ความปลอดภัยไซเบอร์และควอนตัม
การเข้ารหัสที่ปลอดภัยต่อควอนตัม ตัวตนของเอเจนต์ AI Zero Trust บัญชีรายการซอฟต์แวร์ การเฝ้าระวัง OT และการรับรองความปลอดภัย
21 คำถาม
คอมพิวเตอร์ควอนตัมยังถอดรหัสไม่ได้ ทำไมต้องลงมือตอนนี้
เพราะการเก็บวันนี้ถอดรหัสภายหลัง ทราฟฟิกที่บันทึกวันนี้ถอดรหัสได้เมื่อมีคอมพิวเตอร์ควอนตัมที่พร้อม ข้อมูลที่ต้องเป็นความลับหลายปีจึงเสี่ยงอยู่แล้ว การย้ายระบบในระบบขนาดใหญ่ยังใช้เวลาหลายปี และแผนที่นำทางการเปลี่ยนผ่าน PQC ของแต่ละประเทศกำลังกำหนดเส้นตาย
อ่านเพิ่มเติม: การเข้ารหัสหลังควอนตัมและการเข้ารหัสที่ปลอดภัยต่อควอนตัมลิงก์ไปยังคำถามนี้
รายการวัสดุการเข้ารหัสคืออะไร
CBOM แสดงรายการอัลกอริทึมการเข้ารหัส กุญแจ และใบรับรองทุกชิ้นในระบบของคุณและตำแหน่งที่ใช้ คล้ายกับรายการวัสดุซอฟต์แวร์ที่แสดงองค์ประกอบ ช่วยให้เห็นว่าต้องเปลี่ยนอะไร และพิสูจน์ต่อผู้ตรวจสอบได้ว่าไม่เหลือสิ่งที่มีช่องโหว่
อ่านเพิ่มเติม: การเข้ารหัสหลังควอนตัมและการเข้ารหัสที่ปลอดภัยต่อควอนตัมลิงก์ไปยังคำถามนี้
อัลกอริทึมหลังควอนตัมจะทำให้ระบบเดิมของเราเสียหรือไม่
ไม่ หากทำการเปลี่ยนแปลงเป็นระยะ กุญแจและลายมือชื่อหลังควอนตัมมีขนาดใหญ่กว่า และอุปกรณ์เก่าบางรุ่นกับพันธมิตรบางรายยังรองรับไม่ได้ เราใช้โหมดไฮบริดและ PKI แบบสองสแตกระหว่างการเปลี่ยนผ่าน ทดสอบแต่ละระบบกับพันธมิตร และรักษาเส้นทางย้อนกลับ
อ่านเพิ่มเติม: การเข้ารหัสหลังควอนตัมและการเข้ารหัสที่ปลอดภัยต่อควอนตัมลิงก์ไปยังคำถามนี้
คุณย้ายไปสู่มาตรฐานใด
มาตรฐานหลังควอนตัมของ NIST ได้แก่ FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) และ FIPS 205 (SLH-DSA) ใช้ในโปรโตคอล เช่น TLS 1.3 เราจัดแผนให้สอดคล้องกับแผนที่นำทาง PQC ระดับประเทศและกฎเฉพาะสาขาที่ใช้กับคุณ ในตะวันออกกลาง ยุโรป และเอเชีย
อ่านเพิ่มเติม: การเข้ารหัสหลังควอนตัมและการเข้ารหัสที่ปลอดภัยต่อควอนตัมลิงก์ไปยังคำถามนี้
ตัวตนที่ไม่ใช่มนุษย์คืออะไร และทำไมจึงสำคัญกับ AI
ตัวตนที่ไม่ใช่มนุษย์คือบัญชี กุญแจ หรือโทเคนใดๆ ที่ซอฟต์แวร์ใช้แทนคน ได้แก่ service account, API key และตอนนี้คือเอเจนต์ AI สร้างง่ายและลืมง่าย และหลายตัวไม่เคยหมดอายุ เอเจนต์ AI ที่ทำงานเองด้วยกุญแจลักษณะนี้สามารถก่อความเสียหายได้มากหากถูกหลอกหรือกุญแจถูกขโมย
