概述
XSIS 資安與量子保護金融機構、政府機關與關鍵基礎設施，應對眼前的網路威脅與迫近的量子解密風險。
藉由KONG GROUP的密碼軟體工程能力，我們進行自動化密碼學物料清單（CBOM）盤點，並推動向 NIST 標準化的後量子密碼全面遷移。
適用對象
資安長
後量子遷移計畫、AI 智慧代理資安，以及依風險排序的暴露面，並附可供稽核的證據。
網路防禦負責人
全天候值守的整合式 SOC 與 NOC，具備威脅獵捕與自動化回應。
關鍵基礎設施或 OT 負責人
兼顧工廠安全與正常運作時間的 OT、SCADA 與 IoT 防禦。
風險長
面對 DORA、NIS2 與各國網路規則的韌性，以及經過演練的復原計畫。
能力
後量子密碼與量子安全加密
密碼資產發現與 CBOM 稽核、NIST PQC 遷移（FIPS 203、204、205）、量子安全 TLS、VPN 與 PKI、密碼敏捷性與 HSM 整合。
智慧代理 AI 資安與 AI 智慧代理身分
針對 AI 智慧代理的非人類身分與即時核發憑證、AI 紅隊測試與提示詞注入防禦，以及 LLM 資料外洩防護。
暴露面修復、零信任與 DevSecOps
持續性威脅暴露管理、零信任網路架構、含 SBOM 與掃描的 DevSecOps，以及持續滲透測試。
融合 SOC/NOC、網路韌性與 OT/IoT 防禦
由 AI 驅動的全天候值守 SOC 與 NOC，涵蓋威脅獵捕、OT、SCADA 與 IoT 資安，以及含事件回應待命合約的勒索軟體韌性。
資安工作從何處開始
多數組織知道自己存在弱點。很少有人清楚哪些最要緊，或該按什麼順序修復。以下是常見的起點，以及各自對應的服務。
評估、測試與修復
以攻擊者的方式檢視並測試您的應用程式、API、雲與網路，每項發現均依風險排序，並與您的團隊一起修復。持續滲透測試、紅藍隊演練與暴露面管理屬於「暴露面修復、零信任與 DevSecOps」。
威脅建模
針對每個關鍵系統：攻擊者會瞄準什麼、如何嘗試，以及哪些控制措施能阻止他們，均屬於「暴露面修復、零信任與 DevSecOps」。
強化與漏洞管理
為伺服器、容器與雲端帳戶建立安全基線，每項已知漏洞都有負責人與期限，屬於持續性威脅暴露管理與自動化修補。
身分與存取
針對人員與裝置的零信任存取，以及屬於智慧代理 AI 資安服務、針對 AI 智慧代理與其他非人類身分的即時核發憑證。
安全開發
機密保管庫、每次建置的軟體物料清單，以及交付管線中的相依性與容器掃描，均屬 DevSecOps。
偵測與事件回應
保留調查所需內容的日誌、能送達可採取行動人員的警示，以及您的團隊演練過的回應計畫，由整合式 SOC 與 NOC 及事件回應待命合約支撐。
資料安全
敏感資料的加密、權杖化與遮罩屬於我們 AI 與資料事業群的資料治理、主權與隱私業務。
我們以何著稱
- 資安與量子
- NIST FIPS 203、204、205 搭配自動化 CBOM
- 針對 AI 智慧代理的動態即時核發憑證
- 零信任架構與 DevSecOps
- 全天候整合式 SOC、NOC 與 OT 防禦
標準及其保障
| 領域 | 標準與基礎構件 | 您可以依賴的內容 |
|---|---|---|
| 後量子密碼 | NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自動化 CBOM | 由 KONG GROUP（DCTL）的 Rust 密碼工程所支撐 |
| 智慧代理 AI 與非人類身分防禦 | 動態即時核發憑證、工具投毒防火牆、提示詞注入防護欄 | 自主 AI 智慧代理不具常設權限 |
標準與基礎構件
- 後量子密碼
- NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自動化 CBOM
- 智慧代理 AI 與非人類身分防禦
- 動態即時核發憑證、工具投毒防火牆、提示詞注入防護欄
您可以依賴的內容
- 後量子密碼
- 由 KONG GROUP（DCTL）的 Rust 密碼工程所支撐
- 智慧代理 AI 與非人類身分防禦
- 自主 AI 智慧代理不具常設權限
如何開始
