Qu’est-ce que Cyber Essentials ?

Avec Cyber Essentials, une organisation répond à une auto-évaluation portant sur cinq mesures de sécurité, qu’un évaluateur indépendant contrôle ensuite. Ce dispositif soutenu par le gouvernement britannique est défini par le National Cyber Security Centre (NCSC). Les acheteurs le demandent aux fournisseurs dans les appels d’offres, c’est-à-dire les invitations formelles à remettre une offre pour un marché, ainsi que dans les questionnaires fournisseurs qu’ils envoient avant de référencer un fournisseur.

Les cinq mesures de sécurité vérifiées par Cyber Essentials

Les exigences de Cyber Essentials se résument à cinq mesures techniques portant sur le système d’information de l’organisation elle-même, et la certification confirme que les cinq sont en place. Le NCSC les désigne ainsi :

• Pare-feu : contrôler le trafic entre les appareils de l’organisation et Internet.
• Configuration sécurisée : modifier les paramètres par défaut et supprimer les logiciels et les comptes inutiles.
• Gestion des mises à jour de sécurité : installer les mises à jour logicielles qui corrigent les failles de sécurité.
• Contrôle des accès utilisateurs : ne donner à chaque personne que les comptes et les droits d’accès nécessaires à son travail.
• Protection contre les logiciels malveillants : protéger les appareils de l’organisation contre les codes malveillants.

La certification Cyber Essentials est une auto-évaluation qu’un évaluateur indépendant vérifie. IASME la décrit comme une auto-évaluation vérifiée de manière indépendante. L’organisation répond à des questions sur sa propre configuration, et un évaluateur examine ces réponses avant de délivrer un certificat.

Ce que le dispositif ne couvre pas compte autant que ce qu’il couvre. Les cinq mesures portent toutes sur les appareils, les réseaux et les comptes. Aucune ne dit comment un fournisseur traite les informations d’un acheteur pendant l’exécution d’un contrat, ni comment il réagit lorsqu’un incident de sécurité survient. Le document du NCSC sur les exigences pour l’infrastructure informatique précise que la sauvegarde des données ne fait pas partie des exigences techniques du dispositif. Un certificat ne constitue donc pas une preuve des modalités de sauvegarde ou de reprise, et un fournisseur qui en détient un a démontré les cinq mesures, rien de plus.

Cyber Essentials et Cyber Essentials Plus

Cyber Essentials Plus vérifie les mêmes cinq mesures que Cyber Essentials et ajoute à l’auto-évaluation un audit technique pratique. Les deux niveaux partagent les mêmes exigences techniques. Plus commence par le questionnaire de base, puis un évaluateur audite les systèmes informatiques de l’organisation pour s’assurer que les mesures sont en place. Le NCSC décrit cette étape comme un test indépendant du fonctionnement réel des mesures.

Cet audit relève le niveau d’exigence. S’il révèle une mesure non respectée, ce qu’on appelle une non-conformité, le demandeur dispose de 30 jours pour la corriger. Il ne peut pas être certifié tant que la correction n’est pas faite. Au niveau de base, le contrôle de l’évaluateur repose sur les réponses de l’organisation elle-même, sans aucun test des systèmes.

Pour un fournisseur, les deux niveaux constituent des preuves différentes. Un certificat de base montre que l’organisation a déclaré appliquer les cinq mesures et fait vérifier cette déclaration. Un certificat Plus montre qu’un évaluateur a également testé ces mesures sur ses systèmes. Le niveau exigé par l’acheteur est fixé dans les documents de l’appel d’offres, et un certificat de base ne satisfait pas à une exigence de niveau Plus.

La place de Cyber Essentials dans un appel d’offres

Dans un appel d’offres, Cyber Essentials prend la forme d’une exigence à laquelle le fournisseur répond en donnant les détails de son certificat, comme son niveau, sa date et ce qu’il couvre. Elle peut figurer dans un questionnaire de sélection, une étape précoce où l’acheteur vérifie qu’un fournisseur remplit les conditions avant de noter son offre complète. Elle peut aussi apparaître dans un questionnaire fournisseur envoyé avant le début d’un contrat.

Les documents de l’appel d’offres précisent comment l’exigence est évaluée. Il peut s’agir d’un critère éliminatoire : une offre sans certificat est alors écartée avant même la lecture de ses réponses. L’acheteur peut aussi accepter d’autres preuves des mêmes mesures. Pour les ministères de l’administration centrale britannique, leurs agences et les organismes du NHS, la Procurement Policy Note 014 demande aux acheteurs dont le marché exige Cyber Essentials de réclamer un certificat de l’un ou l’autre niveau, ou un équivalent, avant l’attribution du marché.

Un acheteur ne se contente pas de constater qu’un certificat existe. Le périmètre d’un certificat est la partie de l’organisation et de son informatique que l’évaluation a couverte, et il peut être plus restreint que l’ensemble de l’entreprise. Le Cyber Essentials Supply Chain Playbook du NCSC rappelle aux acheteurs qu’il leur revient de vérifier que ce périmètre couvre le risque qu’ils prennent en contractant avec le fournisseur. Les acheteurs recherchent le fournisseur dans l’outil public de recherche de certificats d’IASME. Si le périmètre exclut l’équipe ou les systèmes qui exécuteraient le contrat, le certificat peut ne pas suffire à l’acheteur pour ce contrat.

Le rôle d’un certificat dans un questionnaire de sécurité

Dans un questionnaire de sécurité, un certificat Cyber Essentials répond aux questions sur ses cinq mesures, mais les autres questions exigent toujours une réponse rédigée. Un questionnaire de sécurité est la liste de questions qu’un acheteur pose sur la manière dont un fournisseur protège ses systèmes et les informations de l’acheteur. Le NCSC suggère aux acheteurs d’aligner ces questionnaires sur les mesures de Cyber Essentials et d’accepter un certificat comme validation de celles-ci.

Prenons une petite entreprise dont le certificat Cyber Essentials de base couvre toute l’activité, et qui répond au questionnaire de sécurité d’un acheteur potentiel avant un contrat de services. Le questionnaire demande si l’entreprise utilise des pare-feu et comment elle maintient ses logiciels à jour. Il demande aussi qui détient les comptes administrateur et comment les appareils sont protégés contre les logiciels malveillants. Si l’acheteur a aligné son questionnaire sur les recommandations du NCSC, l’entreprise répond à chaque question en citant son certificat et en le joignant.

Le même questionnaire porte aussi sur la sauvegarde des données de l’entreprise et sur la manière dont elle détecterait un incident, le contiendrait et rétablirait son activité. Une autre question concerne le traitement des informations de l’acheteur pendant le contrat. Le certificat n’apporte aucune preuve sur ces points : l’entreprise rédige donc chaque réponse et l’étaye par ses propres politiques et registres. La façon de rédiger ces réponses pour qu’elles résistent aux vérifications de l’acheteur est expliquée dans des réponses défendables aux questionnaires de sécurité.

Un acheteur qui n’a pas aligné son questionnaire peut demander à l’entreprise de décrire les cinq mesures avec ses propres mots. Le certificat accompagne alors ces réponses comme preuve complémentaire. Certains questionnaires demandent aussi ISO 27001, une norme internationale qui encadre l’ensemble d’un système de management de la sécurité de l’information. Elle va bien au-delà des cinq mesures : un certificat Cyber Essentials est donc une preuve différente et plus restreinte. Le processus complet de réponse à un questionnaire de sécurité couvre les deux types de questions.