اربح العقود في المملكة المتحدة بشهادة Cyber Essentials.

Cyber Essentials مخطط شهادات في الأمن السيبراني مدعوم من الحكومة البريطانية، يساعد المؤسسات على حماية نفسها من أكثر الهجمات السيبرانية شيوعًا. طوّره المركز الوطني للأمن السيبراني (NCSC) بالشراكة مع اتحاد ضمان المعلومات للمؤسسات الصغيرة والمتوسطة (IASME). ويمكن لأي مؤسسة السعي إلى شهادة Cyber Essentials، لكنها إلزامية للمورّدين الذين يتقدمون إلى عقود حكومية بريطانية تتضمن التعامل مع معلومات حساسة أو شخصية. وتشترط شركات التأمين والشركات الكبرى ومؤسسات القطاع العام على نحو متزايد أن يحمل مورّدوها شهادة Cyber Essentials ضمن العناية الواجبة بالمورّدين. ويغطي المخطط خمسة ضوابط تقنية يمكنها، إذا طُبقت على النحو الصحيح، منع نحو 80% من الهجمات السيبرانية الشائعة.

Cyber Essentials شهادة قائمة على التقييم الذاتي، تملأ فيها مؤسستك استبيانًا إلكترونيًا عن تنفيذك للضوابط التقنية الخمسة. ويراجع مُقيّم مؤهل إجاباتك، ويصدر الشهادة إذا كانت مُرضية. أما شهادة Cyber Essentials Plus فتشمل كل ما في الشهادة الأساسية، إضافة إلى تحقق تقني عملي يجريه مُقيّم مؤهل يُنفّذ فحوصات للثغرات الخارجية، وتقييمات للثغرات الداخلية، واختبارات لدفاعات البريد الإلكتروني وتصفح الويب لديك. وتوفر شهادة Cyber Essentials Plus مستوى أعلى من الضمان لأن خبيرًا مستقلًا قد تحقق من أن ضوابطك تعمل فعلًا، لا أنها موثقة فحسب. وتبدأ مؤسسات كثيرة بـ Cyber Essentials ثم تنتقل إلى Plus حين يشترط عملاؤها أو عقودها مستوى الضمان الأعلى.

الضوابط التقنية الخمسة هي: الجدران النارية (الجدران النارية الحدودية وبوابات الإنترنت التي تتحكم في حركة البيانات الواردة والصادرة)، والتهيئة الآمنة (ضمان تهيئة الأجهزة والبرمجيات بما يقلل الثغرات، وإزالة الحسابات غير الضرورية، وتغيير كلمات المرور الافتراضية)، وإدارة التحديثات الأمنية (تطبيق التصحيحات والتحديثات خلال 14 يومًا من صدورها للثغرات الحرجة وعالية الخطورة)، والتحكم في وصول المستخدمين (قصر صلاحيات المستخدمين على ما يلزم فقط، واستخدام حسابات فريدة، والتحكم في الوصول الإداري)، والحماية من البرمجيات الخبيثة (نشر برمجيات مكافحة البرمجيات الخبيثة، أو القوائم البيضاء للتطبيقات، أو بيئات العزل لمنع تشغيل البرمجيات الخبيثة). وتعالج هذه الضوابط الخمسة أكثر نواقل الهجوم شيوعًا في الهجمات السيبرانية غير الموجّهة.

في شهادة Cyber Essentials الأساسية، تستغرق العملية عادة من أسبوع واحد إلى 4 أسابيع من البداية حتى الحصول على الشهادة، بحسب وضعك الأمني الحالي. ويستغرق ملء استبيان التقييم الذاتي نفسه بضع ساعات، لكن أعمال التحضير لضمان استيفاء ضوابطك للمتطلبات قد تستغرق وقتًا أطول. وفي Cyber Essentials Plus، أضف أسبوعًا إلى أسبوعين ليحدد المُقيّم الخارجي موعد الاختبارات التقنية ويُنجزها. وكثيرًا ما تجد المؤسسات ذات بيئات تقنية المعلومات المُدارة جيدًا والممارسات الأمنية القائمة أنها تستوفي معظم المتطلبات أصلًا ويمكنها الحصول على الشهادة بسرعة. أما المؤسسات التي لديها أنظمة قديمة، أو تطبيق غير منتظم للتصحيحات، أو ممارسات ضعيفة في التحكم في الوصول، فقد تحتاج إلى عدة أسابيع لمعالجة الفجوات قبل التقدم بالطلب. تحدد Venvera هذه الفجوات مسبقًا لتتمكن من تخطيط جدولك الزمني بدقة.

