Cyber Essentials pour les petites entreprises, simplement expliqué

La plupart des petites entreprises n'ont pas besoin d'un centre d'opérations de sécurité. Elles ont besoin de cinq choses faites correctement et de preuves qu'elles l'ont fait. C'est toute la prémisse derrière Cyber Essentials, le programme de certification soutenu par le gouvernement britannique et géré par le IASME Consortium au nom du NCSC. C'est bon marché, c'est auto-évalué au niveau de base, et cela correspond directement aux attaques qui touchent réellement les petites organisations : le phishing, le vol d'identifiants, les logiciels non corrigés et les pare-feu mal configurés.

Les cinq contrôles, sans détours

Cyber Essentials vérifie exactement cinq domaines techniques, et le questionnaire est construit autour d'eux.

• Pare-feu et routeurs — les dispositifs de périmètre doivent avoir leurs mots de passe par défaut modifiés et les services inutiles fermés.
• Configuration sécurisée — aucun compte administrateur par défaut laissé actif, aucun logiciel inutilisé restant sur les machines, et les fonctionnalités d'exécution automatique désactivées là où elles permettraient aux malwares de s'exécuter sans un clic.
• Contrôle d'accès utilisateur — les comptes doivent suivre le principe du moindre privilège, les droits administrateur sont séparés des comptes d'utilisation quotidienne, et il y a un processus pour supprimer l'accès quand quelqu'un s'en va.
• Protection contre les malwares — chaque appareil a besoin d'un logiciel anti-malware, d'une liste blanche d'applications ou d'un bac à sable, appliqués de manière cohérente, pas seulement sur les machines que quelqu'un a pensé à configurer.
• Gestion des mises à jour de sécurité — les correctifs pour les vulnérabilités hautes ou critiques doivent être installés dans les 14 jours suivant la publication, sur les systèmes d'exploitation, les navigateurs et toutes les applications installées que l'entreprise utilise.

Cette fenêtre de correction de 14 jours est celle qui pose le plus de problèmes. Ce n'est pas