ISMS.online behaal die eerste keer Cyber ​​Essentials-sertifisering

Ons is verheug om te deel dat ISMS.online Cyber ​​Essentials-sertifisering behaal het, wat bykomende vlakke van vertroue by ons dienste voeg en robuuste en doeltreffende kuberveiligheidskontroles regoor ons organisasie bevestig. Jy kan hersien ons sertifisering en die vele ander kuberstandaarde wat ons in ons Trustsentrum handhaaf.

Nadat ons die proses ondergaan het om Cyber ​​Essentials (CE) te bereik, wil ons 'n paar deel van wat ons langs die pad geleer het, die sertifisering definieer, hoekom jy dit dalk moet verwerf en watter benaderings organisasies kan volg om dit te bereik.

Wat is Cyber ​​Essentials?

Cyber ​​Essentials, hoewel minder wyd as standaarde soos ISO 27001, het 'n meer tegniese inslag met betrekking tot jou toestelle en netwerkkonfigurasie. Dit dek vyf areas:

• Firewall implementering
• Veilige konfigurasie van netwerk- en gebruikerstoestelle
• Bestuur van sekuriteitsopdaterings,
• Gebruikerstoegangsbeheer
• Malware beskerming

Cyber ​​Essentials verteenwoordig die Britse regering se basislynstandaard vir kuberveiligheid in die VK en word deur die IASME-konsortium bestuur.

Daar is twee vlakke van assessering:

• Cyber ​​Essentials 

  – is 'n onafhanklik geverifieerde selfevaluering, waar organisasies hulself teen vyf basiese sekuriteitskontroles assesseer, en 'n gekwalifiseerde assessor die inligting wat verskaf word, verifieer.

• Cyber ​​Essentials+

– is 'n tegniese oudit waar 'n assessor die organisasie se kantore besoek om toetse te doen. Die CE+-oudit moet binne drie maande na CE-sertifisering voltooi word.

Die koste van Cyber ​​Essentials-sertifisering hang af van die grootte van jou organisasie en, vir Cyber ​​Essentials+, die grootte en kompleksiteit van jou netwerk.

Waarom moet organisasies Cyber ​​Essentials-sertifisering nastreef?

Hoekom, kan jy vra, moet jy Cyber ​​Essentials oorweeg as jy reeds ISO 27001 & ISO 27701 gesertifiseer is? Daar kan verskeie redes wees:

• Dit is 'n kontraktuele vereiste van 'n kliënt (en dikwels 'n behoefte aan staatskontrakte)
• Bou vertroue en verseker kliënte dat jy spesifieke tegniese implementerings het
• om jou IT teen kuberaanvalle te beveilig
• Lok nuwe besigheid in die wete dat jy kuberveiligheidsmaatreëls in plek het
• 'n Bykomende voordeel is dat u organisasie moontlik in aanmerking kan kom vir gratis kuberveiligheidsversekering met CE-sertifisering. Volledige besonderhede kan gevind word by: IASME.co.uk.

Praktiese benaderings tot Sertifisering van Cyber ​​Essentials

’n Nuwe stel vereistes vir IT-infrastruktuur (v3.1), ook bekend as die Montpelier-profiel, is vroeër vanjaar in April 2023 deur die NCSC uitgereik. Dit is 'n noodsaaklike leesstuk vir alle organisasies wat assessering nader om die CE-voldoeningsvereistes te verstaan. 'n Spesifieke vraag vra of hierdie dokument gelees is as deel van die sertifiseringsproses.

Dit is ook goed om die volledige vraestel af te laai ter voorbereiding vir die assessering en voordat jy jou antwoorde via die aanlynportaal indien. Die vraestel kan gratis van die IASME-webwerf afgelaai word. 'n Uitnodiging na die aanlynportaal word aan u genomineerde verteenwoordiger gestuur sodra die assesseringsfooi betaal is.

'n Cyber ​​Essentials-gereedheidsinstrument is ook by IASME beskikbaar om te help voorberei vir CE indien nodig.

Hoe ISMS.online Cyber ​​Essentials-sertifisering benader het

Ons het 'n klein span saamgestel en die vereistesdokument en die vraestel hersien om enige gebiede te bepaal wat enige potensiële beleids- of konfigurasieveranderinge benodig.

