Segurança cibernética e quântica

Por causa de colher agora, desencriptar depois. O tráfego gravado hoje pode ser desencriptado quando existir um computador quântico capaz, por isso dados que precisam ficar em segredo por anos já estão em risco. A migração também leva anos num parque grande, e os roteiros nacionais de transição para a PQC já definem prazos para isso.

Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLigação para esta pergunta

Uma CBOM relaciona todos os algoritmos criptográficos, chaves e certificados dos seus sistemas e onde cada um é usado, de forma parecida com uma lista de materiais de software para componentes. Ela mostra o que precisa mudar e permite comprovar a um auditor que nada vulnerável foi deixado para trás.

Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLigação para esta pergunta

Não se a mudança for feita em etapas. Chaves e assinaturas pós-quânticas são maiores, e alguns dispositivos e parceiros mais antigos ainda não as suportam. Usamos modos híbridos e uma PKI de pilha dupla durante a transição, testamos cada sistema com os seus parceiros e mantemos um caminho de reversão.

Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLigação para esta pergunta

Para os padrões pós-quânticos do NIST: FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), aplicados em protocolos como o TLS 1.3. Alinhamos o plano aos roteiros nacionais de PQC e às regras setoriais que se aplicam a si, no Médio Oriente, na Europa e na Ásia.

Leia mais: Criptografia pós-quântica e criptografia resistente a quânticaLigação para esta pergunta

Uma identidade não humana é qualquer conta, chave ou token usado por software em vez de uma pessoa: contas de serviço, chaves de API e agora agentes de IA. Elas são fáceis de criar e fáceis de esquecer, e muitas nunca expiram. Um agente de IA que age sozinho com uma chave dessas pode causar muito dano se for enganado ou se a chave for roubada.

Leia mais: Segurança de IA agêntica e identidade de agentes de IALigação para esta pergunta

É um ataque que esconde instruções em conteúdo que um modelo de IA lê, como um e-mail, um documento ou uma página web, para que o modelo obedeça ao atacante em vez do seu utilizador. O modelo sozinho não consegue impedir isso. A defesa combina salvaguardas nas entradas e saídas, agentes com acesso limitado e aprovação humana para ações sensíveis.

Leia mais: Segurança de IA agêntica e identidade de agentes de IALigação para esta pergunta

Em vez de uma chave permanente, o agente pede acesso quando uma tarefa começa. Ele recebe uma credencial limitada a essa tarefa e a esse tempo, e a credencial expira quando a tarefa termina. Cada pedido é registado, para que veja qual agente fez o quê e em nome de quem.

Leia mais: Segurança de IA agêntica e identidade de agentes de IALigação para esta pergunta

Acordamos o âmbito e as regras, e então atacamos os seus modelos e agentes como um adversário faria: jailbreaks, injeção de prompt, envenenamento de ferramentas e tentativas de extrair dados. Recebe cada achado com os passos para reproduzi-lo, classificado por risco, e retestamos após as correções.

Leia mais: Segurança de IA agêntica e identidade de agentes de IALigação para esta pergunta

Depende dos termos do fornecedor, da região em que ele corre e do que envia. Revisamos esses três pontos, adicionamos controlos de fuga na frente do modelo e, quando os dados não podem sair da sua jurisdição, recomendamos um modelo soberano ou privado.

Leia mais: Segurança de IA agêntica e identidade de agentes de IALigação para esta pergunta

Não de imediato. A confiança zero é introduzida em etapas, normalmente começando pelas aplicações mais sensíveis e pelo acesso de administrador. A VPN pode ficar para o que ainda precisa dela e é desativada quando nada mais depende dela.

Leia mais: Remediação de exposição, confiança zero e DevSecOpsLigação para esta pergunta

Uma lista de materiais de software relaciona todos os componentes e bibliotecas dentro de um software, com as suas versões. Quando uma nova vulnerabilidade é anunciada, ela diz rapidamente se é afetado e onde. Regulamentações como o Regulamento de Ciberresiliência da UE (CRA), e muitos clientes, agora a exigem.

