Cyber Essentials प्रमाणीकरण: UK के व्यवसायों को क्या जानने की ज़रूरत है

साइबर खतरे सिर्फ बड़े एंटरप्राइज़ तक सीमित नहीं हैं। UK भर के छोटे और मध्यम आकार के व्यवसाय ऑटोमेटेड हमलों जैसे फिशिंग, क्रेडेंशियल स्टफिंग, रैंसमवेयर, और बिना पैच वाले सिस्टम के इस्तेमाल के लिए लगातार ज़्यादा निशाना बन रहे हैं। ये हमले सफल होते हैं क्योंकि ये आम, रोकथाम योग्य कमजोरियों का फायदा उठाते हैं।

Cyber Essentials(नई विंडो) स्कीम को UK के सभी साइज़ के संगठनों को साइबर सुरक्षा के खतरों से खुद को बचाने में मदद के लिए डिज़ाइन किया गया था। National Cyber Security Centre के समर्थन वाली Cyber Essentials, UK सरकार द्वारा समर्थित एक प्रमाणीकरण स्कीम है। ये पांच ऐसे कंट्रोल पे केंद्रित है जो सही तरीके से लागू किए जाने पे जोखिम को काफी कम कर देते हैं।

कई UK संगठनों के लिए Cyber Essentials प्रमाणीकरण होना प्रोक्योरमेंट ज़रूरतों, सप्लाई चेन की अपेक्षाओं, और ग्राहकों के भरोसे के लिए लगातार ज़रूरी होता जा रहा है। चाहे आप अपनी इंटरनल सुरक्षा को मज़बूत कर रहे हों या अपने व्यवसाय को ग्रोथ के लिए तैयार कर रहे हों, ये समझना कि ये स्कीम कैसे काम करती है, कंप्लाइंट हासिल करने और एक अहम प्रतिस्पर्धात्मक फायदा पाने का पहला कदम है।

Cyber Essentials क्या है?

Cyber Essentials एक प्रमाणीकरण स्कीम है जो संगठनों को ज़रूरी साइबर सुरक्षा कंट्रोल को संरचित और मापने योग्य तरीके से लागू करने में मदद के लिए डिज़ाइन की गई है। ये स्कीम एक साधारण सवाल का जवाब देने के लिए डिज़ाइन की गई है: क्या आपने आम खतरों से अपने सिस्टम को बचाने के लिए बुनियादी कदम उठाए हैं?

हर संभव जोखिम के परिदृश्य को संभालने की कोशिश करने के बजाय, ये स्कीम पांच तकनीकी कंट्रोल पे केंद्रित है जो हमलों के सबसे आम प्रवेश बिंदुओं को निशाना बनाते हैं। इनमें कमज़ोर सत्यापन,खराब संरचना, बिना पैच वाले सिस्टम, और ज़्यादा एक्सेस विशेषाधिकार शामिल हैं, जो वो पांच मुख्य क्षेत्र हैं जिनका असली लीक में लगातार फायदा उठाया जाता है।

यही केंद्रित तरीका Cyber Essentials को प्रभावी बनाता है। सारे जोखिम खत्म करने की कोशिश करने के बजाय, ये सुनिश्चित करता है कि आपका संगठन ऑटोमेटेड हमलों के उन तरीकों से खतरे में न हो जो UK भर में ज़्यादातर घटनाओं का हिस्सा हैं।

छोटे और मध्यम व्यवसायों (SMEs) के लिए, इससे Cyber Essentials खास तौर पे काम का बनता है क्योंकि ये एंटरप्राइज़-स्तर के संसाधनों या जटिलता के बिना सुरक्षा सुधारने के लिए एक व्यावहारिक, हासिल करने योग्य फ्रेमवर्क देता है।

Cyber Essentials UK ज़रूरतें: 5 कोर कंट्रोल समझाए गए

Cyber Essentials UK ज़रूरतें पांच तकनीकी कंट्रोल के इर्द-गिर्द बनी हैं। ये Cyber Essentials और Cyber Essentials Plus दोनों की नींव बनाते हैं।

