Cyberbezpieczeństwo i bezpieczeństwo kwantowe

Z powodu zbierania teraz i odszyfrowania później. Ruch nagrany dziś można odszyfrować, gdy powstanie wystarczająco zdolny komputer kwantowy, więc dane, które muszą pozostać tajne przez lata, są już zagrożone. Migracja w dużym środowisku zajmuje też lata, a krajowe plany przejścia na PQC wyznaczają terminy.

Więcej: Kryptografia postkwantowa i szyfrowanie bezpieczne kwantowoOdnośnik do tego pytania

CBOM wymienia każdy algorytm kryptograficzny, klucz i certyfikat w Państwa systemach oraz miejsce użycia każdego z nich, podobnie jak wykaz materiałów oprogramowania wymienia komponenty. Pokazuje, co trzeba zmienić, i pozwala dowieść audytorowi, że nie zostało nic podatnego.

Więcej: Kryptografia postkwantowa i szyfrowanie bezpieczne kwantowoOdnośnik do tego pytania

Nie, jeśli zmiana jest etapowa. Klucze i podpisy postkwantowe są większe, a niektóre starsze urządzenia i partnerzy nie obsługują ich jeszcze. Stosujemy tryby hybrydowe i podwójny stos PKI w okresie przejściowym, testujemy każdy system z jego partnerami i utrzymujemy ścieżkę wycofania.

Więcej: Kryptografia postkwantowa i szyfrowanie bezpieczne kwantowoOdnośnik do tego pytania

Do standardów postkwantowych NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) i FIPS 205 (SLH-DSA), stosowanych w protokołach takich jak TLS 1.3. Plan dopasowujemy do krajowych planów PQC i przepisów sektorowych, które Państwa dotyczą, na Bliskim Wschodzie, w Europie i Azji.

Więcej: Kryptografia postkwantowa i szyfrowanie bezpieczne kwantowoOdnośnik do tego pytania

Tożsamość nie-ludzka to każde konto, klucz lub token używany przez oprogramowanie zamiast osoby: konta usług, klucze API, a teraz agenci AI. Łatwo je tworzyć i łatwo zapomnieć, a wiele nigdy nie wygasa. Agent AI działający samodzielnie z takim kluczem może wyrządzić wiele szkody, jeśli zostanie oszukany lub klucz zostanie skradziony.

Więcej: Bezpieczeństwo agentów AI i tożsamość agentów AIOdnośnik do tego pytania

Atak ukrywający polecenia w treści czytanej przez model AI, takiej jak e-mail, dokument lub strona internetowa, aby model słuchał napastnika, a nie użytkownika. Nie da się temu zapobiec samym modelem. Obrona łączy bariery na wejściach i wyjściach, agentów z ograniczonym dostępem i zatwierdzanie wrażliwych działań przez człowieka.

Więcej: Bezpieczeństwo agentów AI i tożsamość agentów AIOdnośnik do tego pytania

Zamiast stałego klucza agent prosi o dostęp na początku zadania. Otrzymuje dane uwierzytelniające ograniczone do tego zadania i czasu, które wygasają po jego zakończeniu. Każde żądanie jest rejestrowane, więc widać, który agent co zrobił i w czyim imieniu.

Więcej: Bezpieczeństwo agentów AI i tożsamość agentów AIOdnośnik do tego pytania

Uzgadniamy zakres i reguły, a potem atakujemy Państwa modele i agentów jak napastnik: jailbreak, wstrzykiwanie poleceń, zatrucie narzędzi i próby wyciągnięcia danych. Otrzymują Państwo każde ustalenie z krokami odtworzenia, uszeregowane według ryzyka, a po poprawkach ponownie testujemy.

Więcej: Bezpieczeństwo agentów AI i tożsamość agentów AIOdnośnik do tego pytania

To zależy od warunków dostawcy, regionu działania i tego, co mu wysyłają Państwo. Analizujemy te trzy elementy, dodajemy kontrole wycieku przed modelem i, gdy dane nie mogą opuścić Państwa jurysdykcji, rekomendujemy model suwerenny lub prywatny.

Więcej: Bezpieczeństwo agentów AI i tożsamość agentów AIOdnośnik do tego pytania

Nie od razu. Zero trust wprowadzamy etapami, zwykle zaczynając od najbardziej wrażliwych aplikacji i dostępu administratorów. VPN może zostać tam, gdzie nadal jest potrzebny, i jest wycofywany, gdy nic od niego nie zależy.

Więcej: Remediacja ekspozycji, zero trust i DevSecOpsOdnośnik do tego pytania

Wykaz materiałów oprogramowania wymienia każdy komponent i bibliotekę w danym oprogramowaniu wraz z wersją. Gdy ogłaszana jest nowa podatność, szybko mówi, czy Państwa ona dotyczy i gdzie. Przepisy, takie jak unijny akt o cyberodporności (CRA), i wielu klientów wymagają go teraz.

