Cyber Essentials per le piccole aziende, detto chiaramente

La maggior parte delle piccole aziende non ha bisogno di un security operations center. Ha bisogno che cinque cose siano fatte bene e della prova che le hanno fatte. Questo è tutto il concetto alla base di Cyber Essentials, lo schema di certificazione sostenuto dal governo del Regno Unito e gestito attraverso il IASME Consortium per conto del NCSC. È economico, auto-valutato al livello base, e corrisponde direttamente agli attacchi che colpiscono effettivamente le piccole organizzazioni: phishing, furto di credenziali, software non aggiornato e firewall non configurati correttamente.

I cinque controlli, niente di superfluo

Cyber Essentials verifica esattamente cinque aree tecniche, e il questionario è costruito intorno a loro.

• Firewall e router — i dispositivi di confine devono avere le password predefinite cambiate e i servizi non necessari disattivati.
• Configurazione sicura — nessun account admin predefinito lasciato attivo, nessun software inutilizzato sui computer, e funzioni di esecuzione automatica disabilitate dove potrebbero consentire a malware di eseguirsi senza un clic.
• Controllo dell'accesso utente — gli account devono seguire il principio del privilegio minimo, i diritti admin sono separati dagli account di uso quotidiano, e c'è un processo per revocare l'accesso quando qualcuno se ne va.
• Protezione da malware — ogni dispositivo ha bisogno di software anti-malware, allow-listing delle applicazioni, o sandboxing, applicati in modo coerente, non solo sui computer che qualcuno ha ricordato di configurare.
• Gestione degli aggiornamenti di sicurezza — le patch per vulnerabilità alte o critiche devono essere applicate entro 14 giorni dalla release, su sistemi operativi, browser, e qualsiasi applicazione installata che l'azienda utilizza.

Quella finestra di 14 giorni per il patching è quella che più spesso crea problemi. Non è