Penetration Testing + Vulnerability Assessment (Web / API / Mobile / Cloud)
Penetration Testing + Vulnerability Assessment (Web / API / Mobile / Cloud) · § Advisory
Quick Answer
Scoping + ROE · recon → exploit → post-exploit · manual + automated (Burp Pro, Nessus, MobSF) · OWASP-style report + CVSS 3.1 · retest after fixes.
Timeline: Scoping 1 wk · pentest 2–4 wk · report 1 wk · retest 1 wk.
Official fee: No state fee · tool licences (Burp Pro $449/yr, Nessus $3,990/yr) bundled · CREST/OSCP-certified testers add 25–40%.
Legal Basis
PDPA §37 · Cybersecurity Act 2019 §56 (CII annual risk assessment) · BoT IT Risk Management Notification 2021 · SEC IT Governance · OWASP Top 10 2021 · OWASP API Top 10 · OWASP MASVS · NIST SP 800-115 · PCI-DSS 4.0 Req 11.4.
Who Needs This
Any company with web/mobile · fintechs (BoT-mandated) · e-commerce > THB 10M · SaaS pursuing SOC 2/ISO 27001 · government agencies.
Required Documents
- Signed ROE + get-out-of-jail letter
- Asset inventory + IP whitelist
- Test credentials (unauth + user + admin)
- Executive summary (non-technical, 5 pages)
- Technical report (CVSS + PoC + remediation, 40–120 pages)
- Retest attestation letter.
Common Pitfalls
- Pentest without ROE = violates CCA §5–7 · tester risks jail.
- Scanner alone ≠ pentest · auditors reject · manual exploitation + business logic testing required.
- Peak-time production testing = downtime · maintenance window + rollback needed.
- No retest after fixes = auditor rejects · SOC 2/PCI need clean reports.
Typical Use-cases
- Digital bank · web + mobile + API + AWS · CREST-cert · BoT annual
- Fashion e-commerce · web + payment · PCI-DSS ASV scan + pentest
- Hospital · HIS + patient portal · HIPAA + PDPA · authenticated pentest
- SaaS · pre-SOC 2 · pentest report as CC7.1 evidence.
FAQ
- How often to pentest?
- PCI-DSS: yearly + after major change · SOC 2: yearly · BoT CII: yearly · best: quarterly automated + annual manual.
- Black box vs white box?
- Black = zero knowledge · white = source + creds · grey = middle · SaaS/API: grey recommended.
- Can bug bounty replace pentest?
- No · bug bounty = continuous · pentest = scoped + formal report · auditors require pentest.
- Tester liability?
- ROE + E&O insurance USD 1–5M · in-scope + safe = no liability · out-of-scope = liability.
Other Legal Services
Civil & Commercial Litigation
ทนายคดีแพ่งและพาณิชย์
Criminal Defense
ทนายคดีอาญา
Family & Inheritance Cases
คดีครอบครัวและมรดก
Corporate Retainer / Outside Counsel
ที่ปรึกษากฎหมายประจำบริษัท (Retainer)
Last Will & Testament
จัดทำพินัยกรรม
Power of Attorney + Legalization Chain
มอบอำนาจข้ามประเทศ + รับรองเอกสาร
Divorce Registration & Consultation
จดทะเบียนหย่าและปรึกษา
Cross-Border Adoption
รับบุตรบุญธรรมข้ามชาติ
Debt Collection & Judgment Enforcement
ทนายเร่งรัดหนี้สินและบังคับคดี
Defamation, Libel & Online Slander
ทนายคดีหมิ่นประมาท (สื่อและออนไลน์)
Employment & Labor Court Litigation
ทนายคดีแรงงาน (ศาลแรงงานกลาง)
Consumer Protection Claims
ทนายคดีผู้บริโภค (ศาลผู้บริโภค)
Land Title & Real-Estate Dispute
ทนายคดีที่ดินและอสังหาริมทรัพย์
