Cybersécurité et quantique
Migration vers la cryptographie post-quantique, sécurité de l’IA agentique, architecture en confiance zéro et défense SOC et OT convergée 24 h/24.
Présentation
XSIS Cybersécurité et quantique protège les institutions financières, les ministères et les infrastructures critiques contre les menaces cyber immédiates et l’horizon proche du déchiffrement quantique.
En nous appuyant sur l’ingénierie logicielle cryptographique de KONG GROUP, nous menons la découverte automatisée de la nomenclature cryptographique (CBOM) et réalisons des migrations complètes vers la cryptographie post-quantique normalisée par le NIST.
À qui s’adresse cette offre
Directeur de la sécurité des systèmes d’information
Un plan de migration post-quantique, la sécurité des agents IA et une exposition classée par risque, avec des preuves pour les auditeurs.
Responsable de la cyberdéfense
Un SOC et un NOC convergés, de garde 24 h/24, avec chasse aux menaces et réponse automatisée.
Directeur des infrastructures critiques ou de l’OT
Une défense OT, SCADA et IoT qui respecte la sécurité des installations et leur disponibilité.
Directeur des risques
Une résilience face à DORA, NIS2 et aux règles nationales de cybersécurité, et des plans de reprise répétés.
Nos capacités
Cryptographie post-quantique et chiffrement résistant au quantique
Découverte cryptographique et audits CBOM, migration PQC du NIST (FIPS 203, 204, 205), TLS, VPN et PKI résistants au quantique, agilité cryptographique et intégration des HSM.
Sécurité de l’IA agentique et identité des agents IA
Identité non humaine et identifiants juste-à-temps pour les agents IA, red teaming des systèmes d’IA et défense contre l’injection de prompt, et prévention des fuites de données des LLM.
Remédiation des expositions, confiance zéro et DevSecOps
Gestion continue de l’exposition aux menaces, architecture réseau en confiance zéro, DevSecOps avec SBOM et analyses automatisées, et tests d’intrusion continus.
SOC/NOC convergé, cyberrésilience et défense OT/IoT
Un SOC et un NOC pilotés par l’IA, de garde 24 h/24, avec chasse aux menaces, sécurité OT, SCADA et IoT, et résilience aux rançongiciels avec contrats de réponse à incident.
Par où commencer en sécurité
La plupart des organisations savent qu’elles ont des faiblesses. Peu savent lesquelles comptent le plus, ni dans quel ordre les corriger. Voici les points de départ habituels, et le service qui couvre chacun.
Évaluation, tests et remédiation
Vos applications, API, environnements cloud et réseaux examinés et testés comme le ferait un attaquant, chaque constat classé par risque et corrigé avec votre équipe. Les tests d’intrusion continus, les exercices équipe rouge et équipe bleue et la gestion des expositions relèvent de la remédiation des expositions, de la confiance zéro et du DevSecOps.
Modélisation des menaces
Pour chaque système critique : ce qu’un attaquant chercherait à atteindre, comment il s’y prendrait et quels contrôles l’en empêchent, au moyen de la remédiation des expositions, de la confiance zéro et du DevSecOps.
Durcissement et gestion des vulnérabilités
Des bases de référence sûres pour les serveurs, les conteneurs et les comptes cloud, et chaque vulnérabilité connue dotée d’un responsable et d’une échéance, grâce à la gestion continue de l’exposition aux menaces et aux correctifs automatiques.
Identité et accès
Un accès en confiance zéro pour les personnes et les appareils, et des identifiants juste-à-temps pour les agents IA et les autres identités non humaines, au titre de la sécurité de l’IA agentique.
Développement sûr
Des coffres de secrets, une nomenclature logicielle pour chaque build, et l’analyse des dépendances et des conteneurs dans vos pipelines de livraison, dans le cadre du DevSecOps.
Détection et réponse à incident
Des journaux qui conservent ce dont une enquête a besoin, des alertes qui atteignent quelqu’un capable d’agir, et un plan de réponse que votre équipe a répété, appuyés par un SOC et un NOC convergés et des contrats de réponse à incident.
