אבטחת סייבר וקוונטום
הצפנה פוסט־קוונטית, זהות לסוכני AI, אפס אמון, מפרטי תוכנה (SBOM), ניטור OT והסמכת אבטחה.
21 שאלות
מחשבים קוונטיים עדיין לא יכולים לשבור הצפנה. למה לפעול עכשיו?
בגלל לאסוף עכשיו, לפענח אחר כך. תעבורה שמוקלטת היום ניתנת לפענוח כשיהיה מחשב קוונטי מסוגל, כך שנתונים שחייבים להישאר סודיים שנים כבר נמצאים בסיכון. הגירה גם אורכת שנים במערך גדול, ומפות דרכים לאומיות למעבר ל-PQC קובעות לה מועדים.
לקריאה נוספת: קריפטוגרפיה פוסט־קוונטית והצפנה עמידה בפני קוונטיםקישור לשאלה הזו
מהו מצאי חומרים קריפטוגרפיים?
CBOM מפרט כל אלגוריתם קריפטוגרפי, מפתח ותעודה במערכות שלכם והיכן כל אחד משמש, בדומה לאופן שבו מצאי חומרים של תוכנה מפרט רכיבים. הוא מראה מה חייב להשתנות, ומאפשר לכם להוכיח למבקר שלא נותר דבר פגיע.
לקריאה נוספת: קריפטוגרפיה פוסט־קוונטית והצפנה עמידה בפני קוונטיםקישור לשאלה הזו
האם אלגוריתמים פוסט־קוונטיים ישברו את המערכות הקיימות שלנו?
לא אם השינוי מדורג. מפתחות וחתימות פוסט־קוונטיים גדולים יותר, וחלק מהתקנים והשותפים הוותיקים אינם יכולים לטפל בהם עדיין. אנחנו משתמשים במצבים היברידיים וב-PKI במחסנית כפולה במהלך המעבר, בודקים כל מערכת מול השותפים שלה ושומרים נתיב החזרה לאחור.
לקריאה נוספת: קריפטוגרפיה פוסט־קוונטית והצפנה עמידה בפני קוונטיםקישור לשאלה הזו
לאילו תקנים אתם מהגרים?
לתקנים הפוסט־קוונטיים של NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) ו-FIPS 205 (SLH-DSA), המיושמים בפרוטוקולים כמו TLS 1.3. אנחנו מיישרים את התוכנית עם מפות הדרכים הלאומיות ל-PQC ועם כללי המגזר החלים עליכם, במזרח התיכון, באירופה ובאסיה.
לקריאה נוספת: קריפטוגרפיה פוסט־קוונטית והצפנה עמידה בפני קוונטיםקישור לשאלה הזו
מהי זהות לא אנושית, ולמה היא חשובה ל-AI?
זהות לא אנושית היא כל חשבון, מפתח או טוקן שבהם משתמשת תוכנה במקום אדם: חשבונות שירות, מפתחות API, ועכשיו גם סוכני AI. קל ליצור אותם וקל לשכוח מהם, ורבים מהם אינם פגים לעולם. סוכן AI שפועל בעצמו עם מפתח כזה יכול לגרום לנזק רב אם מטעים אותו או אם המפתח נגנב.
מהי הזרקת הנחיות?
תקיפה שמסתירה הנחיות בתוכן שמודל AI קורא, כמו דואר אלקטרוני, מסמך או דף אינטרנט, כך שהמודל פועל לפי התוקף ולא לפי המשתמש שלו. אי אפשר למנוע אותה במודל לבדו. ההגנה משלבת מעקות בטיחות על קלטים ופלטים, סוכנים עם גישה מוגבלת ואישור אנושי לפעולות רגישות.
איך עובדות הרשאות זמניות לפי דרישה לסוכנים?
במקום מפתח קבוע, הסוכן מבקש גישה כשמשימה מתחילה. הוא מקבל הרשאה מוגבלת לאותה משימה ולאותו זמן, וההרשאה פוגה כשהמשימה מסתיימת. כל בקשה מתועדת, כך שאתם יכולים לראות איזה סוכן עשה מה ובשם מי.
מה כולל תרגיל צוות אדום של AI?
אנחנו מסכימים על ההיקף והכללים, ואז תוקפים את המודלים והסוכנים שלכם כפי שתוקף היה עושה: פריצות מגבלות, הזרקת הנחיות, הרעלת כלים וניסיונות לחלץ נתונים. אתם מקבלים כל ממצא עם השלבים לשחזורו, מדורג לפי סיכון, ואנחנו בודקים מחדש אחרי התיקונים.
אנחנו משתמשים במודל מתארח של ספק גדול. האם הנתונים שלנו בטוחים?
זה תלוי בתנאים של הספק, באזור שבו הוא פועל ובמה שאתם שולחים לו. אנחנו בוחנים את שלושת אלה, מוסיפים בקרות דליפה לפני המודל, והיכן שהנתונים אינם יכולים לצאת מתחום השיפוט שלכם ממליצים על מודל ריבוני או פרטי במקום.
