การรับรอง Cyber Essentials: สิ่งที่ธุรกิจในสหราชอาณาจักรต้องรู้

ภัยคุกคามทางไซเบอร์ไม่ได้จำกัดอยู่เพียงองค์กรขนาดใหญ่เท่านั้น ธุรกิจขนาดกลางและขนาดย่อมทั่วสหราชอาณาจักรตกเป็นเป้าหมายของการโจมตีแบบอัตโนมัติเพิ่มมากขึ้น เช่น ฟิชชิ่ง, การสวมรอยข้อมูลยืนยันตัวตน, มัลแวร์เรียกค่าไถ่ และการหาประโยชน์จากระบบที่ไม่ได้อัปเดตแพตช์ การโจมตีเหล่านี้ประสบความสำเร็จเนื่องจากใช้ประโยชน์จากจุดอ่อนทั่วไปที่ป้องกันได้

โครงการ Cyber Essentials(หน้าต่างใหม่) ได้รับการออกแบบมาเพื่อช่วยให้องค์กรทุกขนาดในสหราชอาณาจักรปกป้องตนเองจากภัยคุกคามความปลอดภัยทางไซเบอร์ โดยมีศูนย์รักษาความปลอดภัยทางไซเบอร์แห่งชาติสนับสนุน ทำให้ Cyber Essentials เป็นโครงการรับรองที่ได้รับการสนับสนุนจากรัฐบาลสหราชอาณาจักร ซึ่งมุ่งเน้นไปที่การควบคุมที่มีประสิทธิภาพสูงห้าประการ ซึ่งเมื่อนำไปใช้อย่างเหมาะสมจะช่วยลดความเสี่ยงได้อย่างมาก

สำหรับองค์กรหลายแห่งในสหราชอาณาจักร การได้รับการรับรอง Cyber Essentials มีความจำเป็นมากขึ้นเรื่อยๆ สำหรับข้อกำหนดในการจัดซื้อจัดจ้าง ความคาดหวังในห่วงโซ่อุปทาน และความไว้วางใจของลูกค้า ไม่ว่าจะเพื่อเสริมสร้างความปลอดภัยภายในหรือวางตำแหน่งธุรกิจเพื่อการเติบโต การทำความเข้าใจวิธีการทำงานของโครงการนี้เป็นขั้นตอนแรกในการปฏิบัติตามข้อกำหนดและสร้างความได้เปรียบในการแข่งขันที่สำคัญ

Cyber Essentials คืออะไร?

Cyber Essentials คือโครงการรับรองที่ออกแบบมาเพื่อช่วยให้องค์กรนำการควบคุมความปลอดภัยทางไซเบอร์ที่จำเป็นไปใช้ในรูปแบบที่มีโครงสร้างและวัดผลได้ โครงการนี้ได้รับการออกแบบมาเพื่อตอบคำถามง่ายๆ: ได้ดำเนินการตามขั้นตอนพื้นฐานที่จำเป็นเพื่อปกป้องระบบจากภัยคุกคามทั่วไปแล้วหรือยัง?

แทนที่จะพยายามรับมือกับทุกสถานการณ์ความเสี่ยงที่เป็นไปได้ โครงการนี้มุ่งเน้นไปที่การควบคุมทางเทคนิคห้าประการที่มุ่งเป้าไปที่ช่องทางการโจมตีที่พบบ่อยที่สุด ซึ่งรวมถึง การยืนยันตัวตนที่อ่อนแอ, การกำหนดค่าที่ไม่ดี, ระบบที่ไม่ได้อัปเดตแพตช์ และ สิทธิ์การเข้าถึงที่มากเกินไป ซึ่งเป็นห้าด้านหลักที่มักถูกใช้ประโยชน์ในการละเมิดข้อมูลในชีวิตจริง

แนวทางที่มุ่งเน้นนี้คือสิ่งที่ทำให้ Cyber Essentials มีประสิทธิภาพ แทนที่จะพยายามขจัดความเสี่ยงทั้งหมด โครงการนี้ช่วยให้มั่นใจได้ว่าองค์กรจะไม่เสี่ยงต่อการโจมตีแบบอัตโนมัติประเภทต่างๆ ซึ่งคิดเป็นสัดส่วนส่วนใหญ่ของเหตุการณ์ที่เกิดขึ้นทั่วสหราชอาณาจักร

