Печелете договори във Великобритания с Cyber Essentials.

Cyber Essentials е схема за сертификация в областта на киберсигурността с подкрепата на британското правителство, която помага на организациите да се защитят от най-често срещаните кибератаки. Тя е разработена от Националния център за киберсигурност (NCSC) в партньорство с консорциума IASME (Information Assurance for Small and Medium Enterprises). Всяка организация може да се сертифицира по Cyber Essentials, но сертификацията е задължителна за доставчиците, които участват в британски държавни поръчки, свързани с обработване на чувствителна или лична информация. Застрахователни компании, големи предприятия и организации от публичния сектор все по-често изискват от доставчиците си да имат сертификация по Cyber Essentials като част от проверката на доставчиците. Схемата обхваща пет технически контрола, които при правилно внедряване могат да предотвратят около 80% от често срещаните кибератаки.

Cyber Essentials е сертификация чрез самооценка, при която вашата организация попълва онлайн въпросник за това как е внедрила петте технически контрола. Квалифициран оценител преглежда отговорите ви и, ако те са задоволителни, издава сертификата. Cyber Essentials Plus включва всичко от основната сертификация плюс практическа техническа проверка от квалифициран оценител, който извършва външни сканирания за уязвимости, вътрешни оценки на уязвимостите и тестове на защитата на имейла и уеб сърфирането. Cyber Essentials Plus дава по-високо ниво на увереност, защото независим експерт е проверил, че контролите ви реално работят, а не са само документирани. Много организации започват с Cyber Essentials и преминават към Plus, когато клиентите или договорите им изискват по-високото ниво на увереност.

Петте технически контрола са: защитни стени (периметрови защитни стени и интернет шлюзове, които контролират входящия и изходящия трафик), сигурна конфигурация (устройствата и софтуерът се конфигурират така, че да се намалят уязвимостите, като се премахват ненужните акаунти и се сменят паролите по подразбиране), управление на актуализациите за сигурност (прилагане на корекции и актуализации до 14 дни след издаването им при критични и високорискови уязвимости), контрол на потребителския достъп (ограничаване на потребителските привилегии само до необходимото, използване на уникални акаунти и контрол на администраторския достъп) и защита от зловреден софтуер (внедряване на софтуер за защита от зловреден код, бели списъци с приложения или изолирана среда за изпълнение, за да не може зловреден софтуер да се стартира). Тези пет контрола адресират най-често използваните вектори на атака при масовите кибератаки.

За основната сертификация по Cyber Essentials процесът обикновено отнема от 1 до 4 седмици от началото до получаването на сертификата в зависимост от текущото състояние на сигурността ви. Самият въпросник за самооценка се попълва за няколко часа, но подготовката, с която гарантирате, че контролите ви отговарят на изискванията, може да отнеме повече време. За Cyber Essentials Plus добавете още 1 до 2 седмици, за да може външният оценител да насрочи и извърши техническото тестване. Организациите с добре поддържани ИТ среди и вече установени практики за сигурност често откриват, че изпълняват повечето изисквания и могат бързо да получат сертификация. Организациите с наследени системи, непоследователно прилагане на корекции или слаби практики за контрол на достъпа може да се нуждаят от няколко седмици, за да отстранят пропуските, преди да кандидатстват. Venvera идентифицира тези пропуски предварително, така че да можете да планирате графика си точно.

Обхватът на Cyber Essentials включва всички устройства, софтуер и акаунти, които имат достъп до интернет или до данни на организацията в рамките на определената от вас граница. Това включва настолни компютри, лаптопи, таблети, смартфони, сървъри, рутери, защитни стени и облачни услуги. Трябва ясно да определите обхвата на оценката: той може да обхваща цялата организация или конкретна част от нея, например отдел или офис, стига да можете ясно да очертаете границата. Всички устройства в обхвата трябва да отговарят на изискванията на петте технически контрола. Облачните услуги (IaaS, PaaS, SaaS) са в обхвата за контролите, за които отговаряте по модела на споделената отговорност. Тънките клиенти, политиките за използване на собствени устройства (BYOD) и договореностите за дистанционна работа трябва да бъдат отчетени при определянето на обхвата.

Цената на основната сертификация по Cyber Essentials започва от около 300 до 500 GBP за микропредприятия и малки предприятия, като таксите растат с размера на организацията. Таксите за оценка се определят от консорциума IASME. Cyber Essentials Plus струва значително повече, обикновено от 1500 до 5000 GBP или повече в зависимост от сложността на ИТ средата ви, броя на локациите и броя на устройствата в обхвата. Оценката по Plus включва техническо тестване на място или дистанционно от квалифициран оценител, което обяснява по-високата цена. Сертификатите са валидни 12 месеца и трябва да се подновяват всяка година. Много организации намират инвестицията за оправдана, защото тя отваря вратите към държавни поръчки, удовлетворява изискванията на клиентите и носи осезаеми подобрения в сигурността, които намаляват риска от често срещани кибератаки.

Cyber Essentials дава фокусиран набор от базови технически контроли, докато ISO 27001 и NIST CSF са цялостни рамки, които обхващат ръководството и надзора, управлението на риска и широк кръг от области на сигурността. Организациите, сертифицирани по Cyber Essentials, вече са адресирали част от контролите в Annex A на ISO 27001, особено тези за контрол на достъпа (A.5.15-A.5.18), сигурна конфигурация (A.8.9), управление на корекциите (A.8.8), защита от зловреден софтуер (A.8.7) и мрежова сигурност (A.8.20-A.8.22). По подобен начин Cyber Essentials се съпоставя с елементи от функцията Protect на NIST CSF. Много организации използват Cyber Essentials като отправна точка за своята програма за сигурност и след това преминават към сертификация по ISO 27001 или към внедряване на NIST CSF за по-пълно покритие. Venvera съпоставя контролите и в трите рамки, така че да виждате точно как работата ви по Cyber Essentials допринася за по-широкото съответствие с рамките.

Да. Venvera е софтуер за съответствие с Cyber Essentials, изграден около петте технически контрола на NCSC и обхвата на оценката. Той ви дава набор от контроли, съобразен с вашия обхват, оценка на пропуските, която измерва готовността ви за сертификация и за Cyber Essentials Plus, и работно пространство за доказателства за всяко изискване. Тъй като съпоставя контролите между рамките, доказателствата, които вече имате за ISO 27001 или NIST CSF, предварително попълват голяма част от позицията ви по Cyber Essentials. Започнете с безплатна проверка за съответствие, преди да поемете ангажимент.