21 個問題
量子電腦目前還無法破解加密，為什麼現在就要行動？
因為先蒐集後解密。今天蒐集留存的流量，在足以破解的量子電腦出現後即可被解密，因此必須多年保密的資料現在就已面臨風險。在大型 IT 環境中，遷移也需要數年時間，而各國的 PQC 過渡路線圖正在為此設定期限。
什麼是密碼學物料清單？
CBOM 列出您系統中每一項密碼演算法、金鑰與憑證及其使用位置，類似於軟體物料清單列出元件。它顯示哪些內容必須更換，也能讓您向稽核人員證明沒有殘留任何弱點。
後量子演算法會破壞我們現有的系統嗎？
只要分階段推進就不會。後量子金鑰與簽章體積更大，部分老舊裝置與合作夥伴目前尚無法處理。我們在過渡期間採用混合模式與雙堆疊 PKI，逐一系統與合作夥伴聯合測試，並保留回復路徑。
貴公司遷移到哪些標準？
NIST 後量子標準：FIPS 203（ML-KEM）、FIPS 204（ML-DSA）與 FIPS 205（SLH-DSA），應用於 TLS 1.3 等協定。我們會依適用於您的中東與北非、歐洲與亞洲各國 PQC 路線圖及產業規則調整計畫。
什麼是非人類身分？它對 AI 為何重要？
非人類身分是任何由軟體而非人使用的帳戶、金鑰或權杖：服務帳戶、API 金鑰，如今還包括 AI 智慧代理。它們易於建立、易於遺忘，而且許多永不過期。一個憑藉此類金鑰自主行動的 AI 智慧代理，一旦被誤導或金鑰被盜，可能造成巨大危害。
什麼是提示詞注入？
一種把指令隱藏進 AI 模型所讀取內容（如電子郵件、文件或網頁）的攻擊，使模型聽命於攻擊者而非其使用者。僅靠模型本身無法防範。防禦需要結合輸入與輸出防護欄、權限受限的智慧代理，以及對敏感操作的人工核准。
智慧代理的即時憑證如何運作？
智慧代理不再持有永久金鑰，而是在任務開始時申請存取權限。它獲得的憑證僅限該任務和該時段，任務結束後憑證即失效。每次請求都有日誌，因此您可以看清哪個智慧代理代表誰做了什麼。
AI 紅隊演練包括哪些內容？
我們約定範圍與規則，然後像對手一樣攻擊您的模型與智慧代理：越獄、提示詞注入、工具投毒以及資料竊取嘗試。您會收到每項發現及其重現步驟，並依風險分級；修復後我們會複測。
我們使用大型供應商的託管模型，我們的資料安全嗎？
這取決於該供應商的條款、其執行的區域以及您傳送的內容。我們會審查這三點，在模型前增加防外洩控制，並在資料不得離開您所在司法管轄區時，建議改用主權或私有模型。
採用零信任必須替換我們的 VPN 嗎？
不必立刻替換。零信任分階段引入，通常從最敏感的應用和管理員存取開始。仍需要 VPN 的部分可以保留，待沒有依賴後再停用。
什麼是 SBOM？我們為什麼需要它？
軟體物料清單列出軟體中每一個元件與庫及其版本。當新的漏洞公布時，它能迅速告知您是否受影響以及受影響的位置。《網路韌性法案》（CRA）等法規以及許多客戶現在都要求提供 SBOM。
貴公司的工程師如何存取我們的系統？
每位工程師都有具名帳戶，僅擁有任務所需的權限，並使用硬體安全金鑰登入。若您有管理員存取流程，我們遵循該流程。工作階段均留有日誌，工作結束或人員離開專案時即收回存取權限。
什麼是持續威脅暴露管理？
它是一項常態性計畫，而非年度測試。它維護攻擊者可能觸及範圍的即時清單，按被利用的可能性與可能造成的損失對每項暴露排序，並追蹤每項修復直至關閉。掃描持續進行，測試緊隨每次重大變更。
什麼是紅藍對抗演練？
一次貼近真實條件的演練。紅隊在約定規則內攻擊您的系統，負責偵測與回應的藍隊進行防禦。演練後雙方共同檢討發現了什麼、遺漏了什麼、每一步耗時多久，您會收到彌合差距所需的變更。
貴公司能在不干擾營運的情況下監控我們的 OT 網路嗎？
可以。監控方案與您的控制工程師共同設計，只觀測控制流量而不做改動，工廠系統上的任何變更都遵循您的變更與安全程序。安全與運作時間優先。