1. फायरवॉल और इंटरनेट गेटवे

फायरवॉल(नई विंडो) आपके इंटरनल सिस्टम और बाहरी नेटवर्क के बीच सीमा का काम करते हैं। ये तय करते हैं कि कौन सा ट्रैफिक अनुमति वाला है और कौन सा ब्लॉक किया जाए।

व्यावहारिक रूप से, इसका मतलब है:

• इंटरनेट से जुड़े सारे डिवाइस संरचित फायरवॉल से सुरक्षित हैं
• ज़रूरी न होने वाले पोर्ट और सेवाएं डिफॉल्ट रूप से ब्लॉक हैं
• इंटरनल सिस्टम सीधे इंटरनेट पे उजागर नहीं हैं
• रिमोट एक्सेस को नियंत्रित समाधानों जैसे बिज़नेस VPN के रास्ते भेजा जाता है

असली आकलनों में, प्रमाणीकरण निकाय सिर्फ ये नहीं देखते कि फायरवॉल मौजूद है या नहीं। वो आकलन करते हैं कि क्या नियमों को सक्रिय रूप से संभाला जा रहा है, क्या ज़रूरी न होने वाली सेवाएं उजागर हैं, और क्या रिमोट एक्सेस को ठीक से नियंत्रित किया गया है। इंटरनेट पे खुले उजागर RDP या SSH जैसे पोर्ट संगठनों के फेल होने का आम कारण हैं।

2. सुरक्षित संरचना

डिफॉल्ट संरचनाएं इस्तेमाल में आसानी के लिए डिज़ाइन की गई हैं, सुरक्षा के लिए नहीं। इन्हें बदले बिना छोड़ना गैर-ज़रूरी जोखिम पैदा करता है।

सुरक्षित संरचना के तरीके में शामिल हैं:

• डिप्लॉयमेंट से पहले डिफॉल्ट पासवर्ड बदलना
• ज़रूरी न होने वाले खातों और सेवाओं को हटाना या अक्षम करना
• इस्तेमाल से पहले सिस्टम को सुरक्षित बनाना
• एक जैसे संरचना स्टैंडर्ड लागू करना

व्यावहारिक रूप से, ऑडिटर एक दोहराने योग्य प्रक्रिया के सबूत ढूंढते हैं। सिर्फ एक सिस्टम का सही संरचित होना काफी नहीं है; संगठनों को ये दिखाना होता है कि सारे सिस्टम लगातार सुरक्षित हैं। क्लाउड की गलत संरचनाएं, जैसे सार्वजनिक रूप से एक्सेस किया जा सकने वाला स्टोरेज या खुले एपीआई, प्रमाणीकरण के दौरान अक्सर पाई जाती हैं।

3. उपयोगकर्ता एक्सेस नियंत्रण

एक्सेस नियंत्रण तय करता है कि कौन सिस्टम और डाटा को एक्सेस कर सकता है, और किस स्तर पे।

मुख्य ज़रूरतों में शामिल हैं:

• न्यूनतम विशेषाधिकार पे आधारित एक्सेस
• अलग एडमिन और स्टैंडर्ड उपयोगकर्ता खाते
• नियमित एक्सेस समीक्षाएं
• नौकरी छोड़ने वालों का एक्सेस तुरंत हटाना
• कोई शेयर किए गए प्रमाण नहीं

आकलनों में अक्सर खाते के लाइफसाइकल मैनेजमेंट से जुड़ी समस्याएं सामने आती हैं। सुस्त खाते, ज़्यादा अनुमतियां, और शेयर किए गए प्रमाण सबसे आम नतीजों में शामिल हैं। लगातार, दो-फैक्टर सत्यापन (2-एफए) को बेसलाइन कंट्रोल के तौर पे अपेक्षित माना जा रहा है।