האם אנחנו חייבים להחליף את ה-VPN כדי לאמץ אפס אמון?
לא בבת אחת. אפס אמון מוכנס בשלבים, בדרך כלל החל מהיישומים הרגישים ביותר ומגישת מנהלים. ה-VPN יכול להישאר למה שעדיין צריך אותו ויוצא משימוש כששום דבר לא תלוי בו.
לקריאה נוספת: טיפול בחשיפות, אפס אמון ו-DevSecOpsקישור לשאלה הזו
מהו SBOM, ולמה אנחנו זקוקים לו?
מצאי חומרים של תוכנה מפרט כל רכיב וספרייה בתוך תוכנה, עם הגרסה שלו. כשמתפרסמת פגיעות חדשה, הוא אומר לכם במהירות אם אתם מושפעים והיכן. רגולציות כמו חוק החוסן הקיברנטי (CRA) באיחוד האירופי, ולקוחות רבים, מבקשים אותו היום.
לקריאה נוספת: טיפול בחשיפות, אפס אמון ו-DevSecOpsקישור לשאלה הזו
איך המהנדסים שלכם ניגשים למערכות שלנו?
לכל מהנדס חשבון בשמו עם הזכויות שהמשימה צריכה בלבד, והוא נכנס עם מפתח אבטחה חומרתי. היכן שיש לכם תהליך לגישת מנהלים, אנחנו פועלים לפיו. הפעילות מתועדת, והגישה מוסרת כשהעבודה מסתיימת או כשמישהו עוזב את הפרויקט.
לקריאה נוספת: טיפול בחשיפות, אפס אמון ו-DevSecOpsקישור לשאלה הזו
מהו ניהול חשיפה לאיומים מתמשך?
תוכנית מתמשכת במקום בדיקה שנתית. היא שומרת רשימה עדכנית של מה שתוקף יכול להגיע אליו, מדרגת כל חשיפה לפי הסבירות שתנוצל ולפי מה שהיא תעלה לכם, ועוקבת אחרי כל תיקון עד שהוא נסגר. הסריקה פועלת ברציפות והבדיקה עוקבת אחרי כל שינוי מהותי.
לקריאה נוספת: טיפול בחשיפות, אפס אמון ו-DevSecOpsקישור לשאלה הזו
מהו תרגיל צוות אדום וכחול?
חזרה בתנאים אמיתיים. צוות אדום תוקף את המערכות שלכם בכללים מוסכמים, בעוד הצוות הכחול שלכם, האנשים שמזהים ומגיבים, מגן עליהן. אחר כך שני הצדדים סוקרים מה נמצא, מה הוחמץ וכמה זמן לקח כל שלב, ואתם מקבלים את השינויים שסוגרים את הפערים.
לקריאה נוספת: טיפול בחשיפות, אפס אמון ו-DevSecOpsקישור לשאלה הזו
האם אתם יכולים לנטר את רשתות ה-OT שלנו בלי לשבש את הפעילות?
כן. הניטור מתוכנן עם מהנדסי הבקרה שלכם כדי לצפות בתעבורת בקרה ולא לשנות אותה, וכל שינוי במערכות המפעל עוקב אחר נהלי השינוי והבטיחות שלכם. בטיחות וזמן פעילות קודמים לכל.
לקריאה נוספת: SOC/NOC מאוחד, חוסן סייבר והגנת OT/IoTקישור לשאלה הזו
מהו שחזור בחדר נקי?
שחזור מערכות לסביבה מבודדת תחילה, בדיקה שהמערכות והנתונים המשוחזרים נקיים מהתוקף, ורק אז החזרתם לפעולה. זה מונע משחזור להדביק מחדש את הרשת.
לקריאה נוספת: SOC/NOC מאוחד, חוסן סייבר והגנת OT/IoTקישור לשאלה הזו
מאיפה כדאי להתחיל באבטחת סייבר?
מהמערכות שהיו גורמות לנזק הגדול ביותר אילו הותקפו: בדרך כלל אלו שמחזיקות נתוני לקוחות או תשלומים, מעבירות כספים או מחזיקות את העסק בפעילות. הערכה ממוקדת שלהן מראה את החולשות החשובות ונותנת תוכנית מדורגת. אם אתם משתמשים בסוכני AI או מחזיקים נתונים שחייבים להישאר סודיים שנים, ביקורת האבטחה הפוסט־קוונטית וזו של הסוכנים היא הצעד הראשון הטבעי.
האם XSIS עצמה מוסמכת ISO 27001 או SOC 2?
אנחנו לא מצהירים על הסמכות משלנו. הפעילות שלנו, קוד המקור ועומסי הענן שאנחנו מפעילים עבור לקוחות יושבים על תשתית שהספקים שלה מחזיקים באישורים האלה, ואנחנו מהנדסים את המערכות שלכם כך שיעברו את הביקורות שאתם עומדים בפניהן. עמוד האבטחה והאמון שלנו מסביר איך.
