Cyber Essentials (Reino Unido)
Cyber Essentials es el programa respaldado por el Gobierno del Reino Unido que certifica que una organización cuenta con los controles técnicos básicos necesarios para defenderse de los ataques más comunes a través de Internet. Se ha diseñado deliberadamente para no ser exhaustivo: abarca cinco áreas de control: cortafuegos, configuración segura, control de acceso de usuarios, protección contra malware y gestión de parches. Esa es precisamente la idea. La mayoría de los ataques que tienen éxito no implican nada extraordinario; se aprovechan de la ausencia de estos elementos fundamentales. Asegurarse de que se aplican correctamente y demostrarlo es precisamente el objetivo de la certificación.
Los dos niveles
«Cyber Essentials» es un cuestionario de autoevaluación, verificado por un evaluador externo y respaldado, en la mayoría de los casos, por un seguro de ciberriesgos. «Cyber Essentials Plus» va más allá: un evaluador comprueba realmente sus sistemas —realiza análisis de vulnerabilidades, verifica los niveles de parches y comprueba que los controles que ha declarado en el cuestionario estén realmente implementados—. Muchas organizaciones superan la certificación básica sin problemas y luego descubren, durante las pruebas de Plus, que la aplicación de parches se ha descuidado, que una cuenta de administrador en algún lugar carece de autenticación multifactorial o que un dispositivo obsoleto nunca se ha dado de baja.
Cómo puedo ayudarle
Repaso el cuestionario con usted con total franqueza antes de que envíe nada, determinando qué dispositivos, servicios en la nube y cuentas de usuario entran realmente en el ámbito de aplicación; equivocarse en este aspecto es uno de los errores más comunes que cometen las organizaciones. A continuación, le ayudo a subsanar las deficiencias reales: reglas de cortafuegos más laxas de lo que nadie recuerda, configuraciones predeterminadas que nunca se reforzaron, derechos de administrador local que se han extendido más allá de lo previsto, falta de autenticación multifactorial (MFA) en el acceso remoto y en las cuentas de administrador en la nube, y una gestión de parches inconsistente en todo el parque de dispositivos.
Si va a optar por Cyber Essentials Plus, considero las pruebas técnicas presenciales o a distancia como un simulacro previo: realizo el mismo tipo de comprobaciones que llevaría a cabo un evaluador, de modo que las sorpresas salgan a la luz bajo mi supervisión en lugar de bajo la suya. Para aquellas organizaciones que necesiten esta certificación para adjudicarse un contrato del Gobierno del Reino Unido o satisfacer a un cliente, también les ayudo a ir más allá del mero certificado y a analizar si estas cinco áreas de control les protegen realmente, ya que muchos ataques reales se producen precisamente donde una implementación descuidada de «Cyber Essentials» deja un resquicio.
A quién va dirigido
Organizaciones con sede en el Reino Unido que se presenten a licitaciones públicas que requieran certificación, empresas cuyos clientes la exijan y cualquier persona que desee contar con una referencia sencilla y fiable sin tener que asumir un programa completo de la norma ISO 27001.
¿Está listo para descubrir cuál es el estado real de sus cinco áreas de control? Contacte conmigo.