4. मालवेयर सुरक्षा

मालवेयर सुरक्षा सुनिश्चित करती है कि सिस्टम को दुर्भावनापूर्ण सॉफ्टवेयर के खिलाफ सक्रिय रूप से बचाया जाए।

इसमें शामिल हैं:

• सारे डिवाइस पे अपडेटेड एंडपॉइंट सुरक्षा
• रीयल-टाइम स्कैनिंग सक्षम
• खतरे की परिभाषाओं के लिए ऑटोमैटिक अपडेट
• अनजान सॉफ्टवेयर के चलने को रोकने के लिए कंट्रोल

सुरक्षा को लगातार सक्रिय रहना चाहिए। समय खत्म हो चुके लाइसेंस, अक्षम की गई स्कैनिंग, या कवरेज में खामियां, खास तौर पे रिमोट डिवाइस पे, संगठनों के इस कंट्रोल में फेल होने के आम कारण हैं।

5. सुरक्षा अपडेट मैनेजमेंट

बिना पैच वाले सिस्टम हमलावरों के सबसे आम प्रवेश बिंदुओं में से एक हैं। इसीलिए Cyber Essentials ज़रूरी समझता है:

• गंभीर अपडेट रिलीज़ के 14 दिन के भीतर लागू किए गए
• जहां संभव हो वहां ऑटोमैटिक अपडेट सक्षम
• असमर्थित सॉफ्टवेयर हटाया गया
• सारे सिस्टम अपडेटेड रखे गए

ये डाटा लीक सुरक्षा के लिए एक सख्त ज़रूरत है। जो संगठन धीमे पैचिंग चक्रों पे निर्भर हैं या अब भी समय खत्म हो चुके सिस्टम इस्तेमाल करते हैं, उन्हें यहां अक्सर चुनौतियों का सामना करना पड़ता है। असमर्थित सॉफ्टवेयर प्रमाणीकरण की ज़रूरतों को पूरा नहीं कर सकता।

इन पांच कंट्रोल के साथ मिलकर Cyber Essentials प्रमाणीकरण की रीढ़ बनती है, जो सुनिश्चित करता है कि संगठन सबसे आम और फायदा उठाई जा सकने वाली कमजोरियों को संभालें।

Cyber Essentials बनाम Cyber Essentials Plus

Cyber Essentials दो प्रमाणीकरण स्तरों पे उपलब्ध है: Cyber Essentials (CE) और Cyber Essentials Plus (CE+)।

खासियत	Cyber Essentials	Cyber Essentials Plus
आकलन विधि	स्व-आकलन प्रश्नावली	स्वतंत्र तकनीकी परीक्षण
सत्यापन	प्रमाणीकरण निकाय द्वारा समीक्षित	व्यावहारिक सत्यापन
आश्वासन स्तर	बेसलाइन	ज़्यादा
परीक्षण का दायरा	दस्तावेज़ीकरण और घोषणाएं	वल्नरेबिलिटी स्कैन और एंडपॉइंट जांच
आम इस्तेमाल का मामला	प्रारंभिक स्तर की साइबर सुरक्षा कंप्लाइंस	उच्च-भरोसे वाले वातावरण और अनुबंध

Cyber Essentials पुष्टि करता है कि आपके व्यवसाय ने ज़रूरी कंट्रोल लागू किए हैं, जबकि Cyber Essentials Plus एक कदम आगे जाकर स्वतंत्र रूप से सत्यापित करता है कि वो कंट्रोल व्यावहारिक रूप से काम कर रहे हैं।

रेगुलेटेड वातावरण में काम करने वाले संगठनों, संवेदनशील डाटा संभालने वाले संगठनों, या बड़े-मूल्य वाले अनुबंधों के लिए मुकाबला करने वाले संगठनों के लिए, Cyber Essentials Plus एक मज़बूत आश्वासन स्तर देता है जो आपके व्यवसाय को प्रतिस्पर्धात्मक बढ़त दे सकता है।

किन व्यवसायों को Cyber Essentials प्रमाणीकरण की ज़रूरत है?

