赢得 UK 合同， 靠的是 Cyber Essentials。

Cyber Essentials 是由英国政府支持的网络安全认证计划，帮助组织防范最常见的网络攻击。它由英国国家网络安全中心（NCSC）与中小企业信息保障联盟（IASME Consortium）合作制定。任何组织都可以申请 Cyber Essentials 认证，但对于投标涉及处理敏感信息或个人信息的英国政府合同的供应商而言，该认证是强制性的。保险公司、大型企业和公共部门组织越来越多地要求其供应商持有 Cyber Essentials 认证，作为供应商尽职调查的一部分。该计划涵盖五项技术控制措施，若实施得当，可防范约 80% 的常见网络攻击。

Cyber Essentials 是一种自我评估式认证，由您的组织填写一份关于五项技术控制措施实施情况的在线问卷。合格的评估师会审查您的回答，若结果令人满意，即颁发证书。Cyber Essentials Plus 包含基础认证的全部内容，此外还由合格的评估师进行实际的技术验证：执行外部漏洞扫描、内部漏洞评估，并测试您的电子邮件和网页浏览防御措施。Cyber Essentials Plus 提供更高等级的保证，因为独立专家已验证您的控制措施确实在发挥作用，而不仅仅是写在文档中。许多组织先从 Cyber Essentials 起步，待客户或合同要求更高的保证等级时再升级到 Plus。

五项技术控制措施分别是：防火墙（用于控制入站和出站流量的边界防火墙和互联网网关）；安全配置（确保设备和软件的配置能够减少漏洞，删除不必要的账户并更改默认密码）；安全更新管理（针对严重和高风险漏洞，在补丁和更新发布后 14 天内完成安装）；用户访问控制（将用户权限限制在确有需要的范围内，使用唯一账户，并管控管理员访问）；以及恶意软件防护（部署反恶意软件、应用程序白名单或沙箱，防止恶意软件运行）。这五项控制措施针对的是通用型网络攻击中最常用的攻击途径。

对于 Cyber Essentials 基础认证，从启动到获得证书通常需要 1 到 4 周，具体取决于您当前的安全态势。自我评估问卷本身只需几个小时即可完成，但为确保控制措施符合要求而进行的准备工作可能耗时更长。对于 Cyber Essentials Plus，还需额外增加 1 到 2 周，供外部评估师安排并完成技术测试。IT 环境维护良好且已有安全实践的组织，往往会发现自己已满足大部分要求，能够很快获得认证。而存在遗留系统、补丁更新不一致或访问控制实践薄弱的组织，可能需要花几周时间弥补差距后才能提交申请。Venvera 会提前识别这些差距，帮助您准确规划时间表。

Cyber Essentials 的范围涵盖您所界定边界内所有能够访问互联网或组织数据的设备、软件和账户。这包括台式机、笔记本电脑、平板电脑、智能手机、服务器、路由器、防火墙和云服务。您必须清晰地界定评估范围：它可以覆盖整个组织，也可以覆盖某个特定部分，例如某个部门或办公地点，前提是您能够清楚地划定边界。范围内的所有设备都必须满足五项技术控制措施的要求。对于云服务（IaaS、PaaS、SaaS），在共享责任模型下由您负责的控制措施属于评估范围。瘦客户端、自带设备（BYOD）策略以及远程办公安排，都需要在界定范围时纳入考虑。

对于微型和小型企业，Cyber Essentials 基础认证的费用约从 300 到 500 GBP 起，并随组织规模增加而提高。评估费用由 IASME 联盟制定。Cyber Essentials Plus 的费用要高得多，通常为 1,500 到 5,000 GBP 或更高，具体取决于您 IT 环境的复杂程度、办公地点数量以及范围内的设备数量。Plus 评估包括由合格评估师进行的现场或远程技术测试，这也是其费用较高的原因。证书有效期为 12 个月，必须每年续期。许多组织认为这项投入物有所值，因为它为争取政府合同打开了大门，满足了客户要求，并带来切实的安全改进，降低了遭受常见网络攻击的风险。

Cyber Essentials 提供一组聚焦的基线技术控制措施，而 ISO 27001 和 NIST 网络安全框架（CSF）则是涵盖治理、风险管理及广泛安全领域的综合性框架。获得 Cyber Essentials 认证的组织，将已满足 ISO 27001 附录 A 控制措施中的一部分，尤其是与访问控制（A.5.15-A.5.18）、安全配置（A.8.9）、补丁管理（A.8.8）、恶意软件防护（A.8.7）和网络安全（A.8.20-A.8.22）相关的控制措施。同样，Cyber Essentials 也映射到 NIST CSF 保护（Protect）职能的部分内容。许多组织将 Cyber Essentials 作为安全计划的起点，随后进一步获取 ISO 27001 认证或采用 NIST CSF，以获得更全面的覆盖范围。Venvera 在这三者之间映射控制措施，让您清楚地看到 Cyber Essentials 方面的工作如何助力更广泛的框架合规。

有。Venvera 是一款围绕 NCSC 五项技术控制措施和评估范围构建的 Cyber Essentials 合规软件。它为您提供限定范围的控制措施集、为您的认证及 Cyber Essentials Plus 就绪度评分的差距评估，以及针对每项要求的证据工作区。由于 Venvera 会跨框架映射控制措施，您已为 ISO 27001 或 NIST CSF 准备的证据可以预先填充您 Cyber Essentials 合规态势的大部分内容。在正式投入之前，可先从一次免费合规检查开始。