Sécurité des données
Le chiffrement, la tokenisation et le masquage des données sensibles relèvent de la gouvernance des données, de la souveraineté et de la vie privée, dans notre division IA et données.
Ce qui nous distingue
- Cybersécurité et quantique
- NIST FIPS 203, 204 et 205 avec CBOM automatisée
- Identifiants dynamiques juste-à-temps pour les agents IA
- Architecture en confiance zéro et DevSecOps
- Défense SOC, NOC et OT convergée 24 h/24
Standards et ce qu’ils garantissent
| Domaine | Standards et primitives | Ce sur quoi vous pouvez compter |
|---|---|---|
| Cryptographie post-quantique | NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), CBOM automatisée | Appuyée par l’ingénierie cryptographique Rust de KONG GROUP (DCTL) |
| Défense de l’IA agentique et des identités non humaines | Identifiants dynamiques juste-à-temps, pare-feu contre l’empoisonnement d’outils, garde-fous contre l’injection de prompt | Aucun privilège permanent pour les agents IA autonomes |
Standards et primitives
- Cryptographie post-quantique
- NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA), CBOM automatisée
- Défense de l’IA agentique et des identités non humaines
- Identifiants dynamiques juste-à-temps, pare-feu contre l’empoisonnement d’outils, garde-fous contre l’injection de prompt
Ce sur quoi vous pouvez compter
- Cryptographie post-quantique
- Appuyée par l’ingénierie cryptographique Rust de KONG GROUP (DCTL)
- Défense de l’IA agentique et des identités non humaines
- Aucun privilège permanent pour les agents IA autonomes
Comment démarrer
Les prochaines étapes
Entretien préalable
Un entretien préalable gratuit de 30 minutes en ligne : nous passons en revue vos objectifs, vos systèmes et vos contraintes.
Revue de préparation
Lors d’une revue de préparation gratuite de 48 heures, un architecte principal confronte votre projet à la définition de « prêt » en 6 points et recommande le parcours adapté.
Choisir le parcours
Les projets au périmètre prêt reçoivent une proposition ferme sous 3 à 5 jours ouvrés. Les projets au stade du concept démarrent dans le studio Blueprint. Un système en production qui défaille, n’est pas documenté ou doit être intégré commence par un diagnostic de 1 à 2 semaines. Le studio Blueprint et le diagnostic ont chacun des honoraires fixes, indiqués dans la proposition.
Réalisation en cinq étapes
Mobilisation, sprints avec démonstrations en direct, intégration et durcissement, recette et mise en production, puis services gérés. Après la mise en production vient une période de garantie, puis une assistance et une maintenance optionnelles.
La voie d’entrée la plus rapide est l’offre Audit post-quantique (CBOM) et de sécurité des agents, l’un de nos forfaits de mission rapide.
Par où commencerQuestions et réponses
Par où commencer en cybersécurité ?
Commencez par les systèmes dont une attaque ferait le plus de mal : en général ceux qui détiennent des données clients ou de paiement, déplacent de l’argent ou maintiennent l’activité. Une évaluation ciblée de ces systèmes révèle les faiblesses qui comptent et vous donne un plan hiérarchisé. Si vous utilisez des agents IA ou détenez des données qui doivent rester secrètes pendant des années, l’audit post-quantique et de sécurité des agents est la première étape naturelle.
XSIS est-elle elle-même certifiée ISO 27001 ou SOC 2 ?
Nous ne revendiquons pas de certificats en notre nom. Nos opérations, notre code source et les charges de travail cloud que nous exploitons pour nos clients reposent sur une infrastructure dont les fournisseurs détiennent ces attestations, et nous concevons vos systèmes pour qu’ils passent les audits auxquels vous êtes soumis. Notre page sur la sécurité et la confiance l’explique.
Pouvez-vous nous aider à respecter un standard ou une réglementation de sécurité ?
