Cyberbezpieczeństwo i technologie kwantowe
Remediacja ekspozycji, zero trust i DevSecOps
Ustalić, do czego mógłby dotrzeć napastnik, naprawiać to po kolei i utrzymać zamknięte
Zbyt wiele dróg wejścia
Napastnicy szukają najłatwiejszej drogi: wystawionej usługi, ponownie użytego hasła, niezałatanej serwera lub aplikacji ufającej swoim danym wejściowym. Większość organizacji wie, że ma słabości. Niewiele wie, które liczą się najbardziej, a lista rośnie szybciej, niż zespoły nadążają z łataniem.
Sieci zbudowane na zaufaniu to pogarszają. Gdy napastnik jest już w środku, płaska sieć pozwala mu przechodzić z systemu do systemu.
Co się zmienia
Ekspozycja, którą widać
Bieżący, uszeregowany widok tego, do czego mógłby dotrzeć napastnik, zamiast rocznego raportu nieaktualnego w chwili dostarczenia.
Naruszenia, które zostają małe
Każde żądanie jest sprawdzane, a systemy podzielone, więc jedno przejęte konto lub serwer nie otwiera reszty.
Bezpieczny kod domyślnie
Kontrole bezpieczeństwa działają w każdym potoku, więc podatności są wychwytywane przed wydaniem, a nie po.
Co dostarczamy
Ciągłe zarządzanie ekspozycją na zagrożenia
Ciągłe zarządzanie ekspozycją na zagrożenia (CTEM) to stały program, który znajduje, szereguje i naprawia to, do czego mógłby dotrzeć napastnik, w aplikacjach, kontach chmurowych, sieciach i tożsamościach.
Autonomiczna naprawa ekspozycji i automatyczne łatanie
Typowe ekspozycje naprawiane automatycznie przez przetestowane potoki, takie jak poprawki, niebezpieczne ustawienia i wygasłe certyfikaty, z osobą zatwierdzającą wszystko, co mogłoby zakłócić usługę.
Dostęp sieciowy zero trust
Zero trust oznacza, że żaden użytkownik, urządzenie ani usługa nie są zaufane z powodu miejsca połączenia. Dostęp sieciowy zero trust (ZTNA) sprawdza tożsamość i stan urządzenia przy każdym żądaniu i zastępuje szeroki dostęp VPN.
Mikrosegmentacja
Systemy rozdzielone na małe strefy z pisanymi regułami, co może się z czym łączyć, aby intruz nie poruszał się swobodnie.
DevSecOps
Sejfy sekretów, automatyczny wykaz materiałów oprogramowania (SBOM) dla każdej kompilacji, skanowanie zależności i kontenerów oraz audyty kodu wpisane w Państwa potok dostarczania.
Ciągłe testy penetracyjne i bezpieczeństwo API
Aplikacje, interfejsy API i infrastruktura testowane tak, jak testowałby je napastnik, po każdej istotnej zmianie, z każdym ustaleniem opisanym tak, aby można je było odtworzyć.
Ćwiczenia red i blue team
Red team atakuje w uzgodnionych regułach, a Państwa blue team broni, więc uczycie się, jak dobrze działają wykrywanie i reagowanie pod presją.
Jak przebiega praca
Uzgodnić zakres i reguły
Uzgadniamy, które systemy są w zakresie, jak prowadzimy testy, kogo informujemy i jak przerywamy, gdy system jest zagrożony.
Zmapować ekspozycję
Analizujemy architekturę, konfiguracje, dostępy i kod oraz testujemy systemy tak, jak zrobiłby to napastnik.
Uszeregować ustalenia
Szeregujemy każde ustalenie według prawdopodobieństwa i wpływu, wyjaśniamy je prostym językiem i uzgadniamy kolejność poprawek.
Naprawić i automatyzować
Naprawiamy ustalenia z Państwa zespołem, automatyzujemy powtarzające się poprawki i etapami wprowadzamy dostęp zero trust oraz segmentację.
Testować ponownie, ciągle
Ponownie testujemy każdą poprawkę i testujemy dalej wraz ze zmianami systemów.
Jak dowodzimy tego we własnej pracy
Sami tak pracujemy. Każdy inżynier XSIS loguje się kluczem bezpieczeństwa sprzętowego przez tunele sieciowe zero trust, które stale sprawdzają urządzenie.
- Bezpieczeństwo i kryptografia
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Standardy i przepisy
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Jak zacząć
Co dalej
Sesja przeddoradcza
To bezpłatna 30-minutowa konsultacja wstępna online: omawiamy Państwa cele, systemy i ograniczenia.
Ocena gotowości
To bezpłatna 48-godzinna ocena gotowości: główny architekt sprawdza projekt pod kątem 6-punktowej definicji gotowości i rekomenduje dopasowaną ścieżkę.