อ่านเพิ่มเติม: ความปลอดภัยของ AI เชิงเอเจนต์และตัวตนของเอเจนต์ AIลิงก์ไปยังคำถามนี้
prompt injection คืออะไร
การโจมตีที่ซ่อนคำสั่งในเนื้อหาที่โมเดล AI อ่าน เช่น อีเมล เอกสาร หรือเว็บเพจ เพื่อให้โมเดลทำตามผู้โจมตีแทนผู้ใช้ โมเดลเพียงลำพังป้องกันไม่ได้ การป้องกันต้องผสานแนวป้องกันที่อินพุตและเอาต์พุต เอเจนต์ที่มีสิทธิ์จำกัด และการอนุมัติโดยมนุษย์สำหรับการกระทำที่ละเอียดอ่อน
อ่านเพิ่มเติม: ความปลอดภัยของ AI เชิงเอเจนต์และตัวตนของเอเจนต์ AIลิงก์ไปยังคำถามนี้
ข้อมูลรับรองแบบทันทีทันใดทำงานกับเอเจนต์อย่างไร
แทนกุญแจถาวร เอเจนต์ขอสิทธิ์เมื่อเริ่มงาน ได้รับข้อมูลรับรองที่จำกัดเฉพาะงานและเวลานั้น และข้อมูลรับรองหมดอายุเมื่องานจบ ทุกคำขอถูกบันทึก คุณจึงเห็นว่าเอเจนต์ใดทำอะไรและในนามของใคร
อ่านเพิ่มเติม: ความปลอดภัยของ AI เชิงเอเจนต์และตัวตนของเอเจนต์ AIลิงก์ไปยังคำถามนี้
การทดสอบเจาะระบบ AI ประกอบด้วยอะไรบ้าง
เราตกลงขอบเขตและกฎ แล้วโจมตีโมเดลและเอเจนต์ของคุณแบบที่ผู้โจมตีทำ ได้แก่ jailbreak, prompt injection, tool poisoning และความพยายามดึงข้อมูล คุณได้รับทุกข้อค้นพบพร้อมขั้นตอนทำซ้ำ จัดอันดับตามความเสี่ยง และเราทดสอบซ้ำหลังการแก้ไข
อ่านเพิ่มเติม: ความปลอดภัยของ AI เชิงเอเจนต์และตัวตนของเอเจนต์ AIลิงก์ไปยังคำถามนี้
เราใช้โมเดลแบบโฮสต์จากผู้ให้บริการรายใหญ่ ข้อมูลของเรปลอดภัยหรือไม่
ขึ้นอยู่กับเงื่อนไขของผู้ให้บริการ ภูมิภาคที่ให้บริการ และสิ่งที่คุณส่งไป เราทบทวนทั้งสามเรื่อง เพิ่มการควบคุมการรั่วไหลหน้าโมเดล และเมื่อข้อมูลออกนอกเขตอำนาจของคุณไม่ได้ เราแนะนำโมเดลอธิปไตยหรือโมเดลส่วนตัวแทน
อ่านเพิ่มเติม: ความปลอดภัยของ AI เชิงเอเจนต์และตัวตนของเอเจนต์ AIลิงก์ไปยังคำถามนี้
เราต้องเปลี่ยน VPN เพื่อนำ Zero Trust มาใช้หรือไม่
ไม่จำเป็นต้องเปลี่ยนในทันที Zero trust ถูกนำมาใช้เป็นระยะ ปกติเริ่มจากแอปพลิเคชันที่ละเอียดอ่อนที่สุดและการเข้าถึงของผู้ดูแลระบบ VPN ยังใช้ได้กับสิ่งที่ยังต้องใช้ และเลิกใช้เมื่อไม่มีอะไรพึ่งพาแล้ว
อ่านเพิ่มเติม: การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOpsลิงก์ไปยังคำถามนี้
SBOM คืออะไร และทำไมเราต้องมี
