Kybernetická a kvantová bezpečnost
Odstraňování expozice, zero trust a DevSecOps
Najděte, kam by se útočník dostal, opravte to v pořadí a udržte zavřeno
Příliš mnoho cest dovnitř
Útočníci hledají nejsnazší cestu dovnitř: vystavenou službu, znovu použitá hesla, nezáplatovaný server nebo aplikaci, která důvěřuje svému vstupu. Většina organizací ví, že má slabiny. Málokdo ví, které záleží nejvíc, a seznam roste rychleji, než týmy stíhají záplatovat.
Sítě postavené na důvěře to zhoršují. Jakmile je útočník uvnitř perimetru, plochá síť mu umožní přejít ze systému na systém.
Co se pro vás změní
Vystavení, které vidíte
Aktuální, seřazený pohled na to, kam by se útočník dostal, místo výroční zprávy, která je při doručení zastaralá.
Průniky, které zůstanou malé
Každý požadavek se ověřuje a systémy jsou segmentované, takže jeden kompromitovaný účet nebo server neotevře zbytek.
Bezpečný kód ve výchozím stavu
Bezpečnostní kontroly běží v každé pipeline, takže zranitelnosti se zachytí před vydáním, ne po něm.
Co dodáváme
Průběžné řízení vystavení hrozbám
Průběžné řízení vystavení hrozbám (CTEM) je stálý program, který nachází, řadí a opravuje to, kam by se útočník dostal, napříč aplikacemi, cloudovými účty, sítěmi a identitami.
Autonomní náprava vystavení a automatické záplatování
Běžná vystavení opravená automaticky přes otestované pipeline, jako záplaty, nezabezpečená nastavení a expirované certifikáty, s lidským schválením všeho, co by mohlo narušit službu.
Zero-trust síťový přístup
Zero trust znamená, že žádnému uživateli, zařízení ani službě se nedůvěřuje kvůli tomu, odkud se připojují. Zero-trust network access (ZTNA) ověřuje identitu a stav zařízení u každého požadavku a nahrazuje široký VPN přístup.
Mikrosegmentace
Systémy rozdělené do malých zón s psanými pravidly, co s čím smí komunikovat, takže vetřelec nemůže volně přecházet.
DevSecOps
Trezory tajemství, automatický soupis softwarových komponent (SBOM) pro každý build, skenování závislostí a kontejnerů a audity kódu zabudované do vaší dodávkové pipeline.
Průběžné penetrační testování a bezpečnost API
Aplikace, API a infrastruktura testované tak, jak by je testoval útočník, po každé významné změně, s každým zjištěním popsaným tak, aby šlo reprodukovat.
Cvičení red a blue teamu
Red team útočí v dohodnutých pravidlech, zatímco váš blue team brání, takže zjistíte, jak dobře detekce a reakce fungují pod tlakem.
Jak práce probíhá
Dohodněte rozsah a pravidla
Dohodneme, které systémy jsou v rozsahu, jak se testuje, kdo je informován a jak zastavíme, pokud je systém v ohrožení.
Zmapujte vystavení
Projdeme architekturu, konfigurace, přístup a kód a systémy testujeme tak, jak by je testoval útočník.
Seřaďte zjištění
Každé zjištění seřadíme podle pravděpodobnosti a dopadu, vysvětlíme přirozeným jazykem a dohodneme pořadí oprav.
Opravte a automatizujte
Zjištění opravíme s vaším týmem, opakující se opravy automatizujeme a zero-trust přístup a segmentaci zavádíme po etapách.
Testujte znovu, průběžně
Každou opravu znovu otestujeme a testujeme dál, jak se vaše systémy mění.
Jak to dokazujeme ve vlastní práci
Sami takto pracujeme. Každý inženýr XSIS se přihlašuje hardwarovým bezpečnostním klíčem přes zero-trust síťové tunely, které zařízení průběžně ověřují.
- Bezpečnost a kryptografie
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Standardy a regulace
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Jak začít
Co bude následovat
Předkonzultační schůzka
Nejprve bezplatná 30minutová online předkonzultační schůzka: projdeme vaše cíle, systémy a omezení.
