As ciberameaças não se limitam às grandes empresas. As pequenas e médias empresas em todo o Reino Unido são cada vez mais alvo de ataques automatizados, tais como phishing, credential stuffing, ransomware e a exploração de sistemas sem patches instalados. Estes ataques têm sucesso porque exploram falhas comuns e evitáveis.
O programa Cyber Essentials(nova janela) foi concebido para ajudar as organizações do Reino Unido de todos os tamanhos a protegerem-se contra ameaças à cibersegurança. Apoiado pelo National Cyber Security Centre, o Cyber Essentials é um programa de certificação apoiado pelo governo do Reino Unido. Centra-se em cinco controlos de alto impacto que, quando devidamente implementados, reduzem significativamente o risco.
Para muitas organizações do Reino Unido, ter uma certificação Cyber Essentials é cada vez mais necessário para requisitos de aquisição, expectativas da cadeia de abastecimento e confiança dos clientes. Quer esteja a reforçar a sua postura de segurança interna ou a posicionar a sua empresa para o crescimento, compreender como o esquema funciona é o primeiro passo para se tornar conforme e obter uma vantagem competitiva crucial.
O que é o Cyber Essentials?
O Cyber Essentials é um esquema de certificação concebido para ajudar as organizações a implementar controlos de cibersegurança essenciais de forma estruturada e mensurável. O esquema foi concebido para responder a uma pergunta simples: tomou as medidas fundamentais necessárias para proteger os seus sistemas contra ameaças comuns?
Em vez de tentar endereçar todos os cenários de risco possíveis, o esquema centra-se em cinco controlos técnicos que visam os pontos de entrada mais comuns para os ataques. Estes incluem autenticação fraca, configuração deficiente, sistemas sem correções de segurança e privilégios excessivos para aceder, que são as cinco principais áreas consistentemente exploradas em incidentes no mundo real.
Esta abordagem focada é o que torna o Cyber Essentials eficaz. Em vez de tentar eliminar todos os riscos, garante que a sua organização não está vulnerável aos tipos de ataques automatizados que representam a maioria dos incidentes no Reino Unido.
Para as PME, isto torna o Cyber Essentials particularmente valioso porque fornece uma estrutura prática e realizável para melhorar a segurança sem exigir recursos ou complexidade à escala empresarial.
Requisitos do Cyber Essentials do Reino Unido: explicação dos 5 controlos principais
Os requisitos do Cyber Essentials do Reino Unido baseiam-se em cinco controlos técnicos. Estes constituem a base tanto do Cyber Essentials como do Cyber Essentials Plus.
1. Firewalls e portas de entrada de internet
As firewalls(nova janela) agem como a fronteira entre os seus sistemas internos e as redes externas. Elas determinam que tráfego é permitido e qual é bloqueado.
Na prática, isto significa:
- Todos os dispositivos ligados à internet estão protegidos por uma firewall configurada
- As portas e serviços desnecessários são bloqueados por predefinição
- Os sistemas internos não estão diretamente expostos à internet
- O acesso remoto é encaminhado através de soluções controladas, tais como VPNs empresariais
Nas avaliações reais, as entidades de certificação olham para além da existência de uma firewall. Avaliam se as regras são geridas de forma ativa, se os serviços desnecessários estão expostos e se o acesso remoto é controlado adequadamente. Portas abertas como RDP ou SSH expostas à internet são um motivo comum para as organizações falharem.
2. Configuração segura
As configurações predefinidas são concebidas para a facilidade de utilização, não para a segurança. Deixá-las inalteradas cria uma exposição desnecessária.
Uma abordagem de configuração segura inclui:
- Alterar as palavras-passe predefinidas antes da implementação
- Remover ou desativar contas e serviços desnecessários
- Reforçar a segurança dos sistemas antes da utilização
- Aplicar padrões de configuração consistentes
Na prática, os auditores procuram evidências de um processo repetível. Não basta que um sistema esteja configurado corretamente; as organizações devem demonstrar que todos os sistemas estão protegidos de forma consistente. Configurações incorretas na nuvem, como armazenamento acessível publicamente ou APIs abertas, são frequentemente identificadas durante a certificação.
