Segurança cibernética e quântica
Criptografia resistente a quântica, identidade de agentes de IA, confiança zero, inventários de software, monitoramento de OT e certificação de segurança.
21 perguntas
Os computadores quânticos ainda não quebram a criptografia. Por que agir agora?
Por causa de capturar agora, descriptografar depois. O tráfego gravado hoje pode ser descriptografado quando existir um computador quântico capaz, então dados que precisam ficar em segredo por anos já estão em risco. A migração também leva anos em um parque grande, e os roteiros nacionais de transição para a PQC já definem prazos para isso.
Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLink para esta pergunta
O que é uma lista de materiais criptográficos?
Uma CBOM relaciona todos os algoritmos criptográficos, chaves e certificados dos seus sistemas e onde cada um é usado, de modo semelhante a uma lista de materiais de software, que relaciona componentes. Ela mostra o que precisa mudar e permite comprovar a um auditor que nada vulnerável foi deixado para trás.
Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLink para esta pergunta
Os algoritmos pós-quânticos vão quebrar os nossos sistemas atuais?
Não se a mudança for feita em etapas. Chaves e assinaturas pós-quânticas são maiores, e alguns dispositivos e parceiros mais antigos ainda não as suportam. Usamos modos híbridos e uma PKI de pilha dupla durante a transição, testamos cada sistema com os seus parceiros e mantemos um caminho de reversão.
Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLink para esta pergunta
Para quais padrões vocês migram?
Para os padrões pós-quânticos do NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), aplicados em protocolos como o TLS 1.3. Alinhamos o plano aos roteiros nacionais de PQC e às regras setoriais que se aplicam a você, no Oriente Médio, na Europa e na Ásia.
Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLink para esta pergunta
O que é uma identidade não humana e por que ela importa para a IA?
Uma identidade não humana é qualquer conta, chave ou token usado por software em vez de uma pessoa: contas de serviço, chaves de API e agora agentes de IA. Elas são fáceis de criar e fáceis de esquecer, e muitas nunca expiram. Um agente de IA que age sozinho com uma chave dessas pode causar muito dano se for enganado ou se a chave for roubada.
Leia mais: Segurança de IA agêntica e identidade de agentes de IALink para esta pergunta
O que é injeção de prompt?
É um ataque que esconde instruções em conteúdo que um modelo de IA lê, como um e-mail, um documento ou uma página web, para que o modelo obedeça ao atacante em vez do seu usuário. O modelo sozinho não consegue impedir isso. A defesa combina salvaguardas nas entradas e saídas, agentes com acesso limitado e aprovação humana para ações sensíveis.
Leia mais: Segurança de IA agêntica e identidade de agentes de IALink para esta pergunta
Como funcionam as credenciais just-in-time para agentes?
Em vez de uma chave permanente, o agente pede acesso quando uma tarefa começa. Ele recebe uma credencial limitada a essa tarefa e a esse tempo, e a credencial expira quando a tarefa termina. Cada requisição é registrada, para que você veja qual agente fez o quê e em nome de quem.
Leia mais: Segurança de IA agêntica e identidade de agentes de IALink para esta pergunta
O que envolve um exercício de red team de IA?
Acordamos o escopo e as regras, e então atacamos os seus modelos e agentes como um adversário faria: jailbreaks, injeção de prompt, envenenamento de ferramentas e tentativas de extrair dados. Você recebe cada achado com os passos para reproduzi-lo, classificado por risco, e retestamos após as correções.
Leia mais: Segurança de IA agêntica e identidade de agentes de IALink para esta pergunta
Usamos um modelo hospedado de um grande provedor. Os nossos dados estão seguros?
Depende dos termos do provedor, da região em que ele roda e do que você envia. Revisamos esses três pontos, adicionamos controles de vazamento na frente do modelo e, quando os dados não podem sair da sua jurisdição, recomendamos um modelo soberano ou privado.