Kontrola připravenosti
bezplatná 48hodinová kontrola připravenosti prověří váš projekt proti šestibodové definici připravenosti a doporučí vhodnou cestu.
Volba cesty
Projekty připravené rozsahem dostanou závaznou nabídku do 3–5 pracovních dnů. Projekty ve fázi konceptu začínají v Blueprint Studio. Běžící systém, který selhává, není zdokumentovaný nebo potřebuje integraci, začíná diagnostikou 1–2 týdny. Blueprint Studio i diagnostika mají pevný poplatek uvedený v nabídce.
Dodávka v pěti fázích
Mobilizace, sprinty s živými ukázkami, integrace a zpevnění, akceptace a spuštění, poté řízené služby. Po spuštění následuje záruční doba a poté volitelná podpora a údržba.
Projekty s pevným výsledkem a nepřetržité řízené služby
Dodávka s pevným rozsahem a milníky se jmenovanými vedoucími dodávky a nepřetržité řízené služby aplikací pod řízením SLA.
Zanoření specialisté a strategické posílení
Principal inženýři a specialisté působící nearshore i na místě a architekti řešení, transformace, PQC a integrací začlenění do vašeho týmu.
Nejrychlejší vstup je balíček Post-kvantový (CBOM) a agentní bezpečnostní audit, jeden z našich balíčků rychlé spolupráce.
Kde začítOtázky a odpovědi
Musíme kvůli zero trust nahradit VPN?
Ne hned. Zero trust se zavádí po etapách, obvykle počínaje nejcitlivějšími aplikacemi a přístupem administrátorů. VPN může zůstat pro to, co ji ještě potřebuje, a vyřadí se, až na ní nic nezávisí.
Co je SBOM a proč ho potřebujeme?
Soupis softwarových komponent vypisuje každou komponentu a knihovnu v softwaru včetně verze. Když se ohlásí nová zranitelnost, rychle řekne, zda jste zasaženi a kde. Předpisy jako EU Cyber Resilience Act (CRA) a mnoho zákazníků jej dnes vyžadují.
Jak vaši inženýři přistupují k našim systémům?
Každý inženýr má jmenovaný účet jen s právy, která úkol potřebuje, a přihlašuje se hardwarovým bezpečnostním klíčem. Kde máte postup pro přístup administrátorů, řídíme se jím. Relace se logují a přístup se odebere, když práce skončí nebo někdo opustí projekt.
Co je průběžné řízení vystavení hrozbám?
Stálý program místo výročního testu. Udržuje aktuální seznam toho, kam by se útočník dostal, řadí každé vystavení podle pravděpodobnosti zneužití a nákladů a sleduje každou opravu, dokud se neuzavře. Skenování běží průběžně a testování následuje každou významnou změnu.
Co je cvičení red a blue teamu?
Nácvik v reálných podmínkách. Red team útočí na vaše systémy v dohodnutých pravidlech, zatímco váš blue team, lidé, kteří detekují a reagují, je brání. Poté obě strany projdou, co se našlo, co se přehlédlo a jak dlouho každý krok trval, a dostanete změny, které mezery zavřou.
Připraveni stavět? Vyžádejte si nabídku.
Pošlete své požadavky nebo RFP (žádost o nabídku). Naši architekti je ověří a vrátí závaznou nabídku s pevným rozsahem.
Co bude následovat
Kontrola připravenosti
bezplatná 48hodinová kontrola připravenosti prověří váš projekt proti šestibodové definici připravenosti a doporučí vhodnou cestu.
Závazná nabídka
Po ověření architektury zdarma dostanete závaznou nabídku s pevným rozsahem do 3–5 pracovních dnů: milníky, architekturu, strukturu týmu a SLA. Na vyžádání s vámi podepíšeme dohodu o mlčenlivosti (NDA), a to ještě předtím, než nám sdělíte své požadavky.
Mobilizace
Po podpisu začnou naše inženýrské pody Sprint 0 do 5–10 pracovních dnů od podpisu smlouvy.
Dodávka v pěti fázích
Mobilizace, sprinty s živými ukázkami, integrace a zpevnění, akceptace a spuštění, poté řízené služby. Po spuštění následuje záruční doba a poté volitelná podpora a údržba.