Cyber Essentials es un esquema de certificación del Reino Unido diseñado para demostrar que una organización tiene un nivel mínimo de protección en ciberseguridad a través de evaluaciones anuales para mantener la certificación.
Con el respaldo del gobierno del Reino Unido y la supervisión del Centro Nacional de Seguridad Cibernética (NCSC) , anima a las organizaciones a adoptar buenas prácticas en materia de seguridad de la información . [1] Cyber Essentials también incluye un marco de garantía y un conjunto simple de controles de seguridad para proteger la información de las amenazas procedentes de Internet .
La certificación sufrió cambios sustanciales en enero de 2022, que incluyeron la inclusión de todos los servicios en la nube y cambios en los requisitos de autenticación multifactor, contraseñas y PIN. [2]
El programa Cyber Essentials ofrece dos niveles, el primero es la autocertificación y el segundo requiere la validación independiente de las afirmaciones realizadas: [3] [4]
Comúnmente conocida como "corrige tu propia tarea", [5] las organizaciones autoevalúan sus sistemas y luego completan una evaluación en línea. La evaluación en línea es calificada por un evaluador de Cyber Essentials, quien brinda comentarios sobre las áreas en las que se podrían realizar mejoras.
No existe una validación independiente de la exactitud de las respuestas en este nivel.
El coste de Cyber Essentials comienza en 300 libras y está sujeto al IVA en el Reino Unido. El modelo de precios está escalonado en función de la cantidad de empleados. Puede encontrar más información en el sitio web de IASME.
Igual que el básico pero con validación independiente por un tercero acreditado.
Los sistemas se prueban de forma independiente y Cyber Essentials está integrado en la gestión de riesgos de información de la organización.
El coste de la acreditación Plus depende de la complejidad del entorno, pero para una PYME sencilla normalmente costaría alrededor de £1.400 y estaría sujeta al IVA dentro del Reino Unido. [6]
La IASME ha incorporado los aspectos esenciales de la ciberseguridad al estándar de garantía de la información de la IASME más amplio . [7]
Al igual que con la norma ISO/IEC 27001 , las organizaciones pueden optar por limitar el alcance de la certificación a un determinado subconjunto de su negocio y esto debe revelarse en su certificado.
Los cinco controles técnicos son:
La guía Cyber Essentials los desglosa en detalles más finos.
Estos controles se pueden comparar con los controles requeridos por la norma ISO/IEC 27001 , la Norma de buenas prácticas para la seguridad de la información , y la gobernanza de IASME , [8] aunque Cyber Essentials tiene un enfoque más estrecho, haciendo hincapié en los controles técnicos en lugar de la gobernanza, el riesgo y la política.
El programa Cyber Essentials se puso en marcha el 5 de junio de 2014. A finales de junio, varias organizaciones recibieron rápidamente la certificación. [9] Desde octubre de 2014, la certificación Cyber Essentials es obligatoria para los proveedores del gobierno central del Reino Unido que manejan determinados tipos de información confidencial y personal. [10] Esto tiene por objeto fomentar su adopción por parte de las empresas que deseen presentar ofertas para contratos gubernamentales. [11] Las aseguradoras han sugerido que los organismos certificados pueden atraer primas de seguro más bajas. [12] Se han concedido más de 30.000 certificados Cyber Essentials a empresas y organizaciones. [13]
Fue desarrollado en colaboración con socios de la industria, incluido el Foro de Seguridad de la Información ( ISF ), el Consorcio de Garantía de la Información para Pequeñas y Medianas Empresas ( IASME ) y la Institución Británica de Normas ( BSI ), y está respaldado por el Gobierno del Reino Unido. [14] Fue lanzado en 2014 por el Departamento de Negocios, Innovación y Habilidades . [15]
Después del ataque del ransomware WannaCry , NHS Digital se negó a financiar los 1.000 millones de libras que era el coste estimado de cumplir con el estándar Cyber Essentials Plus, afirmando que esto no constituiría una buena relación calidad-precio y que había invertido más de 60 millones de libras y planeaba gastar 150 millones más para abordar las principales debilidades de la ciberseguridad en los próximos dos años. [16]
En septiembre de 2019, había cinco organismos de acreditación, incluidos APMG, CREST, IASME , IRM Security y QG. [17]
A partir de abril de 2020, IASME ha sido elegido por el Centro Nacional de Seguridad Cibernética ( NCSC ) como el único organismo de acreditación del Esquema Cyber Essentials.
En enero de 2022, el modelo de precios cambiará a un modelo escalonado basado en la cantidad de empleados, esto es para reflejar mejor la naturaleza más compleja de la evaluación de organizaciones más grandes. [18] Los servicios en la nube, BYOD , trabajo desde casa, clientes ligeros y MFA verán grandes cambios como parte de la evaluación. [19]