02 / Conformité et certification
Cyber Essentials, les fondamentaux bien faits et vérifiés
Nous vous aidons à délimiter vos systèmes, à combler les écarts sur les cinq contrôles techniques et à vous préparer pour l'organisme de certification, que vous visiez Cyber Essentials ou Cyber Essentials Plus.
Présentation
Ce que Cyber Essentials vous demande
Cyber Essentials est un dispositif de certification soutenu par le gouvernement britannique et placé sous l'égide du National Cyber Security Centre. Il fixe un socle de contrôles techniques contre les attaques courantes venues d'Internet. Les exigences portent sur les pare-feu, la configuration sécurisée, la gestion des mises à jour de sécurité, le contrôle des accès utilisateurs et la protection contre les logiciels malveillants.
Il existe deux niveaux. Cyber Essentials repose sur un questionnaire d'auto-évaluation examiné par un organisme de certification. Cyber Essentials Plus reprend les mêmes exigences et ajoute une vérification technique de vos systèmes par l'évaluateur de l'organisme de certification. Dans les deux cas, le périmètre doit inclure les postes, services cloud et comptes qui traitent réellement les données de votre organisation.
Les certificats sont délivrés par des organismes de certification habilités par l'organisme d'accréditation du dispositif, IASME. Black Fox n'en fait pas partie. Nous vous préparons, corrigeons avec votre équipe ce qui doit l'être, le vérifions avant l'évaluateur et coordonnons l'évaluation avec nos partenaires de certification de longue date ou un organisme de certification de votre choix.
À qui s'adresse ce service
Les organisations qui répondent à des marchés publics britanniques qui l'exigent, les fournisseurs dont les clients le demandent, et les petites et moyennes organisations qui veulent un contrôle externe de leurs fondamentaux de sécurité.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre
Nous établissons quels sites, appareils, services cloud et utilisateurs sont concernés, y compris le télétravail et les appareils personnels lorsqu'ils s'appliquent.
Analyse d'écarts
Une revue de votre environnement au regard des cinq contrôles techniques, chaque écart énoncé clairement et classé par effort.
Configuration et mises à jour
Une aide pour la configuration sécurisée, le retrait des logiciels non pris en charge et l'application des mises à jour conformément aux attentes du dispositif.
Accès et authentification
Comptes utilisateurs et administrateurs, authentification multifacteur pour les services cloud et suppression des comptes inutilisés.
Aide au questionnaire
Une aide pour répondre avec exactitude à l'auto-évaluation, afin que chaque réponse décrive ce qui est réellement configuré.
Préparation au niveau Plus
Pour Cyber Essentials Plus, une vérification technique d'un échantillon d'appareils et de services sur les points que l'évaluateur testera.
Déroulement de la mission
Lancement
Nous convenons du niveau visé, du périmètre et de votre échéance, et signons d'abord un accord de confidentialité si vous le souhaitez.
Analyse d'écarts
Revue documentaire, entretiens et examen de la configuration réelle, avec à la clé une liste d'écarts priorisée.
Remédiation
Nous travaillons avec votre équipe sur la configuration, les mises à jour, les comptes et la protection contre les logiciels malveillants.
Vérification préalable
Nous relisons les réponses au questionnaire et, pour le niveau Plus, testons un échantillon de systèmes comme le fera l'évaluateur.
Certification
Nous coordonnons l'évaluation avec l'un de nos partenaires de certification de longue date ou l'organisme de certification de votre choix, et vous aidons sur les questions ou constats.
Ce que vous recevez
- Définition du périmètre avec inventaire des appareils, services et utilisateurs
- Rapport d'écarts sur les cinq contrôles techniques
- Recommandations de correction pour chaque écart
- Réponses à l'auto-évaluation relues
- Résultats de la vérification technique préalable pour Cyber Essentials Plus
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Délivrez-vous les certificats Cyber Essentials ?
Non. Les certificats sont délivrés par les organismes de certification habilités dans le cadre du dispositif. Nous travaillons avec des partenaires de certification de longue date et coordonnons l'évaluation avec eux ou avec un organisme de certification de votre choix, pour que vous alliez de la préparation au certificat dans une seule mission.
Quelle différence entre Cyber Essentials et Plus ?
Les exigences sont les mêmes. Cyber Essentials est vérifié à partir de vos réponses au questionnaire. Cyber Essentials Plus ajoute un audit technique de vos systèmes par l'évaluateur de l'organisme de certification.
Les services cloud comptent-ils ?
Oui. Les services cloud qui traitent les données de votre organisation font partie du périmètre, et les contrôles s'appliquent aux éléments dont vous êtes responsable, comme les comptes utilisateurs et l'authentification multifacteur.
Cyber Essentials suffit-il à lui seul ?
C'est un socle, pas un programme complet. Il couvre bien les attaques courantes. Les organisations plus grandes ou plus exposées s'appuient souvent dessus pour aller vers l'ISO/IEC 27001, les tests d'intrusion ou une gestion continue des vulnérabilités.
Services associés
- Sécurité managéeDurcissement de la sécuritéDurcissement par Black Fox Security : postes de travail, serveurs et réseaux, référentiels de configuration sécurisée, supervision et sécurité personnelle.
- Sécurité managéeGestion des vulnérabilitésRevues de vulnérabilités récurrentes par Black Fox Security : scans, tri, priorisation selon l'exploitabilité et l'exposition, suivi des correctifs.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Sécurité managéeRevues des accèsRevues des accès par Black Fox Security : comptes utilisateurs et privilégiés, annuaires, cloud et applications clés, arrivées et départs, preuves d'audit.
Vérifiez les fondamentaux avant l'évaluateur
Dites-nous quel niveau il vous faut et pour quand. Nous vous montrerons ce qui vous sépare du certificat.