Cyber Essentials dla małych biznesów – bez obcinania

Większość małych biznesów nie potrzebuje centrum operacji bezpieczeństwa. Potrzebuje pięciu rzeczy zrobionych poprawnie i dowodu, że je zrobiła. To całe założenie programu Cyber Essentials, certyfikacji wspieranej przez rząd UK i zarządzanej przez IASME Consortium w imieniu NCSC. Jest tania, na poziomie podstawowym to samoocena, i mapuje się bezpośrednio na ataki, które rzeczywiście trafiają małe organizacje: phishing, kradzież poświadczeń, niezaktualizowane oprogramowanie i błędnie skonfigurowane firewalle.

Pięć kontroli, bez wody

Cyber Essentials sprawdza dokładnie pięć obszarów technicznych, i kwestionariusz jest wokół nich zbudowany.

• Firewalle i routery — urządzenia graniczne muszą mieć zmienione domyślne hasła i zbędne usługi wyłączone.
• Bezpieczna konfiguracja — nie ma domyślnych kont administratora pozostawionych aktywnych, nie ma nieużywanego oprogramowania na maszynach, a funkcje auto-uruchamiania są wyłączone tam, gdzie mogłyby umożliwić malware'owi wykonanie się bez kliknięcia.
• Kontrola dostępu użytkownika — konta powinny podążać za najmniejszym uprawnieniami, prawa administratora są oddzielone od codziennych kont, i istnieje proces usuwania dostępu gdy ktoś odchodzi.
• Ochrona przed malware'em — każde urządzenie potrzebuje oprogramowania anty-malware, application allow-listingu, lub sandboxingu, zastosowanego konsekwentnie, nie tylko na maszynach, które ktoś pamiętał ustawić.
• Zarządzanie aktualizacjami bezpieczeństwa — łatki dla wysokich lub krytycznych luk w zabezpieczeniach muszą trafiać w ciągu 14 dni od wydania, na systemach operacyjnych, przeglądarkach i wszelkich zainstalowanych aplikacjach, które biznes używa.

Okno aktualizacji 14-dniowe to to, co największy problem sprawia. To nie