Cyber Essentials (Royaume-Uni)
Certification britannique soutenue par l'État, lancée en 2014, qui vérifie cinq contrôles techniques de base ; sa version Plus ajoute un test par un auditeur, et c'est celle que le souscripteur regarde.
Cyber Essentials est la certification britannique, soutenue par le gouvernement et pilotée par le National Cyber Security Centre (NCSC), qui atteste qu'une organisation applique cinq contrôles techniques de base. Le dispositif est lancé en juin 2014. Depuis le 1er octobre 2014, l'administration centrale l'exige des fournisseurs de certains marchés qui traitent des données personnelles ou des informations sensibles. Les cinq contrôles sont le pare-feu, la configuration sécurisée, le contrôle des accès des utilisateurs, la protection contre les logiciels malveillants et la gestion des mises à jour de sécurité. Depuis 2020, un partenaire unique, IASME, gère le dispositif et accrédite les organismes certificateurs. Il existe deux niveaux, et pour un souscripteur toute la valeur tient dans l'écart entre eux. Le niveau de base repose sur un questionnaire d'auto-évaluation, signé par un dirigeant et relu par un certificateur. Cyber Essentials Plus reprend les mêmes exigences et ajoute une vérification technique : l'auditeur scanne, teste un échantillon de postes et de comptes, essaie des pièces jointes piégées. Le certificat vaut un an. Le contenu bouge plus vite que le nom : les exigences sont révisées régulièrement, et la MFA (authentification multifacteur) sur les services cloud y est devenue obligatoire. IASME a adossé au certificat de base une petite assurance responsabilité cyber offerte aux petites structures qui certifient tout leur périmètre, sous condition de chiffre d'affaires. Côté marché, la plupart des questionnaires britanniques demandent si l'entreprise est certifiée, et à quel niveau. Un « oui, Plus » couvre une partie des questions sur les correctifs et les comptes, que le souscripteur ne repose pas. La réserve : le certificat photographie un périmètre déclaré, à une date. Une filiale exclue du périmètre ou un serveur monté le mois suivant n'y figurent pas, et rien n'y traite des sauvegardes ni de la réponse à incident.
Cas d'école, chiffres inventés : deux cabinets d'architectes de Leeds, 6 millions de livres de chiffre d'affaires chacun. Le premier joint un certificat Cyber Essentials Plus de mars, le second un Cyber Essentials de base signé par son gérant. Le souscripteur tient les réponses du premier sur les correctifs et les comptes d'administration pour vérifiées par un tiers. Pour le second, il envoie trois questions de suivi et lance un scan externe, qui trouve un portail d'accès distant non corrigé. La cotation du second dossier attend la réponse.
Cyber Essentials, Cyber Essentials Plus, certification Cyber Essentials, label Cyber Essentials britannique
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.