什麼是隔離復原？
先把系統復原到隔離環境中，確認復原後的系統與資料不含攻擊者痕跡，然後才恢復上線。這可以防止復原過程使網路再次感染。
資安工作應從何處開始？
從一旦遭攻擊傷害最大的系統開始：通常是儲存客戶或支付資料、處理資金流動或維持業務執行的系統。對這些系統進行聚焦的評估，能揭示真正重要的弱點，並給出已排定優先順序的計畫。若您使用 AI 智慧代理，或持有需長期保密的資料，後量子與智慧代理資安稽核是自然的起點。
XSIS 本身是否取得 ISO 27001 或 SOC 2 認證？
我們不宣稱自己持有這些認證。我們的營運、原始碼以及為客戶執行的雲端工作負載，均建置在由持有這些證明的供應商所提供的基礎設施上；我們按您面臨的稽核要求來設計您的系統。我們的資安與信任頁面說明了具體做法。
貴公司能幫助我們滿足某項資安標準或法規嗎？
可以。我們將您的控制措施與您必須滿足的標準或法規（例如 DORA、NIS2、沙烏地 NCA ECC 或 SAMA 規則）進行對照，指出差距並協助您彌補。您會保留可供稽核人員查核的證據。我們自身不頒發認證：認證由經認可的驗證機構授予，我們幫助您為稽核做好準備。
資安評估與滲透測試有何不同？
資安評估檢視系統的設計、設定與執行方式，對照公認的良好實務找出差距。滲透測試在約定規則內對系統發起攻擊，以展示攻擊者實際能夠觸及的範圍。兩者結合效果最好：評估呈現問題的廣度，測試呈現問題的深度。
資安測試會損害我們已上線的系統嗎？
我們規劃測試以避免損害。系統、時間與方法均事先議定。若非正式環境與正式環境足夠接近，我們會在非正式環境測試，並避免破壞性測試，除非您核准。您方指定聯絡人可隨時叫停測試。
更多問題
- 與 XSIS 合作我們如何保護您的系統、程式碼與資料，資料儲存在哪裡，AI 程式開發工具以及我們需要哪些存取權限。13 個問題
- 軟體、AI 與資料AI 模型中的資料、可解釋性與偏誤，資料倉儲、Web、行動與雲端資安，以及安全遷移。6 個問題
- AI 與資料您的資料在 AI 模型與託管服務中流向何處，誰持有金鑰，測試資料如何產生，以及您必須滿足的規則。15 個問題
- 整合與產業ERP 存取、付款檔案、PCI DSS 範圍、卡片與病患資料、同意、Webhook 以及各產業的規則。24 個問題
- 成本與定價專案或團隊的成本由什麼決定，以及我們如何估算。29 個問題
- 週期工作啟動與交付需要多久，以及哪些因素會改變週期。10 個問題
- 歸屬與合約程式碼、資料與成果歸誰所有，以及合約如何運作。22 個問題
- 團隊與人員誰參與您的專案、如何選拔，以及團隊如何變化。30 個問題
- 流程與溝通工作如何規劃、回報與驗收。121 個問題
- 技術我們使用的平台、標準與工具。144 個問題
- 支援與營運上線後會發生什麼：支援、監控與變更。29 個問題
- 關於 XSIS我們是誰、在哪裡，以及如何聯絡我們。6 個問題
從對話開始，而不是從合約開始。
告訴我們您需要建置、串接與防護什麼。架構師會與您逐項討論，然後建議從何處入手。
後續流程
約定時間
我們的團隊會透過電子郵件與您約定會談時間。
諮詢前會談
一次免費 30 分鐘線上預諮詢：我們盤點您的目標、系統與限制條件。
就緒評估
在免費 48 小時就緒評估中，首席架構師對照 6 項就緒定義檢查您的專案，並建議合適的路線。
選擇路線
範圍就緒的專案會收到一份有約束力的方案 3–5 個工作天內。概念階段的專案從 Blueprint Studio 開始。已上線系統若出現故障、缺乏文件或需要整合，則先進行 1–2 週 的診斷。Blueprint Studio 與診斷服務各收取固定費用，費用在方案中列明。