Dishonored Cheque Recovery
ทนายคดีเช็คเด้ง (พ.ร.บ.เช็ค 2534)
Cybercrime & Online Fraud Prosecution
ทนายคดี พ.ร.บ.คอมพิวเตอร์และฉ้อโกงออนไลน์
IP Infringement Enforcement (IP&IT Court)
ทนายคดีทรัพย์สินทางปัญญา (ศาลทรัพย์สินฯ)
Legal Due Diligence for M&A
ตรวจสอบกิจการก่อนซื้อ (Legal Due Diligence)
Share Purchase Agreement (SPA) & Shareholders Agreement
ร่างสัญญาซื้อขายหุ้น (SPA) และ Shareholders Agreement
Asset & Business Transfer Agreement (APA)
สัญญาซื้อขายทรัพย์สินและธุรกิจ (APA / Business Transfer)
Joint Venture Agreement
สัญญาร่วมทุน (Joint Venture Agreement)
Cross-Border Merger & Corporate Restructuring
ควบรวมกิจการข้ามชาติและปรับโครงสร้างองค์กร
ESOP — Employee Stock Option Plan
โครงการหุ้นพนักงาน (ESOP / Employee Stock Option Plan)
PDPA Compliance Audit & Gap Assessment
ตรวจสอบความพร้อม PDPA (Compliance Audit)
PDPA Privacy Notice & Consent Drafting
ร่าง Privacy Notice และ Consent ตาม PDPA
Outsourced Data Protection Officer (DPO)
บริการ DPO Outsource (Data Protection Officer)
Data Breach Response (72-hour Notification)
รับมือเหตุข้อมูลรั่ว (Data Breach 72-hr Response)
PDPA Cross-Border Data Transfer (SCC / BCR)
โอนข้อมูลข้ามพรมแดน PDPA (SCC / BCR)
PDPA Staff Training & DPIA Workshop
อบรม PDPA พนักงาน + Workshop DPIA
SAFE Agreement Drafting & Negotiation
ร่าง SAFE (Simple Agreement for Future Equity)
Convertible Note Drafting
ร่าง Convertible Note (หุ้นกู้แปลงสภาพ)
Term Sheet Negotiation (Seed / Series A)
เจรจาและร่าง Term Sheet (Seed / Series A)
ESOP Pool & Vesting Management
จัดการ ESOP Pool + Vesting schedule
Cap Table Restructuring & Clean-up
Cap Table Restructuring & Clean-up
Startup Fundraising Compliance (SEC, BOT, FBA)
Startup Fundraising Compliance (SEC, BOT, FBA)
Condominium Foreign Quota (49%) Purchase
ซื้อคอนโดในโควตาต่างชาติ 49%
30+30+30 Leasehold Drafting for Foreigners
สัญญาเช่า 30+30+30 ปีสำหรับต่างชาติ
Superficies & Usufruct Registration
สิทธิเหนือพื้นดินและสิทธิเก็บกิน
Land Title Due Diligence
ตรวจสอบโฉนดและ Due Diligence ก่อนซื้อที่ดิน
Property Transfer & Land Office Representation
โอนกรรมสิทธิ์ที่กรมที่ดินและตัวแทนผู้ซื้อ-ผู้ขาย
BOI Land Ownership for Foreign Companies
ยื่นถือครองที่ดินโดยบริษัทต่างชาติผ่าน BOI
Corporate Income Tax Filing (PND 50/51)
ยื่นภาษีเงินได้นิติบุคคล (ภ.ง.ด.50/51)
VAT Registration & Monthly PP30 Filing
จด VAT และยื่น ภ.พ.30 รายเดือน
Transfer Pricing Documentation (Local + Master File)
เอกสาร Transfer Pricing (Local File + Master File)
Withholding Tax Compliance (PND 3/53/54)
ภาษีหัก ณ ที่จ่าย (ภ.ง.ด.3/53/54)
Personal Income Tax Filing (PND 90/91) — Expat
ยื่นภาษีเงินได้บุคคล (ภ.ง.ด.90/91) — ชาวต่างชาติ
Tax Audit & Appeal Representation
ตัวแทนสอบภาษีและอุทธรณ์ (Tax Audit & Appeal)
Employment Contract Drafting & Review (TH/EN)
ร่าง/ตรวจสัญญาจ้างงาน (ไทย/อังกฤษ) — LPA §17, §118
Wrongful Termination Case (Labour Court)
ฟ้องเลิกจ้างไม่เป็นธรรม (ศาลแรงงาน)
Work Permit + Social Security (SSO) Compliance
จัดการ Work Permit + ประกันสังคม (SSO) — Compliance รายเดือน
Workplace Harassment Investigation & Response
สอบสวนคุกคามในที่ทำงาน (Harassment / Discrimination)