Oui. Nous comparons vos contrôles au standard ou à la réglementation que vous devez respecter, comme DORA, NIS2, le référentiel NCA ECC saoudien ou les règles SAMA, montrons les écarts et vous aidons à les combler. Vous conservez des preuves qu’un auditeur peut vérifier. Nous ne vous certifions pas nous-mêmes : la certification est délivrée par un organisme accrédité, et nous vous aidons à préparer son audit.
Quelle différence entre une évaluation de sécurité et un test d’intrusion ?
Une évaluation examine la conception, la configuration et l’exploitation de vos systèmes, et identifie les écarts par rapport aux bonnes pratiques reconnues. Un test d’intrusion attaque les systèmes selon des règles convenues, pour montrer ce qu’un attaquant pourrait réellement atteindre. Les deux se complètent : l’évaluation montre l’étendue des problèmes, le test en montre la profondeur.
Les tests de sécurité peuvent-ils nuire à nos systèmes en production ?
Nous planifions les tests pour éviter tout dommage. Les systèmes, les horaires et les méthodes sont convenus à l’avance. Nous testons dans un environnement hors production lorsqu’il est suffisamment proche de la production, et évitons les tests perturbateurs sauf si vous les approuvez. Un contact désigné de votre côté peut arrêter le test à tout moment.
Que se passe-t-il en cas d’incident de sécurité ?
Suivez votre plan de réponse et appelez les contacts qu’il désigne. Si nous supportons vos systèmes, votre contact XSIS en fait partie. Nous travaillons avec votre équipe pour contenir l’incident, préserver les preuves, rétablir le service et trouver la cause. Vous recevez ensuite une revue écrite de ce qui s’est passé et des changements qui évitent que cela se reproduise.
Une seule évaluation suffit-elle ?
C’est un bon début, mais les systèmes, les personnes et les attaquants évoluent. C’est pourquoi la gestion des expositions est continue : analyse sans interruption, nouveaux tests après chaque changement important et revue régulière des accès. Nous pouvons l’assurer dans le cadre d’un contrat de services managés, ou former votre équipe à le faire.
Qui voit les constats, et à qui appartient le rapport ?
Uniquement aux personnes que vous désignez. Les constats sont partagés par des canaux chiffrés que vous approuvez, jamais par e-mail non chiffré. Le rapport vous appartient. Nous ne conservons les preuves que le temps autorisé par le contrat et les supprimons à la fin.
Qu’est-ce qui détermine le coût d’une mission de sécurité ?
Les principaux facteurs sont le nombre et la taille des systèmes concernés, et la profondeur des tests nécessaires. Le coût dépend aussi du fait que nous corrigions ou non ce que nous trouvons, et des standards ou réglementations auxquels vous devez répondre. Une évaluation ciblée de quelques systèmes critiques est un travail plus restreint qu’un programme sur l’ensemble du parc. Une fois le périmètre clair, vous recevez une proposition avec la méthode et le prix.
Prêt à construire ? Demandez une proposition.
Envoyez vos exigences ou votre appel d’offres. Nos architectes les valident et reviennent avec une proposition ferme à périmètre défini.
Les prochaines étapes
Revue de préparation
Lors d’une revue de préparation gratuite de 48 heures, un architecte principal confronte votre projet à la définition de « prêt » en 6 points et recommande le parcours adapté.
Proposition ferme
Après validation de l’architecture sans frais, vous recevez une proposition ferme à périmètre défini sous 3 à 5 jours ouvrés : jalons, architecture, structure d’équipe et SLA. Sur demande, nous signons avec vous un accord de confidentialité (NDA) avant que vous ne nous communiquiez vos exigences.
Mobilisation
Une fois le contrat signé, nos équipes d’ingénierie lancent le sprint 0 dans les 5 à 10 jours ouvrés suivant la signature du contrat.
Réalisation en cinq étapes
Mobilisation, sprints avec démonstrations en direct, intégration et durcissement, recette et mise en production, puis services gérés. Après la mise en production vient une période de garantie, puis une assistance et une maintenance optionnelles.