3. Controlo de acesso do utilizador
O controlo de acesso dita quem pode aceder aos sistemas e dados, e a que nível.
Os principais requisitos incluem:
- Acesso baseado no privilégio mínimo
- Contas de utilizador padrão e de administrador separadas
- Revisões de acesso regulares
- Remoção imediata do acesso de quem sai
- Sem partilha de credenciais
As avaliações revelam frequentemente problemas com a gestão do ciclo de vida das contas. Contas inativas, permissões excessivas e credenciais partilhadas estão entre as descobertas mais comuns. Cada vez mais, espera-se a autenticação de dois fatores (2FA) como um controlo de base.
4. Proteção contra malware
A proteção contra malware garante que os sistemas são defendidos ativamente contra software malicioso.
Isto inclui:
- Proteção de pontos finais atualizada em todos os dispositivos
- Digitalização em tempo real ativada
- Atualizações automáticas para definições de ameaças
- Controlos para impedir a execução de software desconhecido
A proteção precisa de estar constantemente ativa. Licenças expiradas, digitalização desativada ou falhas na cobertura, particularmente em dispositivos remotos, são razões comuns para as organizações falharem este controlo.
5. Gestão de atualizações de segurança
Os sistemas sem correções de segurança são um dos pontos de entrada mais frequentes para os atacantes. É por isso que o Cyber Essentials exige:
- Atualizações críticas aplicadas no prazo de 14 dias após o lançamento
- Atualizações automáticas ativadas sempre que possível
- Software não suportado removido
- Todos os sistemas mantidos atualizados
Este é um requisito rigoroso para a proteção contra incidentes de dados. As organizações que dependem de ciclos de correção mais lentos ou que continuam a utilizar sistemas em fim de vida enfrentam frequentemente desafios aqui. O software não suportado não consegue cumprir os requisitos de certificação.
Em conjunto, estes cinco controlos constituem a espinha dorsal da certificação Cyber Essentials, garantindo que as organizações endereçam as vulnerabilidades mais comuns e exploráveis.
Cyber Essentials vs Cyber Essentials Plus
O Cyber Essentials está disponível em dois níveis de certificação: Cyber Essentials (CE) e Cyber Essentials Plus (CE+).
| Funcionalidade | Cyber Essentials | Cyber Essentials Plus |
| Método de avaliação | Questionário de autoavaliação | Testes técnicos independentes |
| Verificação | Revisto por um organismo de certificação | Validação prática |
| Nível de garantia | Base de referência | Alta |
| Âmbito dos testes | Documentação e declarações | Análises de vulnerabilidades e verificações de pontos finais |
| Caso de utilização típico | Nível básico de conformidade de cibersegurança | Ambientes e contratos de elevada confiança |
O Cyber Essentials confirma que a sua empresa implementou os controlos necessários, enquanto o Cyber Essentials Plus vai mais além, verificando de forma independente se esses controlos funcionam na prática.
Para as organizações que operam em ambientes regulados, gerem dados confidenciais ou concorrem a contratos de elevado valor, o Cyber Essentials Plus oferece um nível de garantia mais forte que pode dar uma vantagem competitiva à sua empresa.
Que empresas precisam da certificação Cyber Essentials?
O Cyber Essentials não é legalmente obrigatório para todas as organizações, mas tornou-se uma expectativa de referência em muitos setores.
Deve considerar seriamente uma certificação Cyber Essentials se a sua organização:
- Trabalha com o setor público ou concorre a contratos públicos
- Gere dados confidenciais de clientes, financeiros ou de colaboradores
- Opera em cadeias de abastecimento onde são aplicadas normas de segurança
- Presta serviços de TI, consultoria ou serviços digitais
- Está a crescer e necessita de práticas de segurança estruturadas
Em muitos ambientes de contratação, o Cyber Essentials é um requisito não oficial. As organizações sem certificação são frequentemente excluídas antes mesmo de a capacidade ou o preço serem considerados.