Insurance Claim Denial Appeal & Litigation
อุทธรณ์ประกันปฏิเสธเคลม (Life/Health/Motor/Property)
Workmen's Compensation Fund Claim
เคลมกองทุนเงินทดแทน (Workmen's Compensation)
Franchise Agreement + Disclosure Document Drafting
ร่างสัญญาแฟรนไชส์ + Disclosure Document
Distribution & Reseller Agreement
สัญญาตัวแทนจำหน่าย/Distributor & Reseller
Commercial Agency Agreement
สัญญาตัวแทนการค้า (Commercial Agency)
Licensing & Royalty Agreement
สัญญาอนุญาตใช้สิทธิ (Licensing & Royalty)
Joint Venture + Shareholders Agreement (SHA)
สัญญาร่วมทุน + Shareholders Agreement (SHA)
Supply Chain Master Agreement (MSA)
สัญญาซัพพลายเชน (Master Supply / MSA)
Carbon Credit Project Registration (T-VER / Verra / Gold Standard)
จดทะเบียนคาร์บอนเครดิต T-VER / Verra / Gold Standard
ESG Disclosure & SET One Report Advisory
ESG Disclosure & SET One Report (บริษัทจดทะเบียน)
Environmental Impact Assessment (EIA / EHIA / IEE)
EIA / EHIA / IEE — รายงานผลกระทบสิ่งแวดล้อม
CBAM (EU) + Thailand Carbon Tax Compliance
CBAM (EU) + Thailand Carbon Tax Compliance
Renewable Energy PPA (Direct / Corporate / Solar Rooftop)
PPA พลังงานหมุนเวียน (Direct PPA / Corporate PPA / Solar Rooftop)
Extended Producer Responsibility (EPR) + Circular Economy Compliance
Extended Producer Responsibility (EPR) + Circular Economy Compliance
Cross-Border Data Transfer — SCCs / BCRs / Adequacy
โอนข้อมูลส่วนบุคคลข้ามประเทศ — SCC / BCR / Adequacy
ISO 27001 ISMS + ISO 27701 PIMS Implementation
ติดตั้ง ISO 27001 (ISMS) + ISO 27701 (PIMS) — Certification Ready
24/7 Cybersecurity Incident Response Retainer + Legal Playbook
Incident Response Retainer 24/7 — CERT + Legal Playbook
AI Governance & EU AI Act Compliance — Risk-Based Classification
AI Governance & EU AI Act Compliance — Risk-Based Classification
Cloud / SaaS Agreement + DPA Review — Vendor Risk Management
Cloud / SaaS Agreement + DPA Review — Vendor Risk Management
Charter-Party & Bill of Lading Disputes
ข้อพิพาทสัญญาเช่าเรือและใบตราส่ง (Charter Party / B/L)
Ship Arrest in Thai Waters — Admiralty Jurisdiction
ยึดเรือในน่านน้ำไทย — ศาลทรัพย์สินทางปัญญาและการค้าระหว่างประเทศ
Aircraft Leasing & Cape Town Convention Registration (IDERA)
เช่าอากาศยาน + จดทะเบียนอนุสัญญาเคปทาวน์ (IDERA)
Cross-Border Sales Contracts — CISG + Incoterms 2020
สัญญาซื้อขายระหว่างประเทศ — CISG + Incoterms 2020
Customs HS Classification & Valuation Appeals
อุทธรณ์การจำแนกพิกัดศุลกากรและมูลค่า (HS Code + Customs Valuation)
FTA Utilisation & Rules of Origin (RCEP / ASEAN / TAFTA)
ใช้สิทธิพิเศษภายใต้ FTA และกฎว่าด้วยถิ่นกำเนิดสินค้า (RCEP / ASEAN / TAFTA)
Insurance Broker License Application (OIC Thailand)
ขอใบอนุญาตนายหน้าประกันภัย (OIC) — นิติบุคคล/บุคคลธรรมดา
Reinsurance Treaty & Facultative Placement Review
ทบทวนสัญญา Reinsurance Treaty และ Facultative Placement
Bancassurance Partnership Agreement Drafting (Bank × Insurer)
ร่างสัญญา Bancassurance ระหว่างธนาคารและบริษัทประกัน
Insurance Claims Litigation & Bad-Faith Defense
คดีเรียกร้องค่าสินไหมประกันภัย และการปฏิเสธการจ่ายโดยสุจริต
InsurTech Regulatory Sandbox Application (OIC)
ยื่นเข้า InsurTech Regulatory Sandbox ของ คปภ.
