Czym jest Cyber Essentials?
Cyber Essentials to schemat certyfikacji uruchomiony przez rząd Wielkiej Brytanii w 2014 roku, prowadzony przez NCSC (National Cyber Security Centre) i zarządzany operacyjnie przez IASME Consortium jako jedynego partnera certyfikującego. Celem schematu jest ochrona organizacji przed najpowszechniejszymi, masowymi atakami z internetu, takimi, które wykorzystują niezałatane systemy, słabe hasła i błędy konfiguracji, a nie zaawansowane techniki.
Schemat definiuje pięć obszarów kontroli technicznych: zapory sieciowe (firewalls), bezpieczną konfigurację (secure configuration), kontrolę dostępu użytkowników (user access control), ochronę przed złośliwym oprogramowaniem (malware protection) oraz zarządzanie aktualizacjami bezpieczeństwa (security update management). Wymagania są regularnie aktualizowane. Obowiązująca wersja standardu („Willow") doprecyzowuje między innymi zasady dla pracy zdalnej, usług chmurowych, MFA i bezhasłowego uwierzytelniania.
Kogo dotyczy?
Cyber Essentials może uzyskać każda organizacja, niezależnie od wielkości, branży i kraju siedziby. Certyfikują się zarówno jednoosobowe firmy, jak i międzynarodowe korporacje. Dla firm spoza Wielkiej Brytanii certyfikat jest najczęściej potrzebny przy sprzedaży do klientów brytyjskich lub udziale w tamtejszych łańcuchach dostaw.
Od 2014 roku certyfikat Cyber Essentials jest obowiązkowy dla dostawców ubiegających się o określone kontrakty brytyjskiej administracji centralnej, w szczególności te obejmujące przetwarzanie danych osobowych oraz świadczenie niektórych usług ICT. Coraz częściej wymagają go także duzi zamawiający komercyjni, ubezpieczyciele (certyfikacja przez IASME daje małym firmom brytyjskim włączone ubezpieczenie cyber) oraz organizacje takie jak Ministry of Defence, które wymaga Cyber Essentials w całym swoim łańcuchu dostaw.
Pięć kontroli
Siła schematu tkwi w prostocie: zamiast setek wymagań wystarczy pięć obszarów kontroli, które według NCSC zatrzymują zdecydowaną większość masowych ataków internetowych. Zakres obejmuje wszystkie urządzenia i usługi z dostępem do danych organizacji, w tym urządzenia prywatne (BYOD) i usługi chmurowe.
- Zapory sieciowe: zapora na granicy każdej sieci i zapora programowa na urządzeniach; zmienione hasła domyślne; ruch przychodzący domyślnie blokowany, a każda reguła zatwierdzona i udokumentowana.
- Bezpieczna konfiguracja: usunięcie zbędnego oprogramowania, usług i kont; wyłączony autorun; blokada urządzeń (PIN lub biometria); żadnych haseł domyślnych.
- Kontrola dostępu użytkowników: imienne konta z procesem zatwierdzania, minimalne uprawnienia, osobne konta administracyjne, MFA dla usług chmurowych, hasła minimum 12 znaków (8 przy MFA) z ochroną przed brute-force.
- Ochrona przed malware: antywirus ze skanowaniem w czasie rzeczywistym i blokowaniem złośliwych stron albo allow-listing aplikacji; na urządzeniach mobilnych instalacja tylko z zatwierdzonych sklepów.
- Zarządzanie aktualizacjami: wyłącznie oprogramowanie wspierane przez producenta; poprawki krytyczne i wysokie (CVSS 7+) instalowane w ciągu 14 dni; automatyczne aktualizacje włączone tam, gdzie to możliwe.
Cyber Essentials a Cyber Essentials Plus
Schemat ma dwa poziomy oparte na tych samych pięciu kontrolach, a różnią się sposobem weryfikacji. Podstawowy Cyber Essentials to zweryfikowana samoocena: organizacja wypełnia kwestionariusz (kilkadziesiąt pytań o konfigurację środowiska), członek zarządu podpisuje deklarację, a licencjonowana jednostka certyfikująca ocenia odpowiedzi. Certyfikat można uzyskać w kilka dni.
Cyber Essentials Plus obejmuje te same wymagania, ale z niezależnym audytem technicznym: asesor przeprowadza zewnętrzny skan podatności adresów IP, uwierzytelniony skan próbki stacji roboczych i serwerów, testy pobierania plików przez przeglądarkę i pocztę (czy złośliwe pliki są blokowane) oraz weryfikację konfiguracji. Audyt CE Plus musi być ukończony w ciągu 3 miesięcy od certyfikacji podstawowej, na której się opiera. Dla klientów i zamawiających CE Plus daje istotnie mocniejsze zapewnienie, bo kontrole zostały sprawdzone w praktyce, a nie tylko zadeklarowane.
Ile to trwa i kosztuje?
Cyber Essentials to najszybszy w uzyskaniu z popularnych certyfikatów bezpieczeństwa. Organizacja z uporządkowanym IT jest w stanie przejść samoocenę w 1-2 tygodnie; przygotowanie od zera (wdrożenie MFA, uporządkowanie kont administracyjnych, wymiana niewspieranego oprogramowania) zajmuje zwykle 1-3 miesiące. Certyfikat jest ważny 12 miesięcy i wymaga corocznej recertyfikacji.
Koszt podstawowego Cyber Essentials to stała opłata zależna od wielkości organizacji: od 320 do 600 funtów netto rocznie (mikrofirmy płacą najmniej). Cyber Essentials Plus jest wyceniany indywidualnie przez jednostki certyfikujące w zależności od wielkości i złożoności środowiska. Dla małych firm zaczyna się od około 1400-2000 funtów. Największą realną inwestycją jest zwykle doprowadzenie środowiska do zgodności: wymiana niewspieranych systemów i konsekwentne wdrożenie MFA oraz 14-dniowego okna patchowania.
Jak pomaga Guardiso?
Guardiso zamienia wymagania Cyber Essentials na konkretne, mierzalne kontrole i pilnuje ich przez cały rok, tak żeby coroczna recertyfikacja była formalnością.
- Kontrole wszystkich pięciu obszarów schematu tworzone automatycznie po włączeniu standardu, z opisami, statusami i właścicielami.
- Samoocena dojrzałości pokazująca luki wobec wymagań schematu, zanim wypełnicie oficjalny kwestionariusz.
- Zbieranie dowodów w jednym miejscu: inwentarz urządzeń i oprogramowania, potwierdzenia MFA, raporty patchowania.
- Zadania cykliczne pilnujące 14-dniowego okna aktualizacji i przeglądów kont administracyjnych.
- Polityki (haseł, urządzeń, BYOD) generowane z szablonów i dopasowane do organizacji.
- Mapowanie krzyżowe na ISO 27001 i NIS 2: kontrole Cyber Essentials zaliczają pokrywające się wymagania większych ram i odwrotnie.
- Ścieżka rozwoju: po Cyber Essentials naturalnym kolejnym krokiem jest ISO 27001, a praca wykonana w Guardiso nie przepada.