Leia mais: Segurança de IA agêntica e identidade de agentes de IALink para esta pergunta
Precisamos substituir a nossa VPN para adotar confiança zero?
Não de imediato. A confiança zero é introduzida em etapas, normalmente começando pelas aplicações mais sensíveis e pelo acesso de administrador. A VPN pode ficar para o que ainda precisa dela e é desativada quando nada mais depende dela.
Leia mais: Remediação de exposição, confiança zero e DevSecOpsLink para esta pergunta
O que é uma SBOM e por que precisamos de uma?
Uma lista de materiais de software relaciona todos os componentes e bibliotecas dentro de um software, com as suas versões. Quando uma nova vulnerabilidade é anunciada, ela diz rapidamente se você é afetado e onde. Regulamentações como o Cyber Resilience Act (CRA) da UE, e muitos clientes, agora a exigem.
Leia mais: Remediação de exposição, confiança zero e DevSecOpsLink para esta pergunta
Como os seus engenheiros acessam os nossos sistemas?
Cada engenheiro tem uma conta nominal com apenas os direitos de que a tarefa precisa e entra com uma chave de segurança de hardware. Quando você tem um processo para acesso de administrador, nós o seguimos. As sessões são registradas, e o acesso é removido quando o trabalho termina ou quando alguém deixa o projeto.
Leia mais: Remediação de exposição, confiança zero e DevSecOpsLink para esta pergunta
O que é gestão contínua da exposição a ameaças?
É um programa permanente em vez de um teste anual. Ele mantém uma lista atual do que um atacante poderia alcançar, classifica cada exposição pela probabilidade de ser usada e pelo custo que teria, e acompanha cada correção até o seu encerramento. As varreduras rodam continuamente e os testes acompanham cada mudança significativa.
Leia mais: Remediação de exposição, confiança zero e DevSecOpsLink para esta pergunta
O que é um exercício de red team e blue team?
É um ensaio em condições reais. Um red team ataca os seus sistemas dentro de regras acordadas, enquanto o seu blue team, as pessoas que detectam e respondem, os defende. Depois, os dois lados revisam o que foi encontrado, o que passou e quanto tempo cada etapa levou, e você recebe as mudanças que fecham as lacunas.
Leia mais: Remediação de exposição, confiança zero e DevSecOpsLink para esta pergunta
Vocês conseguem monitorar as nossas redes de OT sem interromper as operações?
Sim. O monitoramento é projetado com os seus engenheiros de controle para observar o tráfego de controle em vez de alterá-lo, e qualquer mudança nos sistemas da planta segue os seus procedimentos de mudança e segurança. Segurança e disponibilidade vêm primeiro.
Leia mais: SOC/NOC convergente, resiliência cibernética e defesa de OT/IoTLink para esta pergunta
O que é recuperação em sala limpa?
Restaurar os sistemas primeiro em um ambiente isolado, verificar que os sistemas e dados restaurados estão livres do atacante e só então devolvê-los ao serviço. Isso impede que uma recuperação reinfecte a rede.
Leia mais: SOC/NOC convergente, resiliência cibernética e defesa de OT/IoTLink para esta pergunta
Por onde devemos começar em cibersegurança?
Comece pelos sistemas que causariam mais dano se fossem atacados: normalmente os que guardam dados de clientes ou de pagamento, movimentam dinheiro ou mantêm o negócio funcionando. Uma avaliação focada neles mostra as fraquezas que importam e fornece um plano classificado. Se você usa agentes de IA ou guarda dados que precisam permanecer secretos por anos, a auditoria de segurança pós-quântica e de agentes é o primeiro passo natural.
A XSIS é certificada ISO 27001 ou SOC 2?
Não alegamos certificados próprios. Nossas operações, nosso código-fonte e as cargas de trabalho em nuvem que operamos para clientes ficam em infraestrutura cujos provedores detêm essas atestações, e projetamos os seus sistemas para passar nas auditorias que você enfrenta. Nossa página de segurança e confiança explica como.
