概述
XSIS 网络与量子安全业务，保护金融机构、政府部门与关键基础设施，应对眼前的网络威胁与日益临近的量子解密风险。
依托KONG GROUP的密码软件工程能力，我们开展自动化密码物料清单（CBOM）发现，并实施向 NIST 标准化后量子密码的全面迁移。
适用对象
首席信息安全官
后量子迁移计划、AI 智能体安全，以及按风险排序的暴露面，并附可供审计的证据。
网络防御负责人
全天候值守的融合 SOC 与 NOC，具备威胁狩猎与自动化响应。
关键基础设施或 OT 负责人
兼顾工厂安全与正常运行时间的 OT、SCADA 与 IoT 防御。
首席风险官
符合 DORA、NIS2 与各国网络规则的韧性，以及经过演练的恢复计划。
能力
后量子密码与量子安全加密
密码资产发现与 CBOM 审计、NIST PQC 迁移（FIPS 203、204、205）、量子安全 TLS、VPN 与 PKI、密码敏捷性与 HSM 集成。
智能体 AI 安全与 AI 智能体身份
面向 AI 智能体的非人类身份与即时凭据、AI 红队测试与提示注入防御，以及 LLM 数据泄露防护。
暴露面修复、零信任与 DevSecOps
持续威胁暴露管理、零信任网络架构、含 SBOM 与扫描的 DevSecOps，以及持续渗透测试。
融合 SOC/NOC、网络韧性与 OT/IoT 防御
由 AI 驱动的全天候值守 SOC 与 NOC，涵盖威胁狩猎、OT、SCADA 与 IoT 安全，以及含事件响应驻场服务的勒索软件韧性。
从何处开始安全建设
多数组织知道自己存在弱点。很少有人清楚哪些最要紧，或该按什么顺序修复。以下是常见的起点，以及各自对应的服务。
评估、测试与修复
以攻击者的方式审查并测试您的应用、API、云与网络，每项发现均按风险排序，并与您的团队一起修复。持续渗透测试、红蓝队演练与暴露面管理属于“暴露面修复、零信任与 DevSecOps”。
威胁建模
针对每个关键系统：攻击者会瞄准什么、如何尝试，以及哪些控制措施能阻止他们，均属于“暴露面修复、零信任与 DevSecOps”。
加固与漏洞管理
为服务器、容器与云账户建立安全基线，每项已知漏洞都有负责人与期限，属于持续威胁暴露管理与自动化补丁。
身份与访问
面向人员与设备的零信任访问，以及智能体 AI 安全范畴内面向 AI 智能体和其他非人类身份的即时凭据。
安全开发
密钥库、每次构建的软件物料清单，以及交付流水线中的依赖项与容器扫描，均属 DevSecOps。
检测与事件响应
保留调查所需内容的日志、能触达可行动人员的告警，以及您的团队演练过的响应计划，由融合 SOC 与 NOC 及事件响应驻场服务支撑。
数据安全
敏感数据的加密、令牌化与脱敏属于我们 AI 与数据事业部的数据治理、主权与隐私业务。
我们的代表性优势
- 网络与量子安全
- 基于自动化 CBOM 的 NIST FIPS 203、204 与 205
- 面向 AI 智能体的动态即时凭据
- 零信任架构与 DevSecOps
- 全天候融合 SOC、NOC 与 OT 防御
标准及其保障
| 领域 | 标准与基础构件 | 您可以依赖的内容 |
|---|---|---|
| 后量子密码 | NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自动化 CBOM | 依托KONG GROUP（DCTL）的 Rust 密码工程 |
| 智能体 AI 与非人类身份防御 | 动态即时凭据、工具投毒防火墙、提示注入防护栏 | 自主 AI 智能体不拥有常设权限 |
标准与基础构件
- 后量子密码
- NIST FIPS 203（ML-KEM）、FIPS 204（ML-DSA）、FIPS 205（SLH-DSA）、自动化 CBOM
- 智能体 AI 与非人类身份防御
- 动态即时凭据、工具投毒防火墙、提示注入防护栏
您可以依赖的内容
- 后量子密码
- 依托KONG GROUP（DCTL）的 Rust 密码工程
- 智能体 AI 与非人类身份防御
- 自主 AI 智能体不拥有常设权限
如何开始
后续流程