يشمل نطاق Cyber Essentials جميع الأجهزة والبرمجيات والحسابات القادرة على الوصول إلى الإنترنت أو إلى بيانات المؤسسة ضمن الحدود التي تحددها. ويتضمن ذلك الحواسيب المكتبية والمحمولة، والأجهزة اللوحية، والهواتف الذكية، والخوادم، وأجهزة التوجيه، والجدران النارية، والخدمات السحابية. ويجب أن تحدد نطاق تقييمك بوضوح: فقد يشمل مؤسستك بأكملها أو جزءًا محددًا منها مثل إدارة أو موقع مكتب، شريطة أن تتمكن من رسم الحدود بوضوح. ويجب أن تستوفي جميع الأجهزة داخل النطاق متطلبات الضوابط التقنية الخمسة. وتدخل الخدمات السحابية (IaaS وPaaS وSaaS) في النطاق بالنسبة إلى الضوابط التي تقع مسؤوليتها عليك وفق نموذج المسؤولية المشتركة. ويجب مراعاة أجهزة العميل الخفيف (thin clients)، وسياسات استخدام الأجهزة الشخصية (BYOD)، وترتيبات العمل عن بُعد كلها عند تحديد النطاق.

تبدأ تكاليف شهادة Cyber Essentials الأساسية من نحو 300 إلى 500 جنيه إسترليني للمنشآت المتناهية الصغر والصغيرة، وترتفع الرسوم بحسب حجم المؤسسة. ويحدد اتحاد IASME رسوم التقييم. أما Cyber Essentials Plus فتكلفته أعلى بكثير، وتتراوح عادة بين 1,500 و5,000 جنيه إسترليني أو أكثر، بحسب درجة تعقيد بيئة تقنية المعلومات لديك وعدد المواقع وعدد الأجهزة داخل النطاق. ويتضمن تقييم Plus اختبارات تقنية في الموقع أو عن بُعد يجريها مُقيّم مؤهل، وهو ما يفسر ارتفاع التكلفة. والشهادات صالحة لمدة 12 شهرًا ويجب تجديدها سنويًا. وتجد مؤسسات كثيرة أن الاستثمار مجدٍ لأنه يفتح الأبواب أمام العقود الحكومية، ويلبي متطلبات العملاء، ويحقق تحسينات أمنية ملموسة تقلل خطر الهجمات السيبرانية الشائعة.

يوفر Cyber Essentials مجموعة مركّزة من الضوابط التقنية الأساسية، بينما ISO 27001 وNIST CSF إطاران شاملان يغطيان الحوكمة وإدارة المخاطر ونطاقًا واسعًا من مجالات الأمن. والمؤسسات التي تحصل على شهادة Cyber Essentials تكون قد عالجت جزءًا من ضوابط الملحق A في ISO 27001، ولا سيما ما يتعلق بالتحكم في الوصول (A.5.15-A.5.18)، والتهيئة الآمنة (A.8.9)، وإدارة التصحيحات (A.8.8)، والحماية من البرمجيات الخبيثة (A.8.7)، وأمن الشبكات (A.8.20-A.8.22). وبالمثل، يرتبط Cyber Essentials بعناصر من وظيفة الحماية (Protect) في NIST CSF. وتستخدم مؤسسات كثيرة Cyber Essentials نقطة انطلاق لبرنامجها الأمني، ثم تنتقل إلى شهادة ISO 27001 أو اعتماد NIST CSF للحصول على تغطية أشمل. تربط Venvera الضوابط عبر الأطر الثلاثة كلها، لترى بدقة كيف يسهم عملك على Cyber Essentials في الامتثال لأطر أوسع.

نعم. Venvera برنامج امتثال لـ Cyber Essentials مبني حول ضوابط NCSC التقنية الخمسة ونطاق التقييم. يمنحك مجموعة ضوابط محددة النطاق، وتقييم فجوات يقيس جاهزيتك للشهادة ولـ Cyber Essentials Plus، ومساحة عمل للأدلة لكل متطلب. ولأنه يربط الضوابط عبر الأطر، فإن الأدلة التي تملكها أصلًا لـ ISO 27001 أو NIST CSF تعبّئ مسبقًا جزءًا كبيرًا من وضعك في Cyber Essentials. ابدأ بفحص امتثال مجاني قبل أن تلتزم.