Processo e calendário de certificação do Cyber Essentials
O processo para obter a certificação Cyber Essentials é relativamente estruturado, mas o verdadeiro trabalho acontece antes de enviar o que quer que seja. A maioria dos atrasos e falhas ocorre durante a preparação, e não durante a avaliação propriamente dita.
A nível prático, as organizações passam pelo processo em cinco fases, mas cada fase envolve mais do que possa parecer inicialmente.
1. Defina o seu âmbito
O primeiro passo consiste em definir claramente o que está incluído no âmbito da certificação. Normalmente, isto inclui todos os dispositivos, sistemas e serviços que se ligam à internet e que tratam dados organizacionais.
Na prática, isto significa identificar:
- Dispositivos do utilizador final, tais como computadores portáteis, computadores de secretária e dispositivos móveis
- Plataformas na nuvem e aplicações SaaS (por exemplo, Microsoft 365, Google Workspace)
- Redes internas e sistemas expostos à internet
- Pontos de acesso remoto, incluindo VPNs e ambientes de teletrabalho
A definição do âmbito é fundamental. Se for demasiado estreito, a certificação não refletirá o seu risco real. Se for demasiado amplo, introduz uma complexidade desnecessária e atrasa o processo. Um dos problemas mais comuns nesta fase é ignorar os dispositivos remotos ou os serviços na nuvem, que estão totalmente incluídos no âmbito do Cyber Essentials.
2. Avalie o seu ambiente em relação aos requisitos
Uma vez definido o âmbito, o passo seguinte consiste em avaliar os seus sistemas em relação aos cinco requisitos do Cyber Essentials.
É aqui que se realiza a maior parte do trabalho. Está, na verdade, a realizar uma auditoria interna para identificar lacunas, tais como:
- Firewalls mal configuradas ou serviços expostos
- Palavras-passe predefinidas, reutilizadas ou fracas
- Permissões de utilizador excessivas
- Atualizações de segurança em falta ou em atraso
- Proteção contra malware inconsistente nos vários dispositivos
Na prática, este passo revela frequentemente inconsistências e não falhas completas. Os controlos podem existir, mas não são aplicados de forma uniforme em todos os sistemas. O objetivo é identificar e documentar essas lacunas antes de passar para a avaliação formal.
3. Conclua a avaliação (CE ou CE+)
Para o Cyber Essentials, terá de preencher um questionário de autoavaliação estruturado. As perguntas são específicas e técnicas, e exigem que descreva com precisão de que forma os seus controlos estão implementados no seu ambiente.
Os organismos de certificação analisam as suas respostas e podem solicitar esclarecimentos se algo não estiver claro ou for inconsistente.
Para o Cyber Essentials Plus, o processo vai mais além. Um auditor externo irá validar os seus controlos através de testes práticos, que normalmente incluem:
- Digitalização de vulnerabilidades de sistemas expostos à internet
- Verificações de pontos finais para verificar a configuração e a aplicação de atualizações
- Tentativas de confirmar que a proteção contra malware e os controlos de acesso estão a funcionar como esperado
Nesta fase, a precisão é fundamental. Sobrevalorizar os controlos ou compreender incorretamente os requisitos leva frequentemente a atrasos ou falhas durante a revisão.
4. Corrigir lacunas e refinar controlos
É comum as organizações identificarem problemas durante a avaliação, particularmente na primeira tentativa. Normalmente, estes não são falhas técnicas complexas, mas sim lacunas operacionais, tais como:
- Contas com permissões excessivas
- Dispositivos sem as atualizações mais recentes
- Aplicação inconsistente de políticas de segurança
A correção envolve resolver estes problemas e garantir que os controlos são aplicados de forma consistente em todos os sistemas incluídos no âmbito.
Esta fase é também aquela em que as organizações beneficiam da padronização. Em vez de corrigir problemas individualmente, é frequentemente mais eficaz implementar processos repetíveis; por exemplo, padronizar a configuração de dispositivos ou centralizar o controlo de acessos.