รายการวัสดุซอฟต์แวร์แสดงรายการองค์ประกอบและไลบรารีทุกชิ้นในซอฟต์แวร์หนึ่งชิ้นพร้อมเวอร์ชัน เมื่อมีช่องโหว่ใหม่ประกาศออกมา รายการนี้บอกได้อย่างรวดเร็วว่าคุณได้รับผลกระทบหรือไม่และที่ใด กฎระเบียบ เช่น Cyber Resilience Act (CRA) ของสหภาพยุโรป และลูกค้าจำนวนมากกำหนดให้มี
อ่านเพิ่มเติม: การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOpsลิงก์ไปยังคำถามนี้
วิศวกรของคุณเข้าถึงระบบของเราอย่างไร
วิศวกรแต่ละคนมีบัญชีระบุชื่อที่มีสิทธิ์เฉพาะเท่าที่งานต้องใช้ และเข้าสู่ระบบด้วยกุญแจความปลอดภัยแบบฮาร์ดแวร์ เมื่อคุณมีขั้นตอนสำหรับการเข้าถึงของผู้ดูแลระบบ เราทำตามขั้นตอนนั้น เซสชันถูกบันทึก และสิทธิ์ถูกถอดเมื่องานจบหรือมีคนออกจากโครงการ
อ่านเพิ่มเติม: การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOpsลิงก์ไปยังคำถามนี้
การบริหารการเปิดเผยต่อภัยคุกคามอย่างต่อเนื่องคืออะไร
โครงการต่อเนื่องแทนการทดสอบปีละครั้ง มีรายการปัจจุบันว่าผู้โจมตีเข้าถึงอะไรได้ จัดอันดับแต่ละการเปิดเผยตามโอกาสที่จะถูกใช้งานและความเสียหายที่จะเกิดกับคุณ และติดตามทุกการแก้ไขจนกว่าจะปิด การสแกนทำงานต่อเนื่องและการทดสอบทำตามทุกการเปลี่ยนแปลงสำคัญ
อ่านเพิ่มเติม: การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOpsลิงก์ไปยังคำถามนี้
การฝึกซ้อมทีมแดงและทีมน้ำเงินคืออะไร
การซ้อมภายใต้สภาพจริง ทีมแดงโจมตีระบบของคุณภายใต้กฎที่ตกลงกัน ขณะที่ทีมน้ำเงินซึ่งเป็นผู้ตรวจจับและตอบสนองป้องกันระบบ หลังจากนั้นทั้งสองฝ่ายทบทวนสิ่งที่พบ สิ่งที่พลาด และเวลาที่ใช้ในแต่ละขั้น และคุณได้รับการเปลี่ยนแปลงที่ปิดช่องว่าง
อ่านเพิ่มเติม: การแก้ไขจุดเสี่ยง Zero Trust และ DevSecOpsลิงก์ไปยังคำถามนี้
คุณเฝ้าระวังเครือข่าย OT ของเราโดยไม่รบกวนการดำเนินงานได้หรือไม่
ได้ การเฝ้าระวังออกแบบร่วมกับวิศวกรควบคุมของคุณเพื่อสังเกตทราฟฟิกควบคุมแทนการเปลี่ยน และการเปลี่ยนแปลงใดในระบบโรงงานเป็นไปตามขั้นตอนการเปลี่ยนแปลงและความปลอดภัยของคุณ ความปลอดภัยและเวลาทำงานมาก่อน
อ่านเพิ่มเติม: SOC/NOC รวมศูนย์ ความยืดหยุ่นทางไซเบอร์ และการป้องกัน OT/IoTลิงก์ไปยังคำถามนี้
การกู้คืนในห้องสะอาดคืออะไร
การกู้คืนระบบเข้าสู่สภาพแวดล้อมแยกก่อน ตรวจสอบว่าระบบและข้อมูลที่กู้คืนปลอดจากผู้โจมตี แล้วจึงนำกลับมาใช้งาน วิธีนี้ป้องกันการกู้คืนที่ทำให้เครือข่ายติดเชื้อซ้ำ