Takaful & Microinsurance Product Filing (OIC)
ยื่นอนุมัติผลิตภัณฑ์ Takaful และ Microinsurance กับ คปภ.
Single Family Office (SFO) Setup — Thailand & Cross-Border Structuring
จัดตั้ง Single Family Office (SFO) ในไทย + โครงสร้างข้ามพรมแดน
Private Family Trust Formation — Labuan, Singapore & Jersey
จัดตั้งทรัสต์ครอบครัว Labuan / Singapore / Jersey
Cross-Border Inheritance Planning & Forced-Heirship Navigation
วางแผนมรดกข้ามพรมแดน + Forced Heirship (EU/ตะวันออกกลาง/CLMV)
UHNW Cross-Border Prenuptial & Postnuptial Agreements
Prenup / Postnup UHNW ข้ามพรมแดน
Charitable Foundation & Endowment Structuring (TH + Cross-Border DAF)
จัดตั้งมูลนิธิเพื่อการกุศล + Endowment (TH + Cross-Border DAF)
Family Business Succession & Governance Framework (Gen-1 → Gen-2/3)
Family Business Succession + Governance (Gen-1 → Gen-2/3)
International Arbitration Counsel (SIAC · ICC · HKIAC · LCIA)
ทนายอนุญาโตตุลาการระหว่างประเทศ (SIAC · ICC · HKIAC)
Thai Domestic Arbitration (THAC · TAI · Court of Arbitration)
อนุญาโตตุลาการภายในประเทศ (THAC · TAI · ศาลอนุญาโตตุลาการ)
Investor-State Arbitration (ICSID · UNCITRAL · BIT / MIT)
อนุญาโตตุลาการนักลงทุน–รัฐ (ICSID · UNCITRAL · BIT)
Enforce Foreign Arbitral Awards in Thailand (New York Convention)
บังคับ Award อนุญาโตตุลาการต่างประเทศในไทย (New York Convention)
Emergency Arbitrator & Cross-Border Interim Measures
Emergency Arbitrator + Interim Measures ข้ามพรมแดน
Construction Arbitration (FIDIC · DAB/DAAB · SCL Delay Protocol)
อนุญาโตตุลาการก่อสร้าง (FIDIC · DAB/DAAB · SCL Delay Protocol)
Sports Law — Athlete Representation (FIFA · CAS Lausanne)
กฎหมายกีฬา · ตัวแทนนักกีฬา (FIFA · CAS Lausanne)
Music Publishing & Mechanical Royalties (MCT · MPC · DSPs)
กฎหมายเพลง · ลิขสิทธิ์ · ค่าตอบแทนนักแต่ง (MCT · MPC · Spotify)
Film · TV · Streaming Production Legal (Chain of Title · Bond · E&O)
กฎหมายภาพยนตร์ · TV · Streaming (Chain of Title · Completion Bond · E&O)
Influencer & Creator Brand Deals (FTC · Thai OCPB · PDPA)
สัญญา Influencer · KOL · Brand Deal (FTC · สคบ. · PDPA)
E-sports Team & Player Contracts (Riot · Valve · Krafton)
สัญญาทีม e-sports · Player · Publisher (Riot · Valve · Krafton)
Broadcast Rights · Sponsorship · Naming Rights (FIFA · UEFA · SEA Games)
ลิขสิทธิ์ถ่ายทอด · สปอนเซอร์ · Naming Rights (FIFA · UEFA · SEA Games)
Request a quote — Call 083-249-4999 · LINE @NYC168 · contact@ilc.ltd
Knowledge bases behind every service
7 knowledge bases, 4,882 keywords and 3,057 answered questions written by our lawyers and translators. Free to read, no sign-up.