Em muitos casos, isto inclui a introdução de ferramentas estruturadas de gestão de credenciais que permitem às equipas aplicar políticas de palavras-passe, gerir permissões centralmente e revogar rapidamente o acesso quando os cargos mudam. Estas capacidades podem ser difíceis de manter apenas através de processos manuais.
É por isso que adotar um gestor de palavras-passe empresarial como o Proton Pass for Business ajuda a padronizar a forma como as credenciais são criadas, armazenadas e partilhadas em toda a sua organização, reduzindo a dependência de processos informais que frequentemente levam a lacunas de segurança.
5. Obter a certificação
Assim que as suas respostas forem validadas ou, no caso do Cyber Essentials Plus, os seus sistemas passarem com sucesso nos testes independentes, receberá a sua certificação.
É importante lembrar que uma certificação Cyber Essentials é válida por 12 meses e deve ser renovada anualmente para manter o seu estado certificado. A renovação envolve a realização de uma nova avaliação, que pode ser uma nova autoavaliação para o Cyber Essentials ou outra avaliação técnica independente para o Cyber Essentials Plus. Se a sua certificação expirar, a sua organização deixará de ser reconhecida como certificada pelo Cyber Essentials até que conclua com sucesso o processo de renovação.
Obter a certificação não é o fim do processo. Ao longo do ano, deve continuar a aplicar atualizações de segurança, a rever o acesso dos utilizadores, a manter configurações seguras e a integrar novos sistemas de acordo com as mesmas normas. Por outras palavras, as organizações devem encarar o Cyber Essentials como uma disciplina operacional contínua e não como um exercício anual.
O que a avaliação envolve
O questionário do Cyber Essentials está estruturado em torno de perguntas técnicas específicas de sim/não. Estas exigem uma interpretação precisa do seu ambiente. Muitas organizações enfrentam dificuldades não por falta de controlos, mas sim porque estes são aplicados de forma inconsistente ou estão mal documentados.
Para o Cyber Essentials Plus, avaliadores independentes validam os seus controlos através de:
- Digitalização de vulnerabilidades
- Verificações de configuração de pontos finais
- Verificação da aplicação de patches e proteção contra malware
Que prazo deve esperar para a certificação Cyber Essentials?
Não existe um prazo fixo para a certificação Cyber Essentials, mas a maioria das organizações pode esperar o seguinte:
- Semanas 1–2: Definição do âmbito e avaliação inicial
- Semanas 2–4: Correção e alinhamento de controlos
- Semanas 4–6: Submissão, revisão e certificação
Organizações bem preparadas e com ambientes estruturados podem concluir o processo mais rapidamente. Aquelas com sistemas fragmentados, propriedade pouco clara ou controlos inconsistentes podem necessitar de tempo adicional para identificar e resolver lacunas.
Obter a certificação não é difícil em princípio, mas exige clareza, consistência e atenção ao detalhe. Quanto mais estruturado estiver o seu ambiente antes de começar, mais simples será o processo de certificação.
Quanto custa a certificação Cyber Essentials?
O custo da certificação Cyber Essentials depende do tamanho da sua organização e de estar a tentar obter o Cyber Essentials ou o Cyber Essentials Plus.
Para a certificação Cyber Essentials padrão, a IASME utiliza um modelo de preços fixos(nova janela) baseado no tamanho da organização. No momento em que este texto é escrito, as taxas oficiais de avaliação variam de £320 + IVA para microempresas (1 a 9 funcionários) a £600 + IVA para grandes organizações (mais de 250 funcionários). A maioria das pequenas e médias empresas pode esperar pagar entre £440 e £500 + IVA (aproximadamente $580 a $660 USD) pela avaliação.
O Cyber Essentials Plus tem um preço diferente porque inclui testes técnicos independentes em vez de uma autoavaliação. Não existe uma taxa nacional fixa, e os custos são determinados pelo organismo de certificação e pela complexidade do seu ambiente de TI. Para a maioria das PMEs, os preços começam normalmente por volta das £1.500 (aproximadamente $2.000 USD) e podem ultrapassar as £3.000 (aproximadamente $4.000 USD) para ambientes maiores ou mais complexos.
