Kiber- és kvantumbiztonság

A „most begyűjt, később visszafejt” támadás miatt. A ma rögzített forgalom visszafejthető, amint létezik erre képes kvantumszámítógép, így az évekig titokban tartandó adatok már most veszélyben vannak. Egy nagy rendszerkörnyezet migrációja ráadásul évekig tart, a nemzeti PQC-átállási ütemtervek pedig határidőket szabnak rá.

Tovább: Posztkvantum-kriptográfia és kvantumbiztos titkosításHivatkozás erre a kérdésre

A CBOM felsorolja a rendszereiben található összes kriptográfiai algoritmust, kulcsot és tanúsítványt, és azt is, hol használják őket, hasonlóan ahhoz, ahogy a szoftver-anyagjegyzék a komponenseket. Megmutatja, minek kell változnia, és lehetővé teszi, hogy egy auditornak igazolja: nem maradt sebezhető elem.

Tovább: Posztkvantum-kriptográfia és kvantumbiztos titkosításHivatkozás erre a kérdésre

Nem, ha a változtatás szakaszosan történik. A posztkvantum-kulcsok és -aláírások nagyobbak, és néhány régebbi eszköz és partner még nem tudja kezelni őket. Az átállás alatt hibrid módokat és kettős veremű PKI-t használunk, minden rendszert tesztelünk a partnereivel együtt, és megtartjuk a visszaállítás lehetőségét.

Tovább: Posztkvantum-kriptográfia és kvantumbiztos titkosításHivatkozás erre a kérdésre

A NIST posztkvantum-szabványaira: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) és FIPS 205 (SLH-DSA), olyan protokollokban alkalmazva, mint a TLS 1.3. A tervet az Önre vonatkozó nemzeti PQC-ütemtervekhez és ágazati szabályokhoz igazítjuk a Közel-Keleten, Európában és Ázsiában.

Tovább: Posztkvantum-kriptográfia és kvantumbiztos titkosításHivatkozás erre a kérdésre

A nem emberi identitás bármely fiók, kulcs vagy token, amelyet szoftver használ ember helyett: szolgáltatásfiókok, API-kulcsok, és ma már MI-ágensek. Könnyen létrehozhatók és könnyen feledésbe merülnek, és sok közülük soha nem jár le. Egy ilyen kulccsal önállóan cselekvő MI-ágens nagy kárt okozhat, ha félrevezetik, vagy ha ellopják a kulcsát.

Tovább: Ágens alapú MI biztonsága és MI-ágensek identitásaHivatkozás erre a kérdésre

Olyan támadás, amely utasításokat rejt egy MI-modell által olvasott tartalomba, például egy e-mailbe, dokumentumba vagy weboldalba, így a modell a felhasználója helyett a támadót követi. Ezt a modell önmagában nem képes megakadályozni. A védelem a bemenetekre és kimenetekre vonatkozó védőkorlátokat, a korlátozott hozzáférésű ágenseket és az érzékeny műveletek emberi jóváhagyását kombinálja.

Tovább: Ágens alapú MI biztonsága és MI-ágensek identitásaHivatkozás erre a kérdésre

Állandó kulcs helyett az ágens a feladat indulásakor kér hozzáférést. Egy arra a feladatra és időtartamra korlátozott hitelesítő adatot kap, amely a feladat végén lejár. Minden kérést naplózunk, így láthatja, melyik ágens mit tett, és kinek a nevében.

Tovább: Ágens alapú MI biztonsága és MI-ágensek identitásaHivatkozás erre a kérdésre

Megállapodunk a hatókörről és a szabályokról, majd úgy támadjuk a modelljeit és ágenseit, ahogy egy ellenfél tenné: jailbreakkel, promptinjekcióval, eszközmérgezéssel és adatkinyerési kísérletekkel. Minden megállapítást megkap a reprodukálás lépéseivel, kockázat szerint rangsorolva, a javítások után pedig újratesztelünk.

Tovább: Ágens alapú MI biztonsága és MI-ágensek identitásaHivatkozás erre a kérdésre

A szolgáltató feltételeitől, a futtatási régiótól és attól függ, mit küld neki. Ezt a hármat vizsgáljuk felül, szivárgásvédelmi ellenőrzéseket teszünk a modell elé, és ahol az adatok nem hagyhatják el az Ön joghatóságát, szuverén vagy privát modellt javasolunk helyette.

Tovább: Ágens alapú MI biztonsága és MI-ágensek identitásaHivatkozás erre a kérdésre

Nem egyszerre. A zero trustot szakaszosan vezetjük be, általában a legérzékenyebb alkalmazásokkal és az adminisztrátori hozzáféréssel kezdve. A VPN maradhat ott, ahol még szükség van rá, és akkor vonjuk ki, amikor semmi nem függ tőle.

Tovább: Kitettségek felszámolása, zero trust és DevSecOpsHivatkozás erre a kérdésre

A szoftver-anyagjegyzék felsorolja egy szoftver minden komponensét és könyvtárát a verziójukkal együtt. Amikor új sebezhetőséget jelentenek be, gyorsan megmutatja, érintett-e, és hol. Az olyan szabályozások, mint az EU Cyber Resilience Act (CRA), és sok ügyfél ma már megköveteli.