Vocês podem nos ajudar a atender a um padrão ou regulamento de segurança?
Sim. Comparamos os seus controles com o padrão ou regulamento que você precisa atender, como DORA, NIS2, o NCA ECC saudita ou as regras da SAMA, mostramos as lacunas e ajudamos a fechá-las. Você mantém evidências que um auditor pode verificar. Não certificamos você: a certificação é concedida por um organismo acreditado, e ajudamos você a se preparar para a auditoria dele.
Qual é a diferença entre uma avaliação de segurança e um teste de intrusão?
Uma avaliação revisa como os seus sistemas são projetados, configurados e operados e encontra as lacunas em relação às boas práticas reconhecidas. Um teste de intrusão ataca os sistemas dentro de regras acordadas, para mostrar o que um invasor conseguiria alcançar de fato. Os dois funcionam melhor juntos: a avaliação mostra a amplitude dos problemas, e o teste mostra a profundidade.
Os testes de segurança podem prejudicar os nossos sistemas em produção?
Planejamos os testes para evitar danos. Os sistemas, horários e métodos são acordados com antecedência. Testamos em um ambiente que não é de produção quando ele se parece o suficiente com a produção, e evitamos testes disruptivos a menos que você os aprove. Um contato indicado do seu lado pode interromper o teste a qualquer momento.
Mais perguntas
- Trabalhar com a XSISComo protegemos os seus sistemas, código e dados, onde os dados ficam armazenados, ferramentas de codificação com IA e o acesso de que precisamos.13 perguntas
- Software, IA e dadosSeus dados em modelos de IA, explicabilidade e viés, data warehouses, segurança de web, mobile e nuvem e migrações seguras.6 perguntas
- IA e dadosPara onde vão os seus dados em modelos de IA e serviços gerenciados, quem detém as chaves, como os dados de teste são criados e as regras que você precisa atender.15 perguntas
- Integrações e setoresAcesso ao ERP, arquivos de pagamento, escopo PCI DSS, dados de cartão e de pacientes, consentimento, webhooks e as regras de cada setor.24 perguntas
- Custo e preçoO que determina o custo de um projeto ou de uma equipe e como estimamos.29 perguntas
- PrazosQuanto tempo o trabalho leva para começar e para ser entregue, e o que altera isso.10 perguntas
- Propriedade e contratosQuem é dono do código, dos dados e dos resultados, e como funcionam os contratos.22 perguntas
- Equipes e alocaçãoQuem trabalha no seu projeto, como é escolhido e como as equipes mudam.30 perguntas
- Processo e comunicaçãoComo o trabalho é planejado, relatado e aceito.121 perguntas
- TecnologiaAs plataformas, padrões e ferramentas com que trabalhamos.144 perguntas
- Suporte e operaçõesO que acontece após a entrada em produção: suporte, monitoramento e mudanças.29 perguntas
- Sobre a XSISQuem somos, onde estamos e como falar conosco.6 perguntas
Comece com uma conversa, não com um contrato.
Conte o que você precisa construir, conectar ou proteger. Um arquiteto analisa com você e recomenda por onde começar.
O que acontece a seguir
Definição do horário
Nossa equipe envia um e-mail para combinar o horário da sessão.
Sessão de pré-consultoria
Uma sessão on-line gratuita de pré-consultoria de 30 minutos: analisamos os seus objetivos, sistemas e restrições.
Avaliação de prontidão
Em uma avaliação de prontidão gratuita de 48 horas, um arquiteto principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda a trilha adequada.
Escolha da trilha
Projetos com escopo pronto recebem uma proposta vinculante em 3 a 5 dias úteis. Projetos em estágio de conceito começam no Blueprint Studio. Um sistema em produção com falhas, não documentado ou que precisa de integração começa com um diagnóstico de 1 a 2 semanas. O Blueprint Studio e o diagnóstico têm cada um uma taxa fixa, cotada na proposta.