguridad de nuestras aplicaciones web y APIs, lanzando pentests bajo demanda y desde nuestro pipeline de CI/CD antes de cada despliegue. Nos permite detectar vulnerabilidades OWASP Top 10 y fallos de lógica de negocio sin esperar a las auditorías manuales trimestrales. mejoras a la organización: Hemos pasado de depender de pentests manuales exclusivamente, que tardaban 4 o 5 días a tener resultados en menos de 24 horas, lo que ha acelerado nuestros ciclos de release sin sacrificar seguridad. Al integrarlo en CI/CD, detectamos y corregimos vulnerabilidades antes de que lleguen a producción, algo crítico cuando trabajas con las campañas promocionales de grandes cadenas. La cobertura continua nos ha dado tranquilidad frente a nuestros clientes del sector retail, que son muy exigentes en protección de datos. características valiosas: Lo más valioso para nosotros ha sido la validación basada en aserciones con puntuación CVSS, porque elimina casi por completo los falsos positivos y nos deja centrarnos en lo que de verdad es explotable. También valoramos mucho la detección de escenarios encadenados (por ejemplo, IDOR combinado con bypass de autenticación), que una herramienta automática típica no cubre, y los informes PDF ejecutivos y técnicos listos para auditoría, con mapeos a OWASP, MITRE ATT&CK y NIST, que compartimos directamente con nuestros clientes. áreas de mejora: Nos gustaría ver más integraciones nativas con herramientas de ticketing (Jira, por ejemplo) para abrir incidencias automáticamente a partir de los hallazgos, y la posibilidad de programar campañas de pentest recurrentes con calendarios por entorno. También agradeceríamos un panel comparativo de evolución de la postura de seguridad a lo largo del tiempo y alertas configurables por severidad. soluciones previas: Antes dependíamos de auditorías manuales externas puntuales y de algún escáner DAST genérico. Cambiamos porque el modelo manual no seguía el ritmo de nuestros despliegues y el escáner genérico generaba demasiados falsos positivos y no cubría la lógica de negocio. Necesitábamos continuidad y precisión, y AUSUM nos dio ambas. costo de implementación: El modelo de suscripción con consumo por pentest es muy razonable si lo comparas con el coste de auditorías manuales recurrentes. Nuestro consejo es dimensionar bien la frecuencia de los tests según tus ciclos de despliegue, porque el ahorro frente al pentesting manual tradicional se nota desde el primer trimestre. La relación calidad-precio es excelente para una empresa que publica cambios con frecuencia. soluciones alternativas: Sí, evaluamos otras opciones en el mercado y la opción de ampliar el contrato de pentesting manual con una consultora. La combinación de automatización, precisión validada y la capa de expertise del CISO y otras personas de AUSUM fue lo que inclinó la balanza. otros consejos: El soporte del equipo de AUSUM, con atención en español, ha sido ágil y cercano, un plus importante para nosotros.