Leia mais: Remediação de exposição, confiança zero e DevSecOpsLigação para esta pergunta

Cada engenheiro tem uma conta nominal com apenas os direitos de que a tarefa precisa e entra com uma chave de segurança de hardware. Quando tem um processo para acesso de administrador, nós o seguimos. As sessões são registadas, e o acesso é removido quando o trabalho termina ou quando alguém deixa o projeto.

Leia mais: Remediação de exposição, confiança zero e DevSecOpsLigação para esta pergunta

É um programa permanente em vez de um teste anual. Ele mantém uma lista atual do que um atacante poderia alcançar, classifica cada exposição pela probabilidade de ser usada e pelo custo que teria, e acompanha cada correção até o seu encerramento. As análises correm continuamente e os testes acompanham cada mudança significativa.

Leia mais: Remediação de exposição, confiança zero e DevSecOpsLigação para esta pergunta

É um ensaio em condições reais. Uma equipa vermelha ataca os seus sistemas dentro de regras acordadas, enquanto a sua equipa azul, as pessoas que detectam e respondem, os defende. Depois, os dois lados revisam o que foi encontrado, o que passou e quanto tempo cada etapa levou, e recebe as mudanças que fecham as lacunas.

Leia mais: Remediação de exposição, confiança zero e DevSecOpsLigação para esta pergunta

Sim. A monitorização é projetada com os seus engenheiros de controlo para observar o tráfego de controlo em vez de alterá-lo, e qualquer mudança nos sistemas da planta segue os seus procedimentos de mudança e segurança. Segurança e disponibilidade vêm primeiro.

Leia mais: SOC/NOC convergente, resiliência cibernética e defesa de OT/IoTLigação para esta pergunta

Restaurar os sistemas primeiro num ambiente isolado, verificar que os sistemas e dados restaurados estão livres do atacante e só então devolvê-los ao serviço. Isso impede que uma recuperação reinfecte a rede.

Leia mais: SOC/NOC convergente, resiliência cibernética e defesa de OT/IoTLigação para esta pergunta

Comece pelos sistemas que causariam mais dano se fossem atacados: normalmente os que guardam dados de clientes ou de pagamento, movimentam dinheiro ou mantêm o negócio a funcionar. Uma avaliação focada neles mostra as fraquezas que importam e fornece um plano classificado. Se usa agentes de IA ou guarda dados que precisam permanecer secretos por anos, a auditoria de segurança pós-quântica e de agentes é o primeiro passo natural.

Leia mais: Cibersegurança e QuânticaLigação para esta pergunta

Não alegamos certificados próprios. As nossas operações, o nosso código-fonte e as cargas de trabalho em nuvem que operamos para clientes ficam em infraestrutura cujos fornecedores detêm essas atestações, e projetamos os seus sistemas para passar nas auditorias que enfrenta. A nossa página de segurança e confiança explica como.

Leia mais: Cibersegurança e QuânticaLigação para esta pergunta

Sim. Comparamos os seus controlos com o padrão ou regulamento que precisa atender, como DORA, NIS2, o NCA ECC saudita ou as regras da SAMA, mostramos as lacunas e ajudamos a fechá-las. Mantém evidências que um auditor pode verificar. Não certificamos: a certificação é concedida por um organismo acreditado, e ajudamos a preparar-se para a auditoria.

Leia mais: Cibersegurança e QuânticaLigação para esta pergunta

Uma avaliação revisa como os seus sistemas são projetados, configurados e operados e encontra as lacunas em relação às boas práticas reconhecidas. Um teste de intrusão ataca os sistemas dentro de regras acordadas, para mostrar o que um invasor conseguiria alcançar de facto. Os dois funcionam melhor juntos: a avaliação mostra a amplitude dos problemas, e o teste mostra a profundidade.

Leia mais: Cibersegurança e QuânticaLigação para esta pergunta

Planeamos os testes para evitar danos. Os sistemas, horários e métodos são acordados com antecedência. Testamos num ambiente que não é de produção quando ele se parece o suficiente com a produção, e evitamos testes disruptivos a menos que os aprove. Um contacto indicado do seu lado pode interromper o teste a qualquer momento.

Leia mais: Cibersegurança e QuânticaLigação para esta pergunta