Keselamatan siber dan kuantum

Kerana tuai sekarang, nyahsulit kemudian. Trafik yang dirakam hari ini boleh dinyahsulit apabila komputer kuantum yang berkemampuan wujud, jadi data yang mesti kekal rahsia selama bertahun-tahun sudah berisiko. Penghijrahan juga mengambil masa bertahun-tahun dalam persekitaran yang besar, dan peta jalan peralihan PQC kebangsaan menetapkan tarikh akhir untuknya.

Baca lagi: Kriptografi pascakuantum dan penyulitan selamat kuantumPautkan ke soalan ini

CBOM menyenaraikan setiap algoritma kriptografi, kunci dan sijil dalam sistem anda serta di mana setiap satu digunakan, sama seperti senarai bahan perisian menyenaraikan komponen. Ia menunjukkan apa yang mesti diubah, dan membolehkan anda membuktikan kepada juruaudit bahawa tiada yang terdedah masih tertinggal.

Baca lagi: Kriptografi pascakuantum dan penyulitan selamat kuantumPautkan ke soalan ini

Tidak, jika perubahan itu berperingkat. Kunci dan tandatangan pascakuantum lebih besar, dan sesetengah peranti serta rakan kongsi lama belum dapat mengendalikannya. Kami menggunakan mod hibrid dan PKI tindanan berganda semasa peralihan, menguji setiap sistem terhadap rakan kongsinya, dan mengekalkan laluan pembatalan.

Baca lagi: Kriptografi pascakuantum dan penyulitan selamat kuantumPautkan ke soalan ini

Piawaian pascakuantum NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) dan FIPS 205 (SLH-DSA), digunakan dalam protokol seperti TLS 1.3. Kami menyelaraskan pelan itu dengan peta jalan PQC kebangsaan dan peraturan sektor yang terpakai kepada anda, di Timur Tengah, Eropah dan Asia.

Baca lagi: Kriptografi pascakuantum dan penyulitan selamat kuantumPautkan ke soalan ini

Identiti bukan manusia ialah mana-mana akaun, kunci atau token yang digunakan oleh perisian dan bukan oleh orang: akaun perkhidmatan, kunci API, dan kini ejen AI. Ia mudah dicipta dan mudah dilupakan, dan banyak yang tidak pernah tamat tempoh. Ejen AI yang bertindak sendiri dengan kunci sedemikian boleh mendatangkan banyak mudarat jika ia disesatkan atau kuncinya dicuri.

Baca lagi: Keselamatan AI agentik dan identiti ejen AIPautkan ke soalan ini

Serangan yang menyembunyikan arahan dalam kandungan yang dibaca oleh model AI, seperti e-mel, dokumen atau halaman web, supaya model mengikut penyerang dan bukan penggunanya. Ia tidak dapat dicegah oleh model semata-mata. Pertahanan menggabungkan pagar keselamatan pada input dan output, ejen dengan akses terhad, serta kelulusan manusia bagi tindakan sensitif.

Baca lagi: Keselamatan AI agentik dan identiti ejen AIPautkan ke soalan ini

Sebagai ganti kunci kekal, ejen meminta akses apabila sesuatu tugasan bermula. Ia menerima kelayakan terhad kepada tugasan dan masa itu, dan kelayakan itu tamat tempoh apabila tugasan berakhir. Setiap permintaan direkodkan, jadi anda dapat melihat ejen mana melakukan apa dan bagi pihak siapa.

Baca lagi: Keselamatan AI agentik dan identiti ejen AIPautkan ke soalan ini

Kami bersetuju tentang skop dan peraturan, kemudian menyerang model dan ejen anda seperti yang dilakukan oleh penyerang sebenar: pemintasan sekatan, suntikan gesaan, peracunan alat dan cubaan mengekstrak data. Anda menerima setiap penemuan bersama langkah untuk menghasilkannya semula, disusun mengikut risiko, dan kami menguji semula selepas pembetulan.

Baca lagi: Keselamatan AI agentik dan identiti ejen AIPautkan ke soalan ini

Ia bergantung pada terma penyedia, rantau tempat model itu beroperasi dan apa yang anda hantar kepadanya. Kami menyemak ketiga-tiganya, menambah kawalan kebocoran di hadapan model dan, jika data tidak boleh keluar dari bidang kuasa anda, menyarankan model berdaulat atau persendirian sebagai gantinya.

Baca lagi: Keselamatan AI agentik dan identiti ejen AIPautkan ke soalan ini

Tidak serentak. Tanpa kepercayaan diperkenalkan secara berperingkat, biasanya bermula dengan aplikasi paling sensitif dan akses pentadbir. VPN boleh kekal bagi apa yang masih memerlukannya dan ditamatkan apabila tiada lagi yang bergantung kepadanya.

Baca lagi: Pembaikan pendedahan, kepercayaan sifar dan DevSecOpsPautkan ke soalan ini

Senarai bahan perisian menyenaraikan setiap komponen dan pustaka di dalam sesuatu perisian, bersama versinya. Apabila kelemahan baharu diumumkan, ia memberitahu anda dengan pantas sama ada anda terjejas dan di mana. Peraturan seperti EU Cyber Resilience Act (CRA), dan banyak pelanggan, kini memintanya.