อ่านเพิ่มเติม: SOC/NOC รวมศูนย์ ความยืดหยุ่นทางไซเบอร์ และการป้องกัน OT/IoTลิงก์ไปยังคำถามนี้
เราควรเริ่มต้นด้านความปลอดภัยไซเบอร์จากที่ใด
เริ่มจากระบบที่จะเสียหายมากที่สุดหากถูกโจมตี ซึ่งมักเป็นระบบที่เก็บข้อมูลลูกค้าหรือข้อมูลการชำระเงิน เคลื่อนย้ายเงิน หรือทำให้ธุรกิจดำเนินต่อได้ การประเมินระบบเหล่านั้นอย่างมุ่งเป้าจะแสดงจุดอ่อนที่สำคัญและให้แผนที่จัดอันดับแล้ว หากคุณใช้เอเจนต์ AI หรือเก็บข้อมูลที่ต้องเป็นความลับนานหลายปี การตรวจสอบด้านหลังควอนตัมและความปลอดภัยของเอเจนต์คือก้าวแรกที่เป็นธรรมชาติ
XSIS เองได้รับการรับรอง ISO 27001 หรือ SOC 2 หรือไม่
เราไม่อ้างว่าเราได้รับการรับรองด้วยตนเอง การดำเนินงาน ซอร์สโค้ด และภาระงานคลาวด์ที่เราดำเนินการให้ลูกค้าอยู่บนโครงสร้างพื้นฐานที่ผู้ให้บริการมีการรับรองเหล่านั้น และเราออกแบบระบบของคุณให้ผ่านการตรวจสอบที่คุณต้องเผชิญ หน้าเพื่อความมั่นใจและความปลอดภัยของเราอธิบายไว้
คุณช่วยให้เราผ่านมาตรฐานหรือกฎระเบียบด้านความปลอดภัยได้หรือไม่
ได้ เราเปรียบเทียบการควบคุมของคุณกับมาตรฐานหรือกฎระเบียบที่คุณต้องปฏิบัติตาม เช่น DORA, NIS2, Saudi NCA ECC หรือกฎของ SAMA แสดงช่องว่าง และช่วยคุณปิดช่องว่างเหล่านั้น คุณเก็บหลักฐานที่ผู้ตรวจสอบตรวจสอบได้ เราไม่ได้ให้การรับรองด้วยตนเอง การรับรองออกโดยหน่วยงานที่ได้รับการรับรอง และเราช่วยคุณเตรียมตัวสำหรับการตรวจสอบ
การประเมินความปลอดภัยกับการทดสอบเจาะระบบต่างกันอย่างไร
การประเมินตรวจสอบว่าระบบของคุณถูกออกแบบ กำหนดค่า และดำเนินงานอย่างไร และหาช่องว่างเทียบกับแนวปฏิบัติที่ดีที่ยอมรับกัน การทดสอบเจาะระบบโจมตีระบบภายใต้กฎที่ตกลงไว้ เพื่อแสดงสิ่งที่ผู้โจมตีเข้าถึงได้จริง ทั้งสองอย่างทำงานร่วมกันได้ดีที่สุด: การประเมินแสดงความกว้างของปัญหา การทดสอบแสดงความลึก
การทดสอบความปลอดภัยอาจเป็นอันตรายต่อระบบที่ใช้งานอยู่หรือไม่
เราวางแผนการทดสอบเพื่อหลีกเลี่ยงอันตราย ระบบ เวลา และวิธีการตกลงล่วงหน้า เราทดสอบในสภาพแวดล้อมที่ไม่ใช่ระบบใช้งานจริงเมื่อสภาพแวดล้อมนั้นใกล้เคียงเพียงพอ และหลีกเลี่ยงการทดสอบที่รบกวนเว้นแต่คุณอนุมัติ ผู้ติดต่อที่ระบุชื่อฝั่งคุณสามารถหยุดการทดสอบได้ทุกเมื่อ
คำถามเพิ่มเติม
- การทำงานกับ XSISเราปกป้องระบบ โค้ด และข้อมูลของคุณอย่างไร ข้อมูลเก็บที่ไหน เครื่องมือเขียนโค้ด AI และการเข้าถึงที่เราต้องการ13 คำถาม
