Wat is Cyber Essentials?

Bij Cyber Essentials beantwoordt een organisatie een zelfevaluatie over vijf beheersmaatregelen voor beveiliging, waarna een onafhankelijke assessor de antwoorden beoordeelt. Het is een door de Britse overheid gesteund schema, uitgewerkt door het National Cyber Security Centre (NCSC). Kopers vragen leveranciers erom in aanbestedingen, de formele uitnodigingen om voor een opdracht een offerte in te dienen, en in de leveranciersvragenlijsten die ze versturen voordat ze met een leverancier in zee gaan.

De vijf beheersmaatregelen die Cyber Essentials controleert

De eisen van Cyber Essentials zijn vijf technische beheersmaatregelen in de eigen IT van een organisatie, en de certificering bevestigt dat ze alle vijf aanwezig zijn. Het NCSC benoemt ze als volgt:

• Firewalls: het verkeer tussen de apparaten van de organisatie en het internet regelen.
• Veilige configuratie: standaardinstellingen aanpassen en overbodige software en accounts verwijderen.
• Beheer van beveiligingsupdates: de software-updates installeren die beveiligingslekken dichten.
• Toegangsbeheer voor gebruikers: iedereen alleen de accounts en toegangsrechten geven die nodig zijn voor het eigen werk.
• Bescherming tegen malware: de apparaten van de organisatie beveiligen tegen kwaadaardige software.

Cyber Essentials-certificering is een zelfevaluatie die een onafhankelijke assessor controleert. IASME omschrijft het als een onafhankelijk geverifieerde zelfevaluatie. De organisatie beantwoordt vragen over haar eigen IT-omgeving, en een assessor beoordeelt die antwoorden voordat er een certificaat wordt uitgereikt.

Wat het schema niet dekt, is even belangrijk als wat het wel dekt. Alle vijf beheersmaatregelen gaan over apparaten, netwerken en accounts. Geen enkele bepaalt hoe een leverancier tijdens een opdracht met de informatie van een koper omgaat, of hoe hij reageert wanneer zich een beveiligingsincident voordoet. Het NCSC vermeldt in zijn eisendocument voor IT-infrastructuur dat het maken van back-ups geen deel uitmaakt van de technische eisen van het schema. Een certificaat is dus geen bewijs van back-up- of herstelvoorzieningen: een leverancier die er een heeft, heeft de vijf beheersmaatregelen aangetoond en niets meer.

Cyber Essentials en Cyber Essentials Plus

Cyber Essentials Plus controleert dezelfde vijf beheersmaatregelen als Cyber Essentials en voegt aan de zelfevaluatie een praktische technische audit toe. Beide niveaus hebben dezelfde technische eisen. Plus begint met de basisvragenlijst, waarna een assessor de IT-systemen van de organisatie auditeert om na te gaan of de beheersmaatregelen aanwezig zijn. Het NCSC omschrijft dit als het onafhankelijk testen of de beheersmaatregelen in de praktijk werken.

Die audit legt de lat hoger. Vindt de audit een beheersmaatregel waaraan niet is voldaan, een non-conformiteit, dan heeft de aanvrager 30 dagen om dat recht te zetten. Zonder dat herstel kan de aanvrager niet slagen. Op het basisniveau steunt de controle van de assessor op de eigen antwoorden van de organisatie, zonder test van de systemen zelf.

Voor een leverancier zijn de twee niveaus verschillende soorten bewijs. Een basiscertificaat toont aan dat de organisatie heeft verklaard dat de vijf beheersmaatregelen aanwezig zijn, en die verklaring heeft laten controleren. Een Plus-certificaat toont aan dat een assessor die beheersmaatregelen ook op haar systemen heeft getest. Welk niveau een koper nodig heeft, staat in de aanbestedingsdocumenten, en een basiscertificaat voldoet niet aan een eis voor Plus.