Wybór ścieżki
Projekty gotowe zakresowo otrzymują wiążącą ofertę w ciągu 3–5 dni roboczych. Projekty na etapie koncepcji zaczynają się w Blueprint Studio. Działający system, który zawodzi, nie ma dokumentacji lub wymaga integracji, zaczyna się od diagnostyki: 1–2 tygodnie. Blueprint Studio i diagnostyka mają stałą opłatę podaną w ofercie.
Dostarczanie w pięciu etapach
Mobilizacja, sprinty z demonstracjami na żywo, integracja i utwardzanie, odbiór i uruchomienie produkcyjne, a następnie usługi zarządzane. Po starcie następuje okres gwarancji, a następnie opcjonalne wsparcie i utrzymanie.
Projekty z ustalonym rezultatem i całodobowe usługi zarządzane
Dostarczanie o stałym zakresie, oparte na kamieniach milowych, ze wskazanymi liderami realizacji oraz całodobowe usługi zarządzane aplikacjami pod nadzorem SLA.
Osadzeni specjaliści i wzmocnienie strategiczne
Inżynierowie główni i specjaliści nearshore i na miejscu oraz osadzeni architekci rozwiązań, transformacji, PQC i integracji.
Najszybszą drogą jest pakiet Audyt bezpieczeństwa postkwantowego (CBOM) i agentów, jeden z naszych szybkich pakietów współpracy.
Od czego zacząćPytania i odpowiedzi
Czy musimy wymienić VPN, aby wdrożyć zero trust?
Nie od razu. Zero trust wprowadzamy etapami, zwykle zaczynając od najbardziej wrażliwych aplikacji i dostępu administratorów. VPN może zostać tam, gdzie nadal jest potrzebny, i jest wycofywany, gdy nic od niego nie zależy.
Czym jest SBOM i po co go potrzebujemy?
Wykaz materiałów oprogramowania wymienia każdy komponent i bibliotekę w danym oprogramowaniu wraz z wersją. Gdy ogłaszana jest nowa podatność, szybko mówi, czy Państwa ona dotyczy i gdzie. Przepisy, takie jak unijny akt o cyberodporności (CRA), i wielu klientów wymagają go teraz.
Jak Państwa inżynierowie uzyskują dostęp do naszych systemów?
Każdy inżynier ma imienne konto z uprawnieniami tylko do potrzebnego zadania i loguje się kluczem bezpieczeństwa sprzętowego. Gdy mają Państwo proces dostępu administratorów, stosujemy się do niego. Sesje są rejestrowane, a dostęp jest odbierany po zakończeniu pracy lub odejściu osoby z projektu.
Czym jest ciągłe zarządzanie ekspozycją na zagrożenia?
Stały program zamiast corocznego testu. Utrzymuje bieżącą listę tego, do czego mógłby dotrzeć napastnik, szereguje każdą ekspozycję według prawdopodobieństwa wykorzystania i kosztu oraz śledzi każdą poprawkę do zamknięcia. Skanowanie działa ciągle, a testowanie następuje po każdej istotnej zmianie.
Czym jest ćwiczenie red i blue team?
Próbą w rzeczywistych warunkach. Red team atakuje Państwa systemy w uzgodnionych regułach, a blue team, czyli osoby wykrywające i reagujące, broni ich. Potem obie strony przeglądają, co znaleziono, co pominięto i ile trwał każdy krok, a Państwo otrzymują zmiany zamykające luki.
Gotowi do budowy? Prosimy poprosić o ofertę.
Prosimy przesłać wymagania lub RFP. Nasi architekci je weryfikują i zwracają wiążącą ofertę o stałym zakresie.
Co dalej
Ocena gotowości
To bezpłatna 48-godzinna ocena gotowości: główny architekt sprawdza projekt pod kątem 6-punktowej definicji gotowości i rekomenduje dopasowaną ścieżkę.
Wiążąca oferta
Najpierw walidacja architektury bez ponoszenia kosztów, a następnie wiążąca oferta o stałym zakresie w ciągu 3–5 dni roboczych: kamienie milowe, architektura, struktura zespołu i SLA. Na życzenie podpisujemy z Państwem umowę o zachowaniu poufności (NDA), zanim przekażą Państwo wymagania.
Mobilizacja
Po podpisaniu umowy nasze zespoły inżynierskie rozpoczynają Sprint 0 w ciągu 5–10 dni roboczych od podpisania umowy.
Dostarczanie w pięciu etapach
Mobilizacja, sprinty z demonstracjami na żywo, integracja i utwardzanie, odbiór i uruchomienie produkcyjne, a następnie usługi zarządzane. Po starcie następuje okres gwarancji, a następnie opcjonalne wsparcie i utrzymanie.