Cyber Essentials सारे संगठनों के लिए कानूनी तौर पे अनिवार्य नहीं है, लेकिन कई क्षेत्रों में ये बेसलाइन अपेक्षा बन गई है।

आपको Cyber Essentials प्रमाणीकरण पर ज़रूर विचार करना चाहिए अगर आपका संगठन:

• सार्वजनिक क्षेत्र के साथ काम करता है या सरकारी अनुबंधों के लिए बोली लगाता है
• संवेदनशील ग्राहक, वित्तीय, या कर्मचारी डाटा संभालता है
• ऐसी सप्लाई चेन के भीतर काम करता है जहां सुरक्षा स्टैंडर्ड लागू किए जाते हैं
• IT, कंसल्टिंग, या डिजिटल सेवाएं देता है
• बढ़ रहा है और उसे संरचित सुरक्षा प्रथाओं की ज़रूरत है

कई प्रोक्योरमेंट वातावरणों में, Cyber Essentials एक अनौपचारिक ज़रूरत है। बिना प्रमाणीकरण वाले संगठनों को अक्सर क्षमता या कीमत पर विचार किए जाने से भी पहले बाहर रख दिया जाता है।

Cyber Essentials प्रमाणीकरण प्रक्रिया और समय-सीमा

Cyber Essentials प्रमाणीकरण हासिल करने की प्रक्रिया काफी संरचित है, लेकिन असली काम कुछ भी सबमिट करने से पहले होता है। ज़्यादातर देरी और असफलताएं तैयारी के दौरान होती हैं, आकलन के दौरान नहीं।

व्यावहारिक स्तर पे, संगठन इस प्रक्रिया से पांच चरणों में गुज़रते हैं, लेकिन हर चरण में शुरुआत में लगने से ज़्यादा काम शामिल होता है।

1. अपना दायरा तय करें

पहला कदम है साफ तौर पे तय करना कि प्रमाणीकरण के दायरे में क्या आता है। इसमें आमतौर पे वो सारे डिवाइस, सिस्टम, और सेवाएं शामिल हैं जो इंटरनेट से जुड़ते हैं और संगठन का डाटा संभालते हैं।

व्यावहारिक रूप से, इसका मतलब है पहचानना:

• लैपटॉप, डेस्कटॉप, और मोबाइल डिवाइस जैसे एंड-यूज़र डिवाइस
• क्लाउड प्लेटफॉर्म और SaaS एप्लीकेशन (जैसे Microsoft 365, Google Workspace)
• इंटरनल नेटवर्क और इंटरनेट पे उपलब्ध सिस्टम
• रिमोट एक्सेस पॉइंट, जिनमें VPN और घर से काम करने के वातावरण शामिल हैं

दायरे की परिभाषा बेहद ज़रूरी है। अगर ये बहुत संकरा है, तो प्रमाणीकरण आपके असली जोखिम को नहीं दिखाएगा। अगर ये बहुत चौड़ा है, तो आप गैर-ज़रूरी जटिलता पैदा करते हैं और प्रक्रिया धीमी करते हैं। इस चरण में सबसे आम समस्याओं में रिमोट डिवाइस या क्लाउड सेवाओं को नज़रअंदाज़ करना है, जो Cyber Essentials के तहत पूरी तरह दायरे में आती हैं।

2. अपने वातावरण का ज़रूरतों के मुकाबले आकलन करें

दायरा तय होने के बाद, अगला कदम है अपने सिस्टम का पांच Cyber Essentials ज़रूरतों के मुकाबले आकलन करना।

ज़्यादातर काम यहीं होता है। आप असल में एक इंटरनल ऑडिट चला रहे हैं ताकि ऐसी खामियां पहचान सकें:

