Cyber Essentials voor kleine bedrijven, zonder omhaal

De meeste kleine bedrijven hebben geen security operations center nodig. Ze hebben vijf dingen nodig die goed gedaan worden en bewijs dat ze dat hebben gedaan. Dat is de hele basis van Cyber Essentials, het door de Britse regering ondersteunde certificeringsschema dat via het IASME Consortium namens de NCSC wordt beheerd. Het is goedkoop, het is op basisniveau zelfgeevalueerd, en het sluit rechtstreeks aan op de aanvallen die kleine organisaties werkelijk treffen: phishing, credential theft, ongepatchte software en verkeerd geconfigureerde firewalls.

De vijf controles, zonder ballast

Cyber Essentials controleert precies vijf technische gebieden, en de vragenlijst is daar omheen gebouwd.

• Firewalls en routers — grensapparaten moeten standaardwachtwoorden hebben gewijzigd en onnodige services moeten zijn afgesloten.
• Veilige configuratie — geen standaard beheerdersaccounts meer actief, geen ongebruikte software op machines, en auto-run-functies uitgeschakeld waar ze malware zonder klik zouden kunnen uitvoeren.
• Gebruikerstoegangsbeheer — accounts moeten het principe van minimale bevoegdheden volgen, beheerdersrechten zijn gescheiden van dagelijkse accounts, en er is een proces voor het verwijderen van toegang wanneer iemand weggaat.
• Malware-bescherming — elk apparaat heeft anti-malwaresoftware, application allow-listing of sandboxing nodig, consistent toegepast, niet alleen op machines die iemand toevallig heeft ingesteld.
• Beveiligingsupdatebeheer — patches voor hoge of kritieke kwetsbaarheden moeten binnen 14 dagen na release worden geïnstalleerd, op alle besturingssystemen, browsers en geïnstalleerde toepassingen die het bedrijf gebruikt.

Dat 14-daags patchvenster is wat mensen meestal tegenvalt. Het is niet