- Master Service Hub — every service we file
The cross-service index: certified translation, interpreting, visa/work permit/BOI, tax-legal-estate, cross-border M&A, aviation & maritime, and holding-company structuring.
Scoped quote after a free consultation by phone, LINE or email
1,000 keywords · 649 questions · 10 clusters
- Certified translation — every language
Certified translation across civil, academic, corporate, contractual, financial, medical, technical and IP documents — with the Notary → MFA → embassy legalization chain handled end to end.
Thai–English THB 500–1,200/page · other languages THB 800–2,500/page
1,000 keywords · 500 questions · 16 clusters
- Thai MFA consular legalization
Thai MFA legalization workflow: fees, turnaround, inbound foreign documents, and how the chain connects to destination-country apostille requirements.
THB 200/stamp (3 working days) · express THB 400/stamp
882 keywords · 500 questions · 16 clusters
Official sources — legal services
The information on this page follows the official sources below. Always check the latest version before you file.
- สำนักงานศาลยุติธรรม— Office of the Judiciary
- กระทรวงยุติธรรม— Ministry of Justice
- สภาทนายความในพระบรมราชูปถัมภ์ — ทนายความผู้ทำคำรับรองลายมือชื่อและเอกสาร— Lawyers Council of Thailand
- สำนักงานคณะกรรมการกฤษฎีกา — ฐานข้อมูลกฎหมายไทย— Office of the Council of State
- ราชกิจจานุเบกษา — ประกาศและกฎหมายที่มีผลบังคับ— Royal Thai Government Gazette
Related services
Most document work runs across several steps — jump straight to the next one you need.
For an exact quote and turnaround, call, LINE or email our team on any business day.
Expert reviewed: This page is written and checked by practitioners with 15+ years of hands-on filing experience, sourced from the responsible authorities and signed off by a second reviewer before publication — meet the team · editorial policy
Not sure which service you need? Read the guides
Each guide answers first, then explains: decision criteria, comparison tables, the real process and the mistakes we see most often.
- Choosing a certified translation provider
How to pick a translator accepted by consular, embassy and receiving bodies
- Services for expats living in Thailand
Signature certification, residence, marriage and everyday paperwork
- Notary Public and consular legalization
The correct order of steps before sending documents abroad
- Choosing the right visa and work permit
Compare visa categories and the documents each one needs translated
- Translation by language
English, Chinese, Japanese, European, Arabic, Russian and embassy rules
- Specialized translation
Contracts, financial statements, MSDS, ISO and BOI filings
Talk to us first: 083-249-4999 · LINE @NYC168 · contact@ilc.ltd
Frequently asked questions
- Can a foreigner own 100% of a Thai company?
- Generally no for activities listed in the Foreign Business Act, where majority foreign ownership requires a Foreign Business Licence, a BOI promotion, or treaty rights such as the US–Thailand Treaty of Amity. Manufacturing and certain export activities are largely open, and BOI-promoted activities can permit full foreign ownership together with land-holding and visa privileges, so the right structure depends on the specific activity.
- What is the minimum registered capital for a Thai company?
- There is no general statutory minimum for a Thai-majority company, but practical thresholds apply: THB 2 million of paid-up registered capital per foreign work permit, or THB 1 million if the foreigner is married to a Thai national, and THB 3 million per foreign shareholder for a Foreign Business Licence. Capital should therefore be planned around the visa and work-permit outcome you need, not the incorporation minimum.
- How long does company registration take?
- Registration at the Department of Business Development can be completed within one to three working days once the name reservation, shareholder documents and company objectives are ready, and the VAT registration and social security registration follow afterwards. The realistic end-to-end timeline including bank account opening is two to six weeks, with the bank account usually being the slowest step for foreign directors.
- What ongoing accounting obligations does a Thai company have?
- Every Thai company must keep statutory accounts, file monthly withholding tax (PND 1, 3, 53) and VAT (PP 30) returns by the middle of the following month, file the half-year corporate income tax return (PND 51) and the annual return (PND 50), and have its financial statements audited by a Thai CPA and filed with the DBD each year. Dormant companies are not exempt — nil returns and an audited statement are still required.