สำหรับธุรกิจ SME สิ่งนี้ทำให้ Cyber Essentials มีคุณค่าเป็นพิเศษ เนื่องจากเป็นกรอบการทำงานที่นำไปปฏิบัติได้จริงและบรรลุผลสำเร็จได้เพื่อปรับปรุงความปลอดภัย โดยไม่ต้องใช้ทรัพยากรหรือความซับซ้อนในระดับองค์กรขนาดใหญ่

ข้อกำหนด Cyber Essentials ของสหราชอาณาจักร: อธิบายการควบคุมหลัก 5 ประการ

ข้อกำหนด Cyber Essentials ของสหราชอาณาจักรสร้างขึ้นจากการควบคุมทางเทคนิคห้าประการ ซึ่งเป็นรากฐานของทั้ง Cyber Essentials และ Cyber Essentials Plus

1. ไฟร์วอลล์และเกตเวย์อินเทอร์เน็ต

ไฟร์วอลล์(หน้าต่างใหม่) ทำหน้าที่เป็นขอบเขตระหว่างระบบภายในและเครือข่ายภายนอก โดยจะกำหนดว่าทราฟฟิกใดได้รับอนุญาตและสิ่งใดถูกบล็อก

ในทางปฏิบัติ หมายถึง:

• อุปกรณ์ที่เชื่อมต่ออินเทอร์เน็ตทั้งหมดได้รับการปกป้องโดยไฟร์วอลล์ที่กำหนดค่าไว้
• พอร์ตและบริการที่ไม่จำเป็นจะถูกบล็อกโดยค่าเริ่มต้น
• ระบบภายในจะไม่เปิดเผยสู่อินเทอร์เน็ตโดยตรง
• การเข้าถึงจากระยะไกลจะถูกกำหนดเส้นทางผ่านโซลูชัน เช่น VPN สำหรับธุรกิจ

ในการประเมินจริง หน่วยงานรับรองจะพิจารณามากกว่าแค่ว่ามีไฟร์วอลล์อยู่หรือไม่ โดยจะประเมินว่ามีการจัดการกฎอย่างต่อเนื่องหรือไม่ บริการที่ไม่จำเป็นถูกเปิดเผยหรือไม่ และการเข้าถึงจากระยะไกลได้รับการควบคุมอย่างเหมาะสมหรือไม่ พอร์ตที่เปิดอยู่ เช่น RDP หรือ SSH ที่เปิดเผยสู่อินเทอร์เน็ตเป็นสาเหตุทั่วไปที่ทำให้องค์กรไม่ผ่านการรับรอง

2. การกำหนดค่าที่ปลอดภัย

การกำหนดค่าเริ่มต้นได้รับการออกแบบมาเพื่อความสะดวกในการใช้งาน ไม่ใช่เพื่อความปลอดภัย การปล่อยทิ้งไว้โดยไม่เปลี่ยนแปลงจะสร้างความเสี่ยงโดยไม่จำเป็น

แนวทางการกำหนดค่าที่ปลอดภัยประกอบด้วย:

• การเปลี่ยนรหัสผ่านเริ่มต้นก่อนการปรับใช้
• การลบออกหรือปิดใช้งานบัญชีและบริการที่ไม่จำเป็น
• การเสริมความแข็งแกร่งให้กับระบบก่อนใช้งาน
• การนำมาตรฐานการกำหนดค่าที่สอดคล้องกันไปใช้

ในทางปฏิบัติ ผู้ตรวจสอบจะมองหาหลักฐานของกระบวนการที่ทำซ้ำได้ การกำหนดค่าระบบเพียงระบบเดียวให้ถูกต้องนั้นไม่เพียงพอ องค์กรต้องแสดงให้เห็นว่าระบบทั้งหมดได้รับการรักษาความปลอดภัยอย่างสม่ำเสมอ การกำหนดค่าคลาวด์ผิดพลาด เช่น พื้นที่จัดเก็บที่เข้าถึงได้แบบสาธารณะ หรือ API ที่เปิดอยู่ มักจะถูกตรวจพบในระหว่างการรับรอง

3. การควบคุมการเข้าถึงของผู้ใช้

การควบคุมการเข้าถึงจะกำกับดูแลว่าใครสามารถเข้าถึงระบบและข้อมูลได้ และในระดับใด

ข้อกำหนดหลักประกอบด้