• गलत संरचित फायरवॉल या उजागर सेवाएं
• डिफॉल्ट, दोबारा इस्तेमाल किए गए या कमज़ोर पासवर्ड
• उपयोगकर्ता की ज़्यादा अनुमतियां
• गायब या देर से किए गए सुरक्षा अपडेट
• डिवाइसों पे असंगत मालवेयर सुरक्षा

व्यावहारिक रूप से, ये कदम अक्सर पूरी असफलता के बजाय असंगतियां दिखाता है। कंट्रोल मौजूद हो सकते हैं, लेकिन वो सारे सिस्टम पर एक जैसे लागू नहीं होते। मकसद है औपचारिक आकलन की तरफ बढ़ने से पहले उन खामियों को पहचानना और दस्तावेज़ित करना।

3. आकलन पूरा करें (CE या CE+)

Cyber Essentials के लिए, आपको एक संरचित स्व-आकलन प्रश्नावली पूरी करनी होगी। सवाल विशिष्ट और तकनीकी होते हैं, और इनके लिए आपको सटीक रूप से बताना होता है कि आपके कंट्रोल पूरे वातावरण में कैसे लागू किए गए हैं।

प्रमाणीकरण निकाय आपके जवाबों की समीक्षा करते हैं और अगर कुछ अस्पष्ट या असंगत हो तो स्पष्टीकरण मांग सकते हैं।

Cyber Essentials Plus के लिए, प्रक्रिया एक कदम आगे जाती है। एक बाहरी ऑडिटर व्यावहारिक परीक्षण के ज़रिए आपके कंट्रोल को सत्यापित करेगा, जिसमें आमतौर पे शामिल हैं:

• इंटरनेट पे उपलब्ध सिस्टम की वल्नरेबिलिटी स्कैनिंग
• संरचना और पैचिंग जांचने के लिए एंडपॉइंट जांच
• ये पुष्टि करने की कोशिशें कि मालवेयर सुरक्षा और एक्सेस कंट्रोल उम्मीद के मुताबिक काम कर रहे हैं

इस चरण पे सटीकता मायने रखती है। कंट्रोल को ज़्यादा दिखाना या ज़रूरतों को गलत समझना अक्सर समीक्षा के दौरान देरी या असफलता की वजह बनता है।

4. खामियां दूर करें और कंट्रोल सुधारें

संगठनों के लिए आकलन के दौरान समस्याएं पहचानना आम है, खास तौर पे पहली कोशिश पे। ये आमतौर पे जटिल तकनीकी असफलताएं नहीं होतीं, बल्कि ऐसी परिचालन खामियां होती हैं जैसे:

• ज़्यादा अनुमतियों वाले खाते
• हाल के अपडेट से वंचित डिवाइस
• सुरक्षा नीतियों का असंगत पालन

समाधान में इन समस्याओं को संभालना और ये सुनिश्चित करना शामिल है कि कंट्रोल दायरे के सारे सिस्टम पर एक जैसे लागू हों।

यही चरण वो जगह भी है जहां संगठनों को मानकीकरण से फायदा होता है। समस्याओं को अलग-अलग ठीक करने के बजाय, दोहराने योग्य प्रक्रियाएं लागू करना अक्सर ज़्यादा प्रभावी होता है; उदाहरण के लिए, डिवाइस की संरचना को मानकीकृत करना या एक्सेस नियंत्रण को केंद्रीकृत करना।

कई मामलों में, इसमें संरचित प्रमाण मैनेजमेंट टूल शामिल करना शामिल है जो टीमों को पासवर्ड नीतियां लागू करने, अनुमतियों को केंद्रीय रूप से संभालने, और भूमिकाएं बदलने पे एक्सेस तुरंत वापस लेने देते हैं। ये क्षमताएं सिर्फ मैनुअल प्रक्रियाओं के ज़रिए बनाए रखना मुश्किल हो सकता है।