Waar Cyber Essentials opduikt in een aanbesteding

In een aanbesteding verschijnt Cyber Essentials als een eis waarop de leverancier antwoordt met de gegevens van zijn certificaat, zoals het niveau, de datum en wat het dekt. De eis kan voorkomen in een selectievragenlijst, een vroege fase waarin een koper nagaat of een leverancier in aanmerking komt voordat hij de volledige offerte beoordeelt. Ze kan ook terugkomen in een leveranciersvragenlijst die vóór de start van een contract wordt verstuurd.

De aanbestedingsdocumenten bepalen hoe de eis wordt beoordeeld. Het kan een knock-outcriterium zijn: een offerte zonder certificaat wordt dan uitgesloten nog voor de antwoorden gelezen worden. De koper kan ook ander bewijs van dezelfde beheersmaatregelen aanvaarden. Voor ministeries van de Britse centrale overheid, hun agentschappen en NHS-instellingen draagt Procurement Policy Note 014 kopers op om, wanneer een opdracht Cyber Essentials vereist, vóór de gunning een certificaat op een van beide niveaus, of een gelijkwaardig bewijs, te eisen.

Een koper controleert meer dan alleen of er een certificaat is. De scope van een certificaat is het deel van de organisatie en haar IT waarop de beoordeling betrekking had, en die kan smaller zijn dan het hele bedrijf. Het Cyber Essentials Supply Chain Playbook van het NCSC wijst kopers erop dat zij zelf moeten nagaan of de scope het risico dekt dat ze nemen door met de leverancier een contract te sluiten. Ze zoeken de leverancier op in de openbare certificaatzoekfunctie van IASME. Als de scope het team of de systemen uitsluit die de opdracht zouden uitvoeren, volstaat het certificaat voor die opdracht mogelijk niet voor de koper.

Hoe een certificaat werkt in een security questionnaire

In een security questionnaire beantwoordt een Cyber Essentials-certificaat de vragen over de vijf beheersmaatregelen; de overige vragen moet de leverancier nog altijd zelf uitschrijven. Een security questionnaire is een lijst met vragen van een koper over hoe een leverancier zijn systemen en de informatie van de koper beschermt. Het NCSC stelt voor dat kopers deze vragenlijsten afstemmen op de beheersmaatregelen van Cyber Essentials en een certificaat aanvaarden als bevestiging daarvan.

Neem een kleine onderneming met een basiscertificaat Cyber Essentials dat de hele organisatie dekt. Ze beantwoordt de security questionnaire van een potentiële koper voor een dienstencontract. De vragenlijst wil weten of de onderneming firewalls gebruikt en hoe ze haar software up-to-date houdt. Ook wordt gevraagd wie de beheerdersaccounts heeft en hoe apparaten tegen malware beschermd zijn. Heeft de koper zijn vragenlijst afgestemd op de richtlijnen van het NCSC, dan beantwoordt de onderneming elke vraag door naar haar certificaat te verwijzen en het bij te voegen.

Dezelfde vragenlijst peilt ook hoe de onderneming een back-up van haar gegevens maakt en hoe ze een incident zou detecteren, indammen en te boven komen. Een andere vraag gaat over hoe ze tijdens het contract met de informatie van de koper zou omgaan. Voor geen van deze punten levert het certificaat bewijs, dus schrijft de onderneming elk antwoord uit en onderbouwt ze het met haar eigen beleid en registraties. Hoe u die antwoorden zo schrijft dat ze overeind blijven wanneer de koper ze controleert, leest u in verdedigbare antwoorden op security questionnaires.

Een koper die zijn vragenlijst niet heeft afgestemd, kan de onderneming vragen de vijf beheersmaatregelen in haar eigen woorden te beschrijven. Het certificaat staat dan naast die antwoorden als ondersteunend bewijs. Sommige vragenlijsten vragen ook naar ISO 27001, een internationale norm voor het beheer van een volledig managementsysteem voor informatiebeveiliging. Die norm gaat veel verder dan de vijf beheersmaatregelen, dus een Cyber Essentials-certificaat is een ander en beperkter bewijsstuk. Het volledige proces van het beantwoorden van een security questionnaire behandelt beide soorten vragen.