Tovább: Kitettségek felszámolása, zero trust és DevSecOpsHivatkozás erre a kérdésre

Minden mérnöknek névre szóló fiókja van, csak a feladathoz szükséges jogokkal, és hardveres biztonsági kulccsal jelentkezik be. Ha Önnek van saját folyamata az adminisztrátori hozzáférésre, azt követjük. A munkameneteket naplózzuk, a hozzáférést pedig a munka végén vagy akkor vonjuk vissza, amikor valaki kilép a projektből.

Tovább: Kitettségek felszámolása, zero trust és DevSecOpsHivatkozás erre a kérdésre

Éves teszt helyett állandó program. Naprakész listát vezet arról, mit érhet el egy támadó, minden kitettséget aszerint rangsorol, mennyire valószínű a kihasználása és mibe kerülne Önnek, és minden javítást a lezárásáig követ. A vizsgálat folyamatosan fut, a tesztelés pedig minden jelentős változtatást követ.

Tovább: Kitettségek felszámolása, zero trust és DevSecOpsHivatkozás erre a kérdésre

Valós körülmények közötti próba. A red team a megállapodott szabályok szerint támadja a rendszereit, míg az Ön blue teamje, vagyis az észlelésért és reagálásért felelős munkatársai, védi őket. Utána mindkét fél áttekinti, mit találtak, mit nem vettek észre, és mennyi ideig tartottak az egyes lépések, Ön pedig megkapja a hiányosságokat megszüntető változtatásokat.

Tovább: Kitettségek felszámolása, zero trust és DevSecOpsHivatkozás erre a kérdésre

Igen. A monitorozást az Ön vezérléstechnikai mérnökeivel együtt úgy tervezzük, hogy a vezérlőforgalmat megfigyelje, ne módosítsa, az üzemi rendszereken végzett bármilyen változtatás pedig az Ön változáskezelési és biztonsági eljárásait követi. Az üzembiztonság és a rendelkezésre állás az első.

Tovább: Konvergált SOC/NOC, kiberreziliencia és OT/IoT-védelemHivatkozás erre a kérdésre

A rendszereket először egy elszigetelt környezetbe állítjuk vissza, ellenőrizzük, hogy a visszaállított rendszerekben és adatokban nincs nyoma a támadónak, és csak ezután helyezzük vissza őket üzembe. Így a helyreállítás nem fertőzi meg újra a hálózatot.

Tovább: Konvergált SOC/NOC, kiberreziliencia és OT/IoT-védelemHivatkozás erre a kérdésre

Azokkal a rendszerekkel kezdje, amelyek elleni támadás a legnagyobb kárt okozná: általában azokkal, amelyek ügyfél- vagy fizetési adatokat tárolnak, pénzt mozgatnak vagy az üzletmenetet működtetik. Egy ezekre összpontosító felmérés megmutatja a valóban fontos gyengeségeket, és rangsorolt tervet ad. Ha MI-ágenseket használ, vagy évekig titokban tartandó adatokat őriz, a posztkvantum- és ágensbiztonsági audit a természetes első lépés.

Tovább: Kiber- és kvantumbiztonságHivatkozás erre a kérdésre

Nem állítjuk, hogy saját tanúsítványokkal rendelkeznénk. Működésünk, forráskódunk és az ügyfeleknek futtatott felhős munkaterheléseink olyan infrastruktúrán futnak, amelynek szolgáltatói rendelkeznek ezekkel az igazolásokkal, az Ön rendszereit pedig úgy tervezzük, hogy átmenjenek az Ön előtt álló auditokon. Biztonsági és bizalmi oldalunk ismerteti, hogyan.

Tovább: Kiber- és kvantumbiztonságHivatkozás erre a kérdésre

Igen. Összevetjük a kontrolljait azzal a szabvánnyal vagy jogszabállyal, amelynek meg kell felelnie, például a DORA-val, a NIS2-vel, a szaúdi NCA ECC-vel vagy a SAMA szabályaival, megmutatjuk a hiányosságokat, és segítünk megszüntetni őket. Önnél maradnak az auditor által ellenőrizhető bizonyítékok. Mi magunk nem tanúsítjuk Önt: a tanúsítványt akkreditált szervezet adja ki, mi pedig segítünk felkészülni az auditjára.

Tovább: Kiber- és kvantumbiztonságHivatkozás erre a kérdésre

A felmérés azt vizsgálja, hogyan tervezték, konfigurálták és működtetik a rendszereit, és megmutatja az eltéréseket az elismert bevált gyakorlattól. A behatolási teszt a rendszereket támadja meg egyeztetett szabályokon belül, hogy megmutassa, mit érhetne el valójában egy támadó. A kettő együtt működik a legjobban: a felmérés a problémák szélességét, a teszt a mélységüket mutatja meg.

Tovább: Kiber- és kvantumbiztonságHivatkozás erre a kérdésre

A tesztelést úgy tervezzük, hogy elkerüljük a károkat. A rendszereket, az időpontokat és a módszereket előre egyeztetjük. Ha egy nem éles környezet kellően hasonlít az éleshez, abban tesztelünk, a működést zavaró teszteket pedig csak az Ön jóváhagyásával végezzük. Az Ön oldalán kijelölt kapcsolattartó bármikor leállíthatja a tesztet.

Tovább: Kiber- és kvantumbiztonságHivatkozás erre a kérdésre