इसीलिए Proton Pass for Business जैसे बिज़नेस पासवर्ड मैनेजर को अपनाने से मदद मिलती है कि प्रमाण कैसे बनाए, स्टोर किए, और शेयर किए जाते हैं, इसे पूरे संगठन में मानकीकृत किया जाए, जिससे उन अनौपचारिक प्रक्रियाओं पे निर्भरता कम हो जो अक्सर सुरक्षा खामियों की वजह बनती हैं।

5. प्रमाणीकरण हासिल करें

जब आपके जवाब सत्यापित हो जाते हैं, या Cyber Essentials Plus के मामले में, आपके सिस्टम स्वतंत्र परीक्षण में सफलतापूर्वक पास हो जाते हैं, तो आपको अपना प्रमाणीकरण मिल जाता है।

ये याद रखना ज़रूरी है कि Cyber Essentials प्रमाणीकरण 12 महीने के लिए मान्य है और अपना प्रमाणित दर्जा बनाए रखने के लिए इसे हर साल नवीनीकृत करना पड़ता है। नवीनीकरण में नया आकलन पूरा करना शामिल है, जो Cyber Essentials के लिए एक ताज़ा स्व-आकलन हो सकता है या Cyber Essentials Plus के लिए दूसरा स्वतंत्र तकनीकी आकलन। अगर आपका प्रमाणीकरण समय खत्म हो जाता है, तो नवीनीकरण प्रक्रिया सफलतापूर्वक पूरी होने तक आपका संगठन Cyber Essentials प्रमाणित के रूप में मान्यता प्राप्त नहीं रहता।

प्रमाणित होना प्रक्रिया का अंत नहीं है। पूरे साल, आपको सुरक्षा अपडेट लागू करते रहना चाहिए, उपयोगकर्ता एक्सेस की समीक्षा करनी चाहिए, सुरक्षित संरचनाएं बनाए रखनी चाहिए, और नए सिस्टम को उन्हीं स्टैंडर्ड के मुताबिक शामिल करना चाहिए। दूसरे शब्दों में, संगठनों को Cyber Essentials को सालाना अभ्यास के बजाय एक चालू परिचालन अनुशासन की तरह देखना चाहिए।

आकलन में क्या शामिल है

Cyber Essentials प्रश्नावली विशिष्ट, तकनीकी हां/ना सवालों के इर्द-गिर्द संरचित है। इनके लिए आपके वातावरण की सटीक व्याख्या ज़रूरी है। कई संगठनों को दिक्कत इसलिए नहीं आती कि कंट्रोल मौजूद नहीं हैं, बल्कि इसलिए कि वो असंगत रूप से लागू किए गए हैं या खराब तरीके से दस्तावेज़ित हैं।

Cyber Essentials Plus के लिए, स्वतंत्र आकलनकर्ता आपके कंट्रोल को इनके ज़रिए सत्यापित करते हैं:

• वल्नरेबिलिटी स्कैनिंग
• एंडपॉइंट संरचना जांच
• पैचिंग और मालवेयर सुरक्षा का सत्यापन

Cyber Essentials प्रमाणीकरण के लिए कितनी समय-सीमा की उम्मीद रखनी चाहिए?

Cyber Essentials प्रमाणीकरण के लिए कोई तय समय-सीमा नहीं है, लेकिन ज़्यादातर संगठन निम्नलिखित की उम्मीद कर सकते हैं:

• हफ्ते 1–2: दायरा तय करना और शुरुआती आकलन
• हफ्ते 2–4: समाधान और कंट्रोल का अनुरूप होना
• हफ्ते 4–6: सबमिशन, समीक्षा, और प्रमाणीकरण

अच्छी तरह तैयार संगठन, जिनका वातावरण संरचित है, प्रक्रिया जल्दी पूरी कर सकते हैं। जिनके सिस्टम बिखरे हुए हैं, जिम्मेदारी अस्पष्ट है, या कंट्रोल असंगत हैं, उन्हें खामियां पहचानने और सुलझाने के लिए ज़्यादा समय चाहिए।

सिद्धांत रूप से प्रमाणित होना मुश्किल नहीं है, लेकिन इसके लिए स्पष्टता, एकरूपता, और जानकारी पे ध्यान चाहिए। शुरू करने से पहले आपका वातावरण जितना ज़्यादा संरचित होगा, प्रमाणीकरण प्रक्रिया उतनी आसान होगी।

Cyber Essentials प्रमाणीकरण की कीमत कितनी है?