- ซอฟต์แวร์ AI และข้อมูลข้อมูลของคุณในโมเดล AI ความสามารถในการอธิบายและอคติ คลังข้อมูล ความปลอดภัยของเว็บ มือถือ และคลาวด์ และการย้ายระบบอย่างปลอดภัย6 คำถาม
- AI และข้อมูลข้อมูลของคุณไปที่ไหนในโมเดล AI และบริการที่จัดการให้ ใครถือกุญแจ ข้อมูลทดสอบสร้างอย่างไร และกฎที่คุณต้องปฏิบัติตาม15 คำถาม
- การเชื่อมต่อระบบและกลุ่มอุตสาหกรรมการเข้าถึง ERP ไฟล์การชำระเงิน ขอบเขต PCI DSS ข้อมูลบัตรและผู้ป่วย ความยินยอม webhook และกฎของแต่ละอุตสาหกรรม24 คำถาม
- ต้นทุนและราคาอะไรเป็นตัวกำหนดต้นทุนของโครงการหรือทีม และเราประเมินอย่างไร29 คำถาม
- กรอบเวลางานใช้เวลาเริ่มและส่งมอบนานเท่าใด และอะไรทำให้เปลี่ยน10 คำถาม
- ความเป็นเจ้าของและสัญญาใครเป็นเจ้าของโค้ด ข้อมูล และผลลัพธ์ และสัญญาทำงานอย่างไร22 คำถาม
- ทีมและการจัดกำลังคนใครทำงานในโครงการของคุณ พวกเขาถูกเลือกอย่างไร และทีมเปลี่ยนอย่างไร30 คำถาม
- กระบวนการและการสื่อสารงานถูกวางแผน รายงาน และตรวจรับอย่างไร121 คำถาม
- เทคโนโลยีแพลตฟอร์ม มาตรฐาน และเครื่องมือที่เราใช้144 คำถาม
- การสนับสนุนและการดำเนินงานเกิดอะไรขึ้นหลังเปิดใช้งานจริง: การสนับสนุน การเฝ้าระวัง และการเปลี่ยนแปลง29 คำถาม
- เกี่ยวกับ XSISเราคือใคร อยู่ที่ไหน และจะติดต่อเราได้อย่างไร6 คำถาม
เริ่มต้นด้วยการพูดคุย ไม่ใช่สัญญา
บอกเราว่าคุณต้องการสร้าง เชื่อมต่อ หรือรักษาความปลอดภัยอะไร สถาปนิกจะพิจารณาร่วมกับคุณ แล้วแนะนำว่าควรเริ่มที่ใด
ขั้นตอนถัดไป
การนัดหมายเวลา
ทีมของเราส่งอีเมลถึงคุณเพื่อนัดหมายเวลาสำหรับการปรึกษา
การปรึกษาก่อนเริ่มงาน
การปรึกษาก่อนเริ่มงานออนไลน์ฟรี 30 นาที: เราพูดคุยถึงเป้าหมาย ระบบ และข้อจำกัดของคุณ
การทบทวนความพร้อม
ในการทบทวนความพร้อมฟรี 48 ชั่วโมง สถาปนิกหลักจะตรวจสอบโครงการของคุณเทียบกับนิยามของความพร้อม 6 ข้อ และแนะนำแนวทางที่เหมาะที่สุด
การเลือกแนวทาง
โครงการที่ขอบเขตพร้อมจะได้รับข้อเสนอที่มีผลผูกพัน ภายใน 3 ถึง 5 วันทำการ โครงการในระยะแนวคิดจะเริ่มใน Blueprint Studio ระบบที่ใช้งานอยู่แต่มีปัญหา ไม่มีเอกสาร หรือต้องเชื่อมต่อ จะเริ่มด้วยการวินิจฉัยระยะเวลา 1 ถึง 2 สัปดาห์ Blueprint Studio และการวินิจฉัยต่างมีค่าธรรมเนียมคงที่ ซึ่งระบุไว้ในข้อเสนอ