Também vale a pena considerar os custos de preparação. Para muitas organizações, o maior investimento não é a taxa de certificação em si, mas o tempo despendido a rever sistemas, a corrigir lacunas de segurança e a padronizar controlos antes da avaliação. Estas melhorias fortalecem a sua postura geral de segurança, independentemente do resultado da certificação.
Lista de verificação pré-certificação para o Cyber Essentials
Antes de se candidatar, é útil realizar uma verificação interna estruturada. Esta lista de verificação fornecerá à sua organização uma lista abrangente a seguir.
| Requisito | O que verificar | Estado |
| Definição do âmbito | Todos os sistemas, dispositivos e serviços identificados, incluindo ambientes remotos | ☐ |
| Configuração segura | Definições predefinidas alteradas, serviços desnecessários removidos, sistemas reforçados | ☐ |
| Controlo de acesso | Permissões revistas, princípio do menor privilégio aplicado, sem credenciais partilhadas | ☐ |
| Gestão de credenciais | Palavras-passe fortes e únicas implementadas, armazenamento e partilha seguros | ☐ |
| Proteção contra malware | Proteção ativa e atualizada em todos os dispositivos | ☐ |
| Gestão de patches | Todos os sistemas atualizados, sem software não suportado em utilização | ☐ |
| Segurança no trabalho remoto | Dispositivos remotos e BYOD protegidos e incluídos no âmbito | ☐ |
| Acesso à nuvem | Plataformas SaaS revistas, acesso controlado, contas não utilizadas removidas | ☐ |
| Prontidão de evidências | Documentação e provas ao nível do sistema disponíveis | ☐ |
| Caminho de certificação | CE ou CE+ claramente definidos | ☐ |
O que o Cyber Essentials não cobre
O Cyber Essentials é intencionalmente focado, e esse foco faz parte da sua força. No entanto, não aborda todos os aspetos da cibersegurança na sua organização.
Não cobre:
- Estruturas formais de gestão de riscos
- Estruturas de governação abrangentes
- Deteção ou monitorização avançada de ameaças
- Maturidade profunda na resposta a incidentes
- Cultura de segurança a nível de toda a organização
É por isso que o Cyber Essentials é mais bem compreendido como uma base de referência. Garante a implementação de controlos fundamentais, mas não substitui estruturas mais abrangentes como a ISO 27001.
Para muitas organizações, o Cyber Essentials serve como ponto de partida para uma estratégia de segurança mais abrangente.
Controlo de acessos e gestão de palavras-passe no Cyber Essentials
O controlo de acessos é uma das áreas mais críticas do Cyber Essentials e uma das mais difíceis de aplicar de forma consistente.
Na prática, a maioria dos problemas surge do comportamento quotidiano:
- Reutilização de palavras-passe em vários sistemas
- Partilha informal de credenciais
- Permissões excessivas
- Falta de visibilidade sobre o acesso
- Falta de autenticação de dois fatores (2FA)
- Políticas de palavras-passe fracas e controlos organizacionais insuficientes
Com o tempo, estas pequenas concessões criam um risco significativo.
No âmbito do Cyber Essentials, o controlo de acessos não se resume à definição de permissões, mas sim à demonstração de que essas permissões são aplicadas de forma consistente em todos os sistemas incluídos.
Uma abordagem estruturada à gestão de credenciais ajuda a alcançar este objetivo. Isso inclui a imposição de palavras-passe fortes e exclusivas, a manutenção da visibilidade sobre o acesso e a garantia de que as credenciais são armazenadas e partilhadas de forma segura entre equipas. Saiba mais no nosso guia sobre as melhores práticas de gestão de palavras-passe para empresas.
Na prática, muitas organizações abandonam a gestão manual de credenciais e adotam soluções dedicadas que centralizam o controlo de acessos e tornam a sua aplicação consistente. Por exemplo, um gestor de palavras-passe para equipas de TI, como o Proton Pass for Business, permite que as organizações giram credenciais em escala, atribuam acessos com base em cargos e mantenham uma visibilidade clara sobre quem tem acesso a quê.