Cyber Essentials प्रमाणीकरण की लागत आपके संगठन के साइज़ पर और इस बात पर निर्भर करती है कि आप Cyber Essentials ले रहे हैं या Cyber Essentials Plus।

स्टैंडर्ड Cyber Essentials प्रमाणीकरण के लिए, IASME संगठन के साइज़ पर आधारित फिक्स्ड प्राइसिंग(नई विंडो) मॉडल इस्तेमाल करता है। लिखते समय, आधिकारिक आकलन फीस माइक्रो व्यवसायों (1–9 कर्मचारी) के लिए £320 + VAT से लेकर बड़े संगठनों (250+ कर्मचारी) के लिए £600 + VAT तक है। ज़्यादातर छोटे और मध्यम व्यवसाय आकलन के लिए £440–£500 + VAT (लगभग $580–$660 USD) देने की उम्मीद कर सकते हैं।

Cyber Essentials Plus की कीमत अलग तरीके से तय होती है क्योंकि इसमें स्व-आकलन के बजाय स्वतंत्र तकनीकी परीक्षण शामिल है। कोई तय राष्ट्रीय फीस नहीं है, और लागत प्रमाणीकरण निकाय और आपके IT वातावरण की जटिलता से तय होती है। ज़्यादातर SMEs के लिए, कीमत आमतौर पे लगभग £1,500 (लगभग $2,000 USD) से शुरू होती है और बड़े या ज़्यादा जटिल वातावरण के लिए £3,000 (लगभग $4,000 USD) से ज़्यादा हो सकती है।

तैयारी की लागत को भी ध्यान में रखना फायदेमंद है। कई संगठनों के लिए, सबसे बड़ा निवेश प्रमाणीकरण फीस नहीं, बल्कि आकलन से पहले सिस्टम की समीक्षा, सुरक्षा खामियां दूर करने, और कंट्रोल को मानकीकृत करने में लगाया गया समय है। वो सुधार प्रमाणीकरण के नतीजे से कोई फर्क नहीं पड़ने से आपकी पूरी सुरक्षा को मज़बूत करते हैं।

Cyber Essentials के लिए प्री-प्रमाणीकरण चेकलिस्ट

आवेदन करने से पहले, एक संरचित इंटरनल जांच चलाना फायदेमंद है। ये चेकलिस्ट आपके संगठन को पालन करने के लिए एक व्यापक सूची देगी।

आवश्यकता	क्या जांचना है	स्थिति
दायरे की परिभाषा	सारे सिस्टम, डिवाइस, और सेवाएं पहचानी गईं, जिनमें रिमोट वातावरण शामिल हैं	☐
सुरक्षित संरचना	डिफॉल्ट सेटिंग बदली गईं, ज़रूरी न होने वाली सेवाएं हटाई गईं, सिस्टम सुरक्षित बनाए गए	☐
एक्सेस कंट्रोल	अनुमतियों की समीक्षा की गई, न्यूनतम विशेषाधिकार लागू, कोई शेयर किए गए प्रमाण नहीं	☐
प्रमाण मैनेजमेंट	मज़बूत, अनोखे पासवर्ड मौजूद, सुरक्षित स्टोरेज और शेयरिंग	☐
मालवेयर सुरक्षा	सारे डिवाइस पे सक्रिय और अपडेटेड सुरक्षा	☐
पैच मैनेजमेंट	सारे सिस्टम अपडेट किए गए, इस्तेमाल में कोई असमर्थित सॉफ्टवेयर नहीं	☐
रिमोट काम की सुरक्षा	रिमोट और BYOD डिवाइस सुरक्षित और दायरे में शामिल	☐
क्लाउड एक्सेस	SaaS प्लेटफॉर्म की समीक्षा की गई, एक्सेस नियंत्रित, इस्तेमाल न होने वाले खाते हटाए गए	☐
सबूत की तैयारी	दस्तावेज़ीकरण और सिस्टम-स्तर के सबूत उपलब्ध	☐
प्रमाणीकरण रास्ता	CE या CE+ साफ तौर पे तय	☐

