Cyber Essentials (Royaume-Uni)
Cyber Essentials est le programme soutenu par le gouvernement britannique qui certifie qu’une organisation dispose des contrôles techniques de base nécessaires pour se défendre contre les attaques les plus courantes sur Internet. Il n’est délibérément pas exhaustif : il couvre cinq domaines de contrôle : les pare-feu, la configuration sécurisée, le contrôle d’accès des utilisateurs, la protection contre les logiciels malveillants et la gestion des correctifs. C’est justement le but recherché. La plupart des attaques qui aboutissent ne recourent à rien d’extraordinaire ; elles exploitent simplement l’absence de ces principes fondamentaux. Mettre en place ces mesures correctement et en apporter la preuve, voilà à quoi sert cette certification.
Les deux niveaux
Cyber Essentials est un questionnaire d’auto-évaluation, vérifié par un évaluateur externe et couvert, dans la plupart des cas, par une cyberassurance. Cyber Essentials Plus va plus loin : un évaluateur teste concrètement vos systèmes — analyses de vulnérabilité, vérification des niveaux de correctifs, contrôle de la mise en place effective des mesures de sécurité que vous avez déclarées dans le questionnaire. De nombreuses organisations obtiennent sans difficulté la certification de base, puis découvrent lors des tests « Plus » que la mise à jour des correctifs a pris du retard, qu’un compte administrateur quelque part ne dispose pas d’authentification multifactorielle, ou qu’un appareil obsolète n’a jamais été mis hors service.
Comment je vous aide
Je passe en revue le questionnaire avec vous en toute honnêteté avant que vous ne soumettiez quoi que ce soit, afin de déterminer quels appareils, services cloud et comptes utilisateurs sont réellement concernés — se tromper sur le périmètre d’application est l’une des erreurs les plus courantes commises par les organisations. Ensuite, je vous aide à combler les véritables lacunes : des règles de pare-feu plus laxistes que ce dont tout le monde se souvient, des configurations par défaut qui n’ont jamais été renforcées, des droits d’administrateur local qui se sont étendus plus loin que prévu, l’absence d’authentification multifactorielle (MFA) pour l’accès à distance et les comptes d’administrateur cloud, ainsi qu’une gestion des correctifs incohérente sur l’ensemble du parc d’appareils.
Si vous visez la certification Cyber Essentials Plus, je considère les tests techniques sur site ou à distance comme un galop d’essai préalable : j’effectue le même type de vérifications qu’un évaluateur, afin que les éventuelles surprises apparaissent sous ma supervision plutôt que sous la sienne. Pour les organisations qui en ont besoin afin de remporter un marché public britannique ou de satisfaire un client, je vous aide également à aller au-delà du certificat lui-même pour déterminer si ces cinq domaines de contrôle vous protègent réellement, car de nombreuses attaques réelles s’infiltrent précisément là où une mise en œuvre négligée de Cyber Essentials laisse une faille.
À qui s'adresse ce document ?
Les organisations basées au Royaume-Uni qui soumissionnent pour des marchés publics exigeant une certification, les entreprises dont les clients en font la demande, ainsi que toute personne souhaitant disposer d’une base de référence simple et crédible sans avoir à mettre en œuvre l’intégralité du programme ISO 27001.
Prêt à découvrir l’état réel de vos cinq domaines de contrôle ? Contactez-moi.