Dit is die moeite werd om te beklemtoon dat dit vereis word om alle gebruiker- en netwerktoestelle te spesifiseer, insluitend bedryfstelselweergawenommering en enige wolkdienste wat gebruik word. Die organisasie se IT-bestuurder moet 'n belangrike spanlid wees wat by die assessering betrokke is.

'n Vroeë oorweging vir die span was die omvang van die assessering. Ons beveel aan dat die hele organisasie in die omvang van die assessering oorweeg word, soos met ander tipes sertifisering. Dit is ook opmerklik dat jou organisasie slegs in aanmerking kom vir gratis kuberversekering as die hele organisasie in omvang is.

Dit was toe 'n kwessie van die beantwoording van vrae oor die vyf tegniese areas wat verband hou met ons netwerk en gebruikerstoestelle. Nie 'n volledige lys nie en daar moet altyd na die vereistesdokument en vraestel verwys word; 'n paar belangrike oorwegings is egter:

• Firewalls moet by netwerkgrense ontplooi word – as tuiswerkers toestelle gebruik, nie 'n VPN gebruik nie, moet sagteware-firewalls by die bedryfstelsel van die toestelle ingesluit word.
• Dit is nodig om alle gebruikers- en netwerktoestelle, insluitend bedryfstelsels, weergawes en mobiele toestelle, te beskryf. Let wel: Alhoewel dit nie 'n spesifieke CE-beheer is nie, Batebestuur moet as 'n kernsekuriteitsfunksie beskou word en kan help om aan die tegniese kontroles te voldoen.
• Al die wolkdienste wat die organisasie gebruik, is ook in omvang.
• Alle toepassings se hoërisiko- en kritieke sekuriteitopdaterings moet binne 14 dae na vrystelling geïnstalleer word. Dit sluit ook firmware op firewalls en routers in.
• Dit word vereis om tegniese kontroles en beleide te hê wat verband hou met gebruiker- en administrateurrekeninge en stawing. MFA moet vir alle Wolkdienste gebruik word.
• Alle toestelle moet teen wanware beskerm word, hetsy deur teen-wanware sagteware geïnstalleer te hê en/of die installering van toepassings te beperk, bv. deur 'n toepassingwinkel te gebruik.

As jy reeds oorweeg het inligtingsekuriteitskontroles of voldoen aan ISO 27001, sal jou bestaande beleide help om 'n paar vrae te beantwoord.

Ons beste wenke om kuber-noodsaaklikhede te benader

1. Die Vereistes vir IT-infrastruktuur (v3.1) dokument lei wat in en buite omvang beskou word rakende BYOD, afstandwerk, draadlose toestelle, gebruikerstoestelle en wolkdienste.
2. Verantwoordelikheid vir die implementeringskontroles, hetsy die organisasie of die wolkverskaffer, sal afhang van die tipe wolkdiens: IaaS, PaaS of SaaS.
3. Daar is ook leiding in die gratis-om-te-aflaai Montpelier-vraestel, wat aandui waar die vereiste verpligtend is vir voldoening. Die assesseringspan moet die vraestel hersien voor die indiening via die portaal.
4. Die selfevalueringsreaksie moet deur 'n lid van die organisasie se uitvoerende span bekragtig word voordat voorlegging aan die onafhanklike assessor voltooi kan word.
5. Jy kan dalk terugvoer ontvang vir verdere verduideliking of vereiste veranderinge. Dit is nodig om enige veranderinge binne twee werksdae voor herindiening te voltooi.

Sodra jy die proses suksesvol voltooi het, sal jy in kennis gestel word dat jy Cyber ​​Essentials-sertifisering geslaag het, en jou organisasie kan ook aan jou kliënte en vooruitsigte demonstreer dat jy jou IT teen kuberaanvalle beveilig het. Jou sertifikaat sal vir 12 maande geldig wees.

Jou Cyber ​​Essentials-suksesverhaal begin hier

As jy jou reis na Cyber ​​Essentials-nakoming wil begin, kan ISMS.online help.

Ons voldoeningsplatform maak 'n eenvoudige, veilige en volhoubare benadering tot dataprivaatheid en inligtingbestuur moontlik met Cyber ​​Essentials en meer as 100 ander raamwerke, insluitend ISO 27001, NIST, BBP, HIPPA en meer. Besef vandag jou mededingende voordeel.

Praat Met 'n Deskundige