Cyber Essentials क्या कवर नहीं करता

Cyber Essentials जान-बूझकर केंद्रित है, और वही केंद्रित होना इसकी ताकत का हिस्सा है। हालांकि, ये आपके संगठन के भीतर साइबर सुरक्षा के हर पहलू को संभाल नहीं पाता।

ये कवर नहीं करता:

• औपचारिक जोखिम मैनेजमेंट फ्रेमवर्क
• व्यापक गवर्नेंस संरचनाएं
• उन्नत खतरा पहचान या निगरानी
• गहरी घटना प्रतिक्रिया परिपक्वता
• पूरे संगठन में सुरक्षा संस्कृति

इसीलिए Cyber Essentials को बेसलाइन की तरह समझना सबसे सही है। ये सुनिश्चित करता है कि बुनियादी कंट्रोल मौजूद हैं, लेकिन ये ISO 27001 जैसे व्यापक फ्रेमवर्क की जगह नहीं लेता।

कई संगठनों के लिए, Cyber Essentials ज़्यादा व्यापक सुरक्षा रणनीति की शुरुआत का बिंदु का काम करता है।

Cyber Essentials में एक्सेस नियंत्रण और पासवर्ड मैनेजमेंट

एक्सेस नियंत्रण Cyber Essentials के सबसे ज़रूरी क्षेत्रों में से एक है, और लगातार लागू करने के लिए सबसे मुश्किल में से एक।

व्यावहारिक रूप से, ज़्यादातर समस्याएं रोज़मर्रा के व्यवहार से पैदा होती हैं:

• सिस्टमों में पासवर्ड का दोबारा इस्तेमाल
• अनौपचारिक प्रमाण शेयरिंग
• ज़्यादा अनुमतियां
• एक्सेस पे नज़र न होना
• दो-फैक्टर सत्यापन (2-एफए) न होना
• कमज़ोर पासवर्ड नीतियां और खराब संगठनात्मक कंट्रोल

समय के साथ, ये छोटी छेड़छाड़ें बड़ा जोखिम पैदा करती हैं।

Cyber Essentials के तहत, एक्सेस नियंत्रण सिर्फ अनुमतियां तय करने की बात नहीं है, बल्कि ये दिखाने की भी है कि वो अनुमतियां दायरे के सारे सिस्टम पर लगातार लागू होती हैं।

प्रमाण मैनेजमेंट का एक संरचित तरीका इसे हासिल करने में मदद करता है। इसमें मज़बूत, अनोखे पासवर्ड लागू करना, एक्सेस पे नज़र बनाए रखना, और ये सुनिश्चित करना शामिल है कि प्रमाण टीमों के बीच सुरक्षित रूप से स्टोर किए और शेयर किए जाएं। व्यवसायों के लिए पासवर्ड मैनेजमेंट की सर्वोत्तम प्रथाओं की हमारी गाइड में और जानें।

व्यावहारिक रूप से, कई संगठन मैनुअल प्रमाण संभालने से हटकर समर्पित समाधान अपनाते हैं जो एक्सेस नियंत्रण को केंद्रीकृत करते हैं और लागू करने को एक जैसा बनाते हैं। उदाहरण के लिए, Proton Pass for Business जैसा IT टीमों के लिए पासवर्ड मैनेजर संगठनों को बड़े पैमाने पे प्रमाण संभालने, भूमिकाओं के मुताबिक एक्सेस देने, और ये साफ रखने देता है कि किसके पास किस चीज़ का एक्सेस है।