האם אתם יכולים לעזור לנו לעמוד בתקן או ברגולציה?
כן. אנחנו משווים את הבקרות שלכם לתקן או לרגולציה שאתם חייבים לעמוד בהם, כמו DORA, NIS2, NCA ECC הסעודי או כללי SAMA, מראים את הפערים ועוזרים לסגור אותם. אתם שומרים ראיות שמבקר יכול לבדוק. אנחנו לא מסמיכים אתכם בעצמנו: הסמכה ניתנת על ידי גוף מוסמך, ואנחנו עוזרים לכם להתכונן לביקורת שלו.
מה ההבדל בין הערכת אבטחה למבחן חדירה?
הערכה בוחנת כיצד המערכות שלכם מתוכננות, מוגדרות ומופעלות, ומאתרת את הפערים מול שיטות עבודה טובות מוכרות. מבחן חדירה תוקף את המערכות במסגרת כללים מוסכמים, כדי להראות מה תוקף יכול היה להשיג בפועל. השניים עובדים הכי טוב יחד: ההערכה מראה את רוחב הבעיות, והמבחן מראה את עומקן.
האם בדיקות אבטחה עלולות לפגוע במערכות החיות שלנו?
אנחנו מתכננים את הבדיקות כך שיימנע נזק. המערכות, הזמנים והשיטות מוסכמים מראש. אנחנו בודקים בסביבה שאינה ייצור כשהיא דומה לייצור מספיק, ונמנעים מבדיקות משבשות אלא אם תאשרו אותן. איש קשר בשמכם יכול לעצור את הבדיקה בכל עת.
שאלות נוספות
- עבודה עם XSISאיך אנחנו מגנים על המערכות, הקוד והנתונים שלכם, היכן הנתונים נשמרים, כלי קידוד AI והגישה שאנחנו צריכים.13 שאלות
- תוכנה, AI ונתוניםהנתונים שלכם במודלי AI, הסבריות והטיה, מחסני נתונים, אבטחת ווב, מובייל וענן, והגירות בטוחות.6 שאלות
- AI ונתוניםלאן הנתונים שלכם מגיעים במודלי AI ובשירותים מנוהלים, מי מחזיק במפתחות, איך נוצרים נתוני בדיקה, והכללים שאתם חייבים לעמוד בהם.15 שאלות
- אינטגרציות ותעשיותגישת ERP, קובצי תשלומים, היקף PCI DSS, נתוני כרטיסים ומטופלים, הסכמה, Webhooks והכללים של כל תעשייה.24 שאלות
- עלות ותמחורמה קובע את העלות של פרויקט או צוות, ואיך אנחנו מעריכים.29 שאלות
- לוחות זמניםכמה זמן לוקח להתחיל ולספק עבודה, ומה משנה את זה.10 שאלות
- בעלות וחוזיםלמי שייכים הקוד, הנתונים והתוצאות, ואיך עובדים חוזים.22 שאלות
- צוותים ואיושמי עובד על הפרויקט שלכם, איך הם נבחרים ואיך צוותים משתנים.30 שאלות
- תהליך ותקשורתאיך העבודה מתוכננת, מדווחת ומתקבלת.121 שאלות
- טכנולוגיההפלטפורמות, התקנים והכלים שאיתם אנחנו עובדים.144 שאלות
- תמיכה ותפעולמה קורה אחרי העלייה לאוויר: תמיכה, ניטור ושינוי.29 שאלות
- אודות XSISמי אנחנו, היכן אנחנו ואיך ליצור איתנו קשר.6 שאלות
מתחילים בשיחה, לא בחוזה.
ספרו לנו מה אתם צריכים לבנות, לחבר או לאבטח. ארכיטקט עובר על זה איתכם, ואז ממליץ מאיפה להתחיל.
מה קורה עכשיו
תיאום מועד
הצוות שלנו שולח לכם דוא״ל לתיאום מועד למפגש.
מפגש ייעוץ מקדים
מפגש ייעוץ מקדים מקוון ללא עלות של 30 דקות: אנחנו עוברים איתכם על המטרות, המערכות והמגבלות שלכם.
סקירת מוכנות
במסגרת סקירת מוכנות ללא עלות בת 48 שעות, מהנדס ראשי בודק את הפרויקט שלכם מול הגדרת המוכנות בת שש הנקודות וממליץ על המסלול המתאים.
בחירת המסלול
פרויקטים עם היקף מוכן מקבלים הצעה מחייבת בתוך 3–5 ימי עסקים. פרויקטים בשלב הרעיון מתחילים ב-Blueprint Studio. מערכת חיה שנכשלת, אינה מתועדת או זקוקה לאינטגרציה מתחילה באבחון של 1–2 שבועות. ל-Blueprint Studio ולאבחון יש שכר טרחה קבוע, הנקוב בהצעה.