网络与量子安全

因为先存后解。今天录存的流量，在具备能力的量子计算机出现后即可被解密，因此必须多年保密的数据现在就已面临风险。在大型 IT 环境中，迁移也需要数年时间，而各国的 PQC 过渡路线图正在为此设定期限。

阅读更多：后量子密码与量子安全加密链接到此问题

CBOM 列出您系统中每一项密码算法、密钥与证书及其使用位置，类似于软件物料清单列出组件。它显示哪些内容必须更换，也能让您向审计人员证明没有遗留任何脆弱项。

阅读更多：后量子密码与量子安全加密链接到此问题

只要分阶段推进就不会。后量子密钥与签名体积更大，部分老旧设备和合作方目前尚无法处理。我们在过渡期间采用混合模式与双栈 PKI，逐项系统与合作方联测，并保留回滚路径。

阅读更多：后量子密码与量子安全加密链接到此问题

NIST 后量子标准：FIPS 203（ML-KEM）、FIPS 204（ML-DSA）与 FIPS 205（SLH-DSA），应用于 TLS 1.3 等协议。我们会结合适用于您的中东北非、欧洲与亚洲各国 PQC 路线图及行业规则来制定计划。

阅读更多：后量子密码与量子安全加密链接到此问题

非人类身份是任何由软件而非人使用的账户、密钥或令牌：服务账户、API 密钥，如今还包括 AI 智能体。它们易于创建、易于遗忘，而且许多永不过期。一个凭借此类密钥自主行动的 AI 智能体，一旦被误导或密钥被盗，可能造成巨大危害。

阅读更多：智能体 AI 安全与 AI 智能体身份链接到此问题

一种把指令隐藏进 AI 模型所读取内容（如电子邮件、文档或网页）的攻击，使模型听命于攻击者而非其用户。仅靠模型本身无法防范。防御需要结合输入与输出防护栏、权限受限的智能体，以及对敏感操作的人工审批。

阅读更多：智能体 AI 安全与 AI 智能体身份链接到此问题

智能体不再持有永久密钥，而是在任务开始时申请访问权限。它获得的凭据仅限该任务和该时段，任务结束后凭据即失效。每次请求都有日志，因此您可以看清哪个智能体代表谁做了什么。

阅读更多：智能体 AI 安全与 AI 智能体身份链接到此问题

我们约定范围与规则，然后像对手一样攻击您的模型与智能体：越狱、提示注入、工具投毒以及数据窃取尝试。您会收到每项发现及其复现步骤，并按风险分级；修复后我们会复测。

阅读更多：智能体 AI 安全与 AI 智能体身份链接到此问题

这取决于该供应商的条款、其运行的区域以及您发送的内容。我们会审查这三点，在模型前增加防泄露控制，并在数据不得离开您所在司法管辖区时，建议改用主权或私有模型。

阅读更多：智能体 AI 安全与 AI 智能体身份链接到此问题

不必立刻替换。零信任分阶段引入，通常从最敏感的应用和管理员访问开始。仍在需要的地方可以保留 VPN，待没有依赖后停用。

阅读更多：暴露面修复、零信任与 DevSecOps链接到此问题

软件物料清单列出软件中每一个组件与库及其版本。当新的漏洞公布时，它能迅速告知您是否受影响以及受影响的位置。《网络韧性法案》（CRA）等法规以及许多客户现在都要求提供 SBOM。

阅读更多：暴露面修复、零信任与 DevSecOps链接到此问题

每位工程师都有实名账户，仅拥有任务所需的权限，并使用硬件安全密钥登录。若您有管理员访问流程，我们遵循该流程。会话全程记录，工作在结束或人员离开项目时即收回访问权限。

阅读更多：暴露面修复、零信任与 DevSecOps链接到此问题

它是一项常设计划，而非年度测试。它维护攻击者可能触及范围的实时清单，按被利用的可能性和可能造成的损失对每项暴露排序，并跟踪每项修复直至关闭。扫描持续进行，测试紧随每次重大变更。

阅读更多：暴露面修复、零信任与 DevSecOps链接到此问题

一次贴近真实条件的演练。红队在约定规则内攻击您的系统，负责检测与响应的蓝队进行防御。演练后双方共同复盘发现了什么、遗漏了什么、每一步耗时多久，您会收到弥合差距所需的变更。

阅读更多：暴露面修复、零信任与 DevSecOps链接到此问题

可以。监控方案与您的控制工程师共同设计，只观测控制流量而不做改动，工厂系统上的任何变更都遵循您的变更与安全规程。安全与正常运行时间优先。

阅读更多：融合 SOC/NOC、网络韧性与 OT/IoT 防御链接到此问题

先把系统恢复到隔离环境中，确认恢复后的系统与数据不含攻击者痕迹，然后才恢复投用。这可以防止恢复过程再次感染网络。

阅读更多：融合 SOC/NOC、网络韧性与 OT/IoT 防御链接到此问题

从一旦遭攻击伤害最大的系统开始：通常是保存客户或支付数据、处理资金流动或维持业务运行的系统。对这些系统进行有针对性的评估，能揭示真正重要的弱点，并给出按优先级排序的计划。若您使用 AI 智能体，或持有需长期保密的数据，后量子与智能体安全审计是自然的起点。

阅读更多：网络与量子安全链接到此问题

我们不将这些认证宣称为自有资质。我们的运营、源代码以及为客户运行的云工作负载，均依托持有相应认证的基础设施提供商；我们按您面临的审计要求来设计您的系统。我们的安全与信任页面说明了具体做法。

阅读更多：网络与量子安全链接到此问题

可以。我们将您的控制措施与您必须满足的标准或法规（例如 DORA、NIS2、沙特 NCA ECC 或 SAMA 规则）进行对照，指出差距并协助您弥补。您会保留可供审计师核查的证据。我们自身不颁发认证：认证由认可机构授予，我们帮助您为审计做好准备。

阅读更多：网络与量子安全链接到此问题

安全评估审查系统的设计、配置与运行方式，对照公认的良好实践找出差距。渗透测试在约定规则内对系统发起攻击，以展示攻击者实际能够触达的范围。两者结合效果最好：评估呈现问题的广度，测试呈现问题的深度。

阅读更多：网络与量子安全链接到此问题

我们规划测试以避免损害。系统、时间与方法均事先商定。若非生产环境与生产环境足够接近，我们会在非生产环境测试，并避免破坏性测试，除非您批准。您方指定联系人可随时叫停测试。

阅读更多：网络与量子安全链接到此问题