Więcej: Remediacja ekspozycji, zero trust i DevSecOpsOdnośnik do tego pytania

Każdy inżynier ma imienne konto z uprawnieniami tylko do potrzebnego zadania i loguje się kluczem bezpieczeństwa sprzętowego. Gdy mają Państwo proces dostępu administratorów, stosujemy się do niego. Sesje są rejestrowane, a dostęp jest odbierany po zakończeniu pracy lub odejściu osoby z projektu.

Więcej: Remediacja ekspozycji, zero trust i DevSecOpsOdnośnik do tego pytania

Stały program zamiast corocznego testu. Utrzymuje bieżącą listę tego, do czego mógłby dotrzeć napastnik, szereguje każdą ekspozycję według prawdopodobieństwa wykorzystania i kosztu oraz śledzi każdą poprawkę do zamknięcia. Skanowanie działa ciągle, a testowanie następuje po każdej istotnej zmianie.

Więcej: Remediacja ekspozycji, zero trust i DevSecOpsOdnośnik do tego pytania

Próbą w rzeczywistych warunkach. Red team atakuje Państwa systemy w uzgodnionych regułach, a blue team, czyli osoby wykrywające i reagujące, broni ich. Potem obie strony przeglądają, co znaleziono, co pominięto i ile trwał każdy krok, a Państwo otrzymują zmiany zamykające luki.

Więcej: Remediacja ekspozycji, zero trust i DevSecOpsOdnośnik do tego pytania

Tak. Monitoring projektujemy z Państwa inżynierami sterowania tak, aby obserwować ruch sterowania, a nie go zmieniać, a każda zmiana w systemach zakładu podlega Państwa procedurom zmian i bezpieczeństwa. Bezpieczeństwo i czas działania są najważniejsze.

Więcej: Połączone SOC/NOC, cyberodporność i obrona OT/IoTOdnośnik do tego pytania

Najpierw odtworzenie systemów w odizolowanym środowisku, sprawdzenie, że odtworzone systemy i dane są wolne od napastnika, a dopiero potem przywrócenie ich do pracy. To powstrzymuje ponowne zainfekowanie sieci przez odtwarzanie.

Więcej: Połączone SOC/NOC, cyberodporność i obrona OT/IoTOdnośnik do tego pytania

Prosimy zacząć od systemów, których atak bolałby najbardziej: zwykle tych, które przechowują dane klientów lub płatności, przemieszczają pieniądze lub utrzymują firmę w działaniu. Skupiona ocena pokazuje słabości, które mają znaczenie, i daje uszeregowany plan. Jeśli korzystają Państwo z agentów AI lub przechowują dane, które muszą pozostać tajne przez lata, audyt postkwantowy i bezpieczeństwa agentów jest naturalnym pierwszym krokiem.

Więcej: Cyberbezpieczeństwo i technologie kwantoweOdnośnik do tego pytania

Nie twierdzimy, że posiadamy własne certyfikaty. Nasze operacje, kod źródłowy i obciążenia chmurowe prowadzone dla klientów działają na infrastrukturze, której dostawcy mają takie atestacje, a Państwa systemy projektujemy tak, aby przechodziły audyty, przed którymi stoją Państwo. Wyjaśnia to nasza strona bezpieczeństwa i zaufania.

Więcej: Cyberbezpieczeństwo i technologie kwantoweOdnośnik do tego pytania

Tak. Porównujemy Państwa kontrole ze standardem lub przepisem, który muszą Państwo spełnić, takim jak DORA, NIS2, saudyjskie NCA ECC lub zasady SAMA, pokazujemy luki i pomagamy je zamknąć. Zachowują Państwo dowody, które audytor może sprawdzić. Nie certyfikujemy Państwa sami: certyfikację przyznaje akredytowany organ, a my pomagamy się do jego audytu przygotować.

Więcej: Cyberbezpieczeństwo i technologie kwantoweOdnośnik do tego pytania

Ocena przegląda sposób projektowania, konfiguracji i prowadzenia systemów i znajduje luki względem uznanych dobrych praktyk. Test penetracyjny atakuje systemy w uzgodnionych regułach, aby pokazać, do czego atakujący mógłby rzeczywiście dotrzeć. Oba działają najlepiej razem: ocena pokazuje szerokość problemów, test — ich głębokość.

Więcej: Cyberbezpieczeństwo i technologie kwantoweOdnośnik do tego pytania

Planujemy testy tak, aby nie szkodziły. Systemy, terminy i metody są uzgadniane z góry. Testujemy w środowisku nieprodukcyjnym, gdy wystarczająco przypomina produkcję, i unikamy testów zakłócających, chyba że je Państwo zatwierdzą. Imienny kontakt po Państwa stronie może w każdej chwili zatrzymać test.

Więcej: Cyberbezpieczeństwo i technologie kwantoweOdnośnik do tego pytania