Baca lagi: Pembaikan pendedahan, kepercayaan sifar dan DevSecOpsPautkan ke soalan ini

Setiap jurutera mempunyai akaun bernama dengan hanya hak yang diperlukan oleh tugasan, dan log masuk dengan kunci keselamatan perkakasan. Di tempat anda mempunyai proses untuk akses pentadbir, kami mengikutinya. Sesi direkodkan, dan akses ditarik balik apabila kerja berakhir atau seseorang meninggalkan projek.

Baca lagi: Pembaikan pendedahan, kepercayaan sifar dan DevSecOpsPautkan ke soalan ini

Program berterusan dan bukan ujian tahunan. Ia mengekalkan senarai terkini tentang apa yang boleh dicapai penyerang, menyusun setiap pendedahan mengikut kebarangkalian ia digunakan dan kosnya kepada anda, serta menjejaki setiap pembaikan sehingga ditutup. Pengimbasan berjalan secara berterusan dan ujian menyusul selepas setiap perubahan penting.

Baca lagi: Pembaikan pendedahan, kepercayaan sifar dan DevSecOpsPautkan ke soalan ini

Latihan dalam keadaan sebenar. Pasukan merah menyerang sistem anda dalam peraturan yang dipersetujui, manakala pasukan biru anda, iaitu orang yang mengesan dan bertindak balas, mempertahankannya. Selepas itu kedua-dua pihak menyemak apa yang ditemui, apa yang terlepas dan berapa lama setiap langkah mengambil masa, dan anda menerima perubahan yang menutup jurang itu.

Baca lagi: Pembaikan pendedahan, kepercayaan sifar dan DevSecOpsPautkan ke soalan ini

Boleh. Pemantauan direka bentuk bersama jurutera kawalan anda untuk memerhati trafik kawalan dan bukan mengubahnya, dan apa-apa perubahan pada sistem loji mengikut prosedur perubahan dan keselamatan anda. Keselamatan dan masa operasi diutamakan.

Baca lagi: SOC/NOC tertumpu, ketahanan siber dan pertahanan OT/IoTPautkan ke soalan ini

Memulihkan sistem ke persekitaran terasing terlebih dahulu, memeriksa bahawa sistem dan data yang dipulihkan bebas daripada penyerang, dan hanya kemudian mengembalikannya ke perkhidmatan. Ia menghalang pemulihan daripada menjangkiti rangkaian sekali lagi.

Baca lagi: SOC/NOC tertumpu, ketahanan siber dan pertahanan OT/IoTPautkan ke soalan ini

Mulakan dengan sistem yang paling merugikan jika diserang: biasanya yang menyimpan data pelanggan atau pembayaran, menggerakkan wang atau memastikan perniagaan berjalan. Penilaian tertumpu ke atasnya menunjukkan kelemahan yang penting dan memberikan anda pelan bersusun. Jika anda menggunakan ejen AI atau menyimpan data yang mesti kekal rahsia bertahun-tahun, audit keselamatan pascakuantum dan ejen ialah langkah pertama yang wajar.

Baca lagi: Siber dan KuantumPautkan ke soalan ini

Kami tidak mendakwa memiliki sijil sendiri. Operasi, kod sumber dan beban kerja awan yang kami jalankan untuk klien terletak di atas infrastruktur yang penyedianya memegang pengesahan tersebut, dan kami mereka bentuk sistem anda untuk lulus audit yang anda hadapi. Halaman keselamatan dan kepercayaan kami menerangkannya.

Baca lagi: Siber dan KuantumPautkan ke soalan ini

Boleh. Kami membandingkan kawalan anda dengan piawaian atau peraturan yang mesti anda penuhi, seperti DORA, NIS2, NCA ECC Arab Saudi atau peraturan SAMA, menunjukkan jurang dan membantu anda menutupnya. Anda menyimpan bukti yang boleh disemak juruaudit. Kami tidak memperakui anda sendiri: pensijilan diberikan oleh badan bertauliah, dan kami membantu anda bersedia untuk auditnya.

Baca lagi: Siber dan KuantumPautkan ke soalan ini

Penilaian menyemak cara sistem anda direka, dikonfigurasi dan dijalankan, serta mencari jurang berbanding amalan baik yang diiktiraf. Ujian penembusan menyerang sistem dalam peraturan yang dipersetujui, untuk menunjukkan apa yang sebenarnya boleh dicapai penyerang. Kedua-duanya paling berkesan bersama: penilaian menunjukkan keluasan masalah, ujian menunjukkan kedalamannya.

Baca lagi: Siber dan KuantumPautkan ke soalan ini

Kami merancang ujian untuk mengelakkan kemudaratan. Sistem, masa dan kaedah dipersetujui terlebih dahulu. Kami menguji dalam persekitaran bukan pengeluaran apabila ia cukup menyerupai pengeluaran, dan mengelakkan ujian yang mengganggu melainkan anda meluluskannya. Seorang kenalan bernama di pihak anda boleh menghentikan ujian pada bila-bila masa.

Baca lagi: Siber dan KuantumPautkan ke soalan ini