咨询前会谈
一次免费 30 分钟在线预咨询：我们梳理您的目标、系统与限制条件。
就绪评估
在免费 48 小时就绪评估中，首席架构师对照 6 项就绪定义检查您的项目，并推荐合适的路线。
选择路线
范围就绪的项目会收到一份有约束力的方案3–5 个工作日内。概念阶段的项目从 Blueprint Studio 开始。已上线系统若出现故障、缺乏文档或需要集成，则先进行1–2 周诊断。Blueprint Studio 与诊断服务各收取固定费用，费用在方案中列明。
五阶段交付
动员启动、带现场演示的冲刺、集成与加固、验收与上线，然后是托管服务。上线之后是保修期，之后可选的支持与维护。
最快的切入点是 后量子（CBOM）与智能体安全审计 套餐，我们的快速合作套餐之一。
从何处开始问题与解答
我们应该从何处开始网络安全建设？
从一旦遭攻击伤害最大的系统开始：通常是保存客户或支付数据、处理资金流动或维持业务运行的系统。对这些系统进行有针对性的评估，能揭示真正重要的弱点，并给出按优先级排序的计划。若您使用 AI 智能体，或持有需长期保密的数据，后量子与智能体安全审计是自然的起点。
XSIS 自身是否通过 ISO 27001 或 SOC 2 认证？
我们不将这些认证宣称为自有资质。我们的运营、源代码以及为客户运行的云工作负载，均依托持有相应认证的基础设施提供商；我们按您面临的审计要求来设计您的系统。我们的安全与信任页面说明了具体做法。
你们能帮助我们满足某项安全标准或法规吗？
可以。我们将您的控制措施与您必须满足的标准或法规（例如 DORA、NIS2、沙特 NCA ECC 或 SAMA 规则）进行对照，指出差距并协助您弥补。您会保留可供审计师核查的证据。我们自身不颁发认证：认证由认可机构授予，我们帮助您为审计做好准备。
安全评估与渗透测试有何区别？
安全评估审查系统的设计、配置与运行方式，对照公认的良好实践找出差距。渗透测试在约定规则内对系统发起攻击，以展示攻击者实际能够触达的范围。两者结合效果最好：评估呈现问题的广度，测试呈现问题的深度。
安全测试会损害我们的在线系统吗？
我们规划测试以避免损害。系统、时间与方法均事先商定。若非生产环境与生产环境足够接近，我们会在非生产环境测试，并避免破坏性测试，除非您批准。您方指定联系人可随时叫停测试。
如果我们发生安全事件怎么办？
按您的响应计划执行，并联系计划中列出的人员。若我们为您的系统提供支持，您的 XSIS 联系人也在其中。我们与您的团队共同遏制事件、保留证据、恢复服务并查明原因。事后您会收到一份书面复盘，说明发生了什么以及防止再次发生的变更。
一次评估就够了吗？
这是良好的开始，但系统、人员与攻击者都在变化。因此暴露面管理是持续的：不间断扫描、重大变更后重新测试，并定期审查访问权限。我们可以在托管服务协议下开展，也可以培训您的团队自行完成。
谁能看到发现结果，报告归谁所有？
仅限您指定的人员。发现结果通过您批准的加密渠道共享，绝不使用未加密邮件。报告归您所有。我们仅在协议允许的期限内保留证据，并在结束时删除。
安全工作的成本由什么决定？
主要因素是范围涉及系统的数量与规模，以及测试需要深入到什么程度。成本还取决于我们是否负责修复发现的问题，以及您必须满足的标准或法规。对少数关键系统做有针对性的评估，比覆盖整个 IT 环境的计划工作量更小。范围明确后，您会收到包含方法与价格的方案。
准备开始构建？索取方案。
发送您的需求或 RFP。我们的架构师会验证，并返回有约束力的固定范围方案。
后续流程
就绪评估
在免费 48 小时就绪评估中，首席架构师对照 6 项就绪定义检查您的项目，并推荐合适的路线。
有约束力的方案
在免费架构验证之后，您会收到有约束力的固定范围方案3–5 个工作日内：里程碑、架构、团队结构与 SLA。应您要求，我们会在您分享需求之前与您签署保密协议（NDA）。
动员启动
签约后，我们的工程小组在合同签署后 5–10 个工作日内开始 Sprint 0。
五阶段交付
动员启动、带现场演示的冲刺、集成与加固、验收与上线，然后是托管服务。上线之后是保修期，之后可选的支持与维护。