後續流程
諮詢前會談
一次免費 30 分鐘線上預諮詢：我們盤點您的目標、系統與限制條件。
就緒評估
在免費 48 小時就緒評估中，首席架構師對照 6 項就緒定義檢查您的專案，並建議合適的路線。
選擇路線
範圍就緒的專案會收到一份有約束力的方案 3–5 個工作天內。概念階段的專案從 Blueprint Studio 開始。已上線系統若出現故障、缺乏文件或需要整合，則先進行 1–2 週 的診斷。Blueprint Studio 與診斷服務各收取固定費用，費用在方案中列明。
五階段交付
動員、搭配現場示範的衝刺、整合與強化、驗收與上線，然後是託管服務。上線之後接著是保固期，之後選用支援與維護。
最快的切入點是 後量子（CBOM）與智慧代理資安稽核，屬於我們的快速合作方案之一。
從何處開始問題與解答
資安工作應從何處開始？
從一旦遭攻擊傷害最大的系統開始：通常是儲存客戶或支付資料、處理資金流動或維持業務執行的系統。對這些系統進行聚焦的評估，能揭示真正重要的弱點，並給出已排定優先順序的計畫。若您使用 AI 智慧代理，或持有需長期保密的資料，後量子與智慧代理資安稽核是自然的起點。
XSIS 本身是否取得 ISO 27001 或 SOC 2 認證？
我們不宣稱自己持有這些認證。我們的營運、原始碼以及為客戶執行的雲端工作負載，均建置在由持有這些證明的供應商所提供的基礎設施上；我們按您面臨的稽核要求來設計您的系統。我們的資安與信任頁面說明了具體做法。
貴公司能幫助我們滿足某項資安標準或法規嗎？
可以。我們將您的控制措施與您必須滿足的標準或法規（例如 DORA、NIS2、沙烏地 NCA ECC 或 SAMA 規則）進行對照，指出差距並協助您彌補。您會保留可供稽核人員查核的證據。我們自身不頒發認證：認證由經認可的驗證機構授予，我們幫助您為稽核做好準備。
資安評估與滲透測試有何不同？
資安評估檢視系統的設計、設定與執行方式，對照公認的良好實務找出差距。滲透測試在約定規則內對系統發起攻擊，以展示攻擊者實際能夠觸及的範圍。兩者結合效果最好：評估呈現問題的廣度，測試呈現問題的深度。
資安測試會損害我們已上線的系統嗎？
我們規劃測試以避免損害。系統、時間與方法均事先議定。若非正式環境與正式環境足夠接近，我們會在非正式環境測試，並避免破壞性測試，除非您核准。您方指定聯絡人可隨時叫停測試。
如果我們發生資安事件怎麼辦？
按您的回應計畫執行，並聯絡計畫中列出的人員。若我們為您的系統提供支援，您的 XSIS 聯絡人也在其中。我們與您的團隊共同遏制事件、保留證據、復原服務並查明原因。事後您會收到一份書面檢討，說明發生了什麼以及防止再次發生的變更。
一次評估就夠了嗎？
這是良好的開始，但系統、人員與攻擊者都在變化。因此暴露面管理是持續的：不間斷掃描、重大變更後重新測試，並定期檢視存取權限。我們可以在託管服務合約下進行，也可以訓練您的團隊自行完成。
誰能看到發現結果，報告歸誰所有？
僅限您指定的人員。發現結果透過您核准的加密管道分享，絕不使用未加密郵件。報告歸您所有。我們僅在合約允許的期限內保留證據，並在結束時刪除。
資安工作的成本由什麼決定？
主要因素是範圍涉及系統的數量與規模，以及測試需要深入到什麼程度。成本還取決於我們是否負責修復發現的問題，以及您必須滿足的標準或法規。對少數關鍵系統做聚焦的評估，比涵蓋整個 IT 環境的計畫工作量更小。範圍明確後，您會收到包含方法與價格的方案。
準備開始建置？索取方案。
傳送您的需求或 RFP。我們的架構師會驗證，並提供有約束力的固定範圍方案。
後續流程
就緒評估
在免費 48 小時就緒評估中，首席架構師對照 6 項就緒定義檢查您的專案，並建議合適的路線。
有約束力的方案
在免費架構驗證之後，您會收到有約束力的固定範圍方案 3–5 個工作天內：里程碑、架構、團隊結構與 SLA。應您要求，我們會在您分享需求之前與您簽署保密協議（NDA）。
動員
簽約後，我們的工程小組於合約簽署後 5–10 個工作天內開始 Sprint 0。
五階段交付
動員、搭配現場示範的衝刺、整合與強化、驗收與上線，然後是託管服務。上線之後接著是保固期，之後選用支援與維護。