الأمن السيبراني والكمي
التشفير الآمن ضد الكم، وهوية وكلاء الذكاء الاصطناعي، والثقة الصفرية، وقوائم مكونات البرمجيات، ومراقبة أنظمة التحكم الصناعي (OT)، وشهادات الأمن.
21 سؤالا
لا تستطيع الحواسيب الكمومية كسر التشفير بعد. فلماذا تتحرك الآن؟
بسبب مبدأ «الالتقاط الآن وفك التشفير لاحقا». يمكن فك تشفير حركة المرور المسجلة اليوم بمجرد توفر حاسوب كمومي قادر، لذا فإن البيانات التي يجب أن تبقى سرية لسنوات معرضة للخطر بالفعل. كما يستغرق الترحيل سنوات في منظومة تقنية كبيرة، وتضع خرائط الطريق الوطنية للانتقال إلى PQC مواعيد نهائية لذلك.
اقرأ المزيد: التشفير ما بعد الكمي والتشفير الآمن ضد الحوسبة الكميةرابط هذا السؤال
ما المقصود بقائمة مكونات التشفير؟
تسرد قائمة مكونات التشفير (CBOM) كل خوارزمية تشفير ومفتاح وشهادة في أنظمتك وموضع استخدام كل منها، على غرار قائمة مكونات البرمجيات التي تسرد المكونات. وهي تبين ما يجب تغييره، وتتيح لك إثبات عدم بقاء أي عنصر معرض للخطر أمام المدقق.
اقرأ المزيد: التشفير ما بعد الكمي والتشفير الآمن ضد الحوسبة الكميةرابط هذا السؤال
هل ستعطل خوارزميات ما بعد الكم أنظمتنا الحالية؟
ليس إذا جرى تنفيذ التغيير على مراحل. فالمفاتيح والتوقيعات ما بعد الكمومية أكبر حجما، وبعض الأجهزة والشركاء الأقدم لا تستطيع التعامل معها بعد. نستخدم الأوضاع الهجينة وبنية PKI مزدوجة المكدس خلال فترة الانتقال، ونختبر كل نظام مع شركائه، ونحتفظ بمسار تراجع.
اقرأ المزيد: التشفير ما بعد الكمي والتشفير الآمن ضد الحوسبة الكميةرابط هذا السؤال
ما المعايير التي تنتقل إليها XSIS؟
معايير NIST لما بعد الكم: FIPS 203 (ML-KEM)، FIPS 204 (ML-DSA) وFIPS 205 (SLH-DSA)، المطبقة في بروتوكولات مثل TLS 1.3. ونوائم الخطة مع خرائط الطريق الوطنية للانتقال إلى PQC والقواعد القطاعية التي تنطبق عليك، في الشرق الأوسط وأوروبا وآسيا.
اقرأ المزيد: التشفير ما بعد الكمي والتشفير الآمن ضد الحوسبة الكميةرابط هذا السؤال
ما هي الهوية غير البشرية، ولماذا تهم في الذكاء الاصطناعي؟
الهوية غير البشرية هي أي حساب أو مفتاح أو رمز تستخدمه البرمجيات بدلا من شخص: حسابات الخدمات، ومفاتيح API، والآن وكلاء الذكاء الاصطناعي. يسهل إنشاؤها ويسهل نسيانها، وكثير منها لا تنتهي صلاحيته. ووكيل الذكاء الاصطناعي الذي يتصرف من تلقاء نفسه بمثل هذا المفتاح يمكن أن يلحق ضررا كبيرا إذا ضلله أحد أو سرق المفتاح.
اقرأ المزيد: أمن الذكاء الاصطناعي الوكيل وهوية وكلاء الذكاء الاصطناعيرابط هذا السؤال
ما هو حقن التعليمات؟
هجوم يخفي تعليمات داخل محتوى يقرأه نموذج الذكاء الاصطناعي، مثل رسالة بريد إلكتروني أو مستند أو صفحة ويب، فيتبع النموذج المهاجم بدلا من مستخدمه. ولا يمكن للنموذج وحده منعه. يجمع الدفاع بين ضوابط حماية على المدخلات والمخرجات، ووكلاء بصلاحيات محدودة، وموافقة بشرية على الإجراءات الحساسة.
اقرأ المزيد: أمن الذكاء الاصطناعي الوكيل وهوية وكلاء الذكاء الاصطناعيرابط هذا السؤال
كيف تعمل بيانات الاعتماد التي تمنح عند الحاجة للوكلاء؟
بدلا من مفتاح دائم، يطلب الوكيل صلاحية الوصول عند بدء المهمة. فيحصل على بيانات اعتماد مقيدة بتلك المهمة وبتلك المدة، تنتهي صلاحيتها عند انتهاء المهمة. ويجري تسجيل كل طلب، فترى أي وكيل فعل ماذا وبالنيابة عمن.
اقرأ المزيد: أمن الذكاء الاصطناعي الوكيل وهوية وكلاء الذكاء الاصطناعيرابط هذا السؤال
ماذا يتضمن تمرين الفريق الأحمر للذكاء الاصطناعي؟
نتفق على النطاق والقواعد، ثم نهاجم نماذجك ووكلاءك كما يفعل الخصم: كسر القيود، وحقن التعليمات، وتسميم الأدوات، ومحاولات استخراج البيانات. وتتلقى كل نتيجة مع خطوات إعادة إنتاجها، مرتبة حسب المخاطر، ونعيد الاختبار بعد الإصلاحات.
اقرأ المزيد: أمن الذكاء الاصطناعي الوكيل وهوية وكلاء الذكاء الاصطناعيرابط هذا السؤال
نستخدم نموذجا مستضافا من مزود كبير. هل بياناتنا آمنة؟
يتوقف ذلك على شروط المزود، والمنطقة التي يعمل فيها، وما ترسله إليه. نراجع هذه الثلاثة، ونضيف ضوابط لمنع التسريب أمام النموذج، ونوصي بنموذج سيادي أو خاص بدلا منه حيث لا يجوز أن تغادر البيانات نطاق اختصاصك.
اقرأ المزيد: أمن الذكاء الاصطناعي الوكيل وهوية وكلاء الذكاء الاصطناعيرابط هذا السؤال
هل يجب أن نستبدل شبكة VPN لدينا لاعتماد الثقة الصفرية؟
ليس دفعة واحدة. تطبق الثقة الصفرية على مراحل، وتبدأ عادة بالتطبيقات الأكثر حساسية وبوصول المسؤولين. ويمكن أن تبقى شبكة VPN لما لا يزال يحتاج إليها، ثم توقف عندما لا يعتمد عليها شيء.
اقرأ المزيد: معالجة التعرض والثقة الصفرية وDevSecOpsرابط هذا السؤال
ما قائمة مكونات البرمجيات (SBOM)، ولماذا نحتاج إليها؟
قائمة مكونات البرمجيات (SBOM) تسرد كل مكون ومكتبة داخل أي برنامج، مع رقم إصداره. وعند الإعلان عن ثغرة جديدة، تبين لك سريعا ما إذا كنت متأثرا بها وأين. وتطلبها الآن تنظيمات مثل قانون المرونة السيبرانية في الاتحاد الأوروبي (CRA)، وكثير من العملاء.
اقرأ المزيد: معالجة التعرض والثقة الصفرية وDevSecOpsرابط هذا السؤال
كيف يصل مهندسوكم إلى أنظمتنا؟
لكل مهندس حساب باسمه وبالصلاحيات التي تتطلبها المهمة فقط، ويسجل الدخول بمفتاح أمان عتادي. وحيث لديك إجراءات للوصول الإداري، نتبعها. وتسجل الجلسات، ويلغى الوصول عند انتهاء العمل أو مغادرة أحدهم المشروع.
اقرأ المزيد: معالجة التعرض والثقة الصفرية وDevSecOpsرابط هذا السؤال
ما إدارة التعرض المستمر للتهديدات؟
برنامج دائم بدلا من اختبار سنوي. يحتفظ بقائمة محدثة بما يمكن أن يصل إليه المهاجم، ويرتب كل تعرض بحسب احتمال استغلاله وكلفته عليك، ويتابع كل معالجة حتى إغلاقها. ويعمل الفحص باستمرار، ويتبع الاختبار كل تغيير جوهري.
اقرأ المزيد: معالجة التعرض والثقة الصفرية وDevSecOpsرابط هذا السؤال
ما تمرين الفريق الأحمر والفريق الأزرق؟
تدريب في ظروف حقيقية. يهاجم الفريق الأحمر أنظمتك ضمن قواعد متفق عليها، بينما يدافع عنها فريقك الأزرق، وهم من يكتشفون الحوادث ويستجيبون لها. بعد ذلك يراجع الطرفان ما تم اكتشافه وما فات والمدة التي استغرقتها كل خطوة، وتتلقى التغييرات التي تسد الفجوات.
اقرأ المزيد: معالجة التعرض والثقة الصفرية وDevSecOpsرابط هذا السؤال
هل يمكن مراقبة شبكات OT لدينا دون تعطيل العمليات؟
نعم. نصمم المراقبة مع مهندسي التحكم لديك لتلاحظ حركة التحكم دون تغييرها، وأي تغيير في أنظمة المنشأة يتبع إجراءات التغيير والسلامة لديك. فالسلامة واستمرارية التشغيل تأتي أولا.
اقرأ المزيد: SOC/NOC الموحد، والمرونة السيبرانية، والدفاع عن OT/IoTرابط هذا السؤال
ما المقصود بالاستعادة في بيئة نظيفة؟
استعادة الأنظمة إلى بيئة معزولة أولا، والتحقق من خلو الأنظمة والبيانات المستعادة من المهاجم، ثم إعادتها إلى الخدمة بعد ذلك فقط. وهي تمنع أن تعيد عملية الاستعادة إصابة الشبكة.
اقرأ المزيد: SOC/NOC الموحد، والمرونة السيبرانية، والدفاع عن OT/IoTرابط هذا السؤال
من أين نبدأ في الأمن السيبراني؟
ابدأ بالأنظمة التي يكون أثر الهجوم عليها أكبر: عادة الأنظمة التي تحتفظ ببيانات العملاء أو المدفوعات، أو تحرك الأموال، أو تبقي العمل قائما. ويكشف تقييم مركز لها عن نقاط الضعف المهمة ويمنحك خطة مرتبة بحسب الأولوية. وإذا كنت تستخدم وكلاء ذكاء اصطناعي أو تحتفظ ببيانات يجب أن تبقى سرية لسنوات، فإن تدقيق أمن ما بعد الكم والوكلاء هو الخطوة الأولى الطبيعية.
هل XSIS نفسها حاصلة على شهادة ISO 27001 أو SOC 2؟
لا ندعي حصولنا على شهادات خاصة بنا. عملياتنا وشيفرتنا المصدرية وأحمال العمل السحابية التي نديرها للعملاء تعمل على بنية تحتية يحمل مزودوها تلك الإقرارات، ونصمم أنظمتك لاجتياز عمليات التدقيق التي تواجهها. وتوضح صفحة الأمن والثقة لدينا كيف يتم ذلك.
هل يمكنكم مساعدتنا في استيفاء معيار أمني أو تنظيم؟
نعم. نقارن ضوابطك بالمعيار أو التنظيم الذي يجب أن تستوفيه، مثل DORA أو NIS2 أو ضوابط NCA ECC السعودية أو قواعد SAMA، ونبين الفجوات ونساعدك على إغلاقها. وتحتفظ بالأدلة التي يمكن للمدقق فحصها. ولا نمنحك الشهادة بأنفسنا: فالشهادة تمنحها جهة معتمدة، ونساعدك على الاستعداد لتدقيقها.
ما الفرق بين تقييم الأمن واختبار الاختراق؟
يراجع تقييم الأمن كيفية تصميم أنظمتك وإعدادها وتشغيلها، ويكشف الفجوات مقارنة بالممارسات الجيدة المعتمدة. أما اختبار الاختراق فيهاجم الأنظمة وفق قواعد متفق عليها، لبيان ما يمكن للمهاجم الوصول إليه فعلا. والعمل بهما معا أفضل: يبين التقييم اتساع المشكلات، ويبين الاختبار عمقها.
هل يمكن أن يلحق اختبار الأمن ضررا بأنظمتنا العاملة؟
نخطط للاختبار لتجنب الضرر. نتفق مسبقا على الأنظمة والأوقات والأساليب. نختبر في بيئة غير بيئة الإنتاج عندما تكون مطابقتها لبيئة الإنتاج كافية، ونتجنب الاختبارات المعطلة إلا إذا وافقت عليها. ولديك مسؤول محدد بالاسم يمكنه إيقاف الاختبار في أي وقت.
مزيد من الأسئلة
- العمل مع XSISكيف نحمي أنظمتك وشيفرتك وبياناتك، وأين تخزن البيانات، وأدوات البرمجة بالذكاء الاصطناعي، والصلاحيات التي نحتاجها.13 سؤالا
- البرمجيات والذكاء الاصطناعي والبياناتبياناتك في نماذج الذكاء الاصطناعي، وتفسير القرارات والتحيز، ومستودعات البيانات، وأمن الويب والجوال والسحابة، والترحيل الآمن للبيانات.6 أسئلة
- الذكاء الاصطناعي والبياناتأين تذهب بياناتك في نماذج الذكاء الاصطناعي والخدمات المدارة، ومن يحتفظ بالمفاتيح، وكيف تصنع بيانات الاختبار، والقواعد التي يجب أن تستوفيها.15 سؤالا
- التكاملات والقطاعاتالوصول إلى أنظمة ERP، وملفات الدفع، ونطاق PCI DSS، وبيانات البطاقات والمرضى، والموافقة، وwebhooks، وقواعد كل قطاع.24 سؤالا
- التكلفة والأسعارما الذي يحدد تكلفة المشروع أو الفريق، وكيف نعد التقديرات.29 سؤالا
- الجداول الزمنيةكم يستغرق بدء العمل وتسليمه، وما الذي يؤثر في ذلك.10 أسئلة
- الملكية والعقودمن يملك الشيفرة والبيانات والنتائج، وكيف تعمل العقود.22 سؤالا
- الفرق والكوادرمن يعمل على مشروعك، وكيف يختار، وكيف تتغير الفرق.30 سؤالا
- طريقة العمل والتواصلكيف يخطط للعمل، ويبلغ عنه، ويقبل.121 سؤالا
- التقنيةالمنصات والمعايير والأدوات التي نعمل بها.144 سؤالا
- الدعم والتشغيلما يحدث بعد الإطلاق: الدعم والمراقبة والتغيير.29 سؤالا
- عن XSISمن نحن، وأين نحن، وكيف تتواصل معنا.6 أسئلة
ابدأ بمحادثة، لا بعقد.
أخبرنا بما تحتاج إلى بنائه أو ربطه أو تأمينه. يراجع ذلك معك مهندس معماري، ثم يوصي من أين تبدأ.
الخطوات التالية
الاتفاق على موعد
يراسلك فريقنا بالبريد الإلكتروني للاتفاق على موعد الجلسة.
الجلسة الاستشارية التمهيدية
جلسة استشارية تمهيدية مجانية عبر الإنترنت مدتها 30 دقيقة: نستعرض فيها أهدافك وأنظمتك والقيود التي تواجهك.
مراجعة الجاهزية
في مراجعة جاهزية مجانية مدتها 48 ساعة، يراجع مهندس معماري رئيسي مشروعك وفق تعريف الجاهزية المكون من 6 نقاط، ويوصي بالمسار المناسب.
اختيار المسار
المشاريع الجاهزة من حيث النطاق تحصل على عرض ملزم في غضون 3–5 أيام عمل. ومشاريع مرحلة الفكرة تبدأ في Blueprint Studio. والنظام القائم الذي يتعرض لأعطال أو يفتقر إلى توثيق أو يحتاج إلى تكامل يبدأ بتشخيص يستغرق 1–2 أسبوع. ولكل من Blueprint Studio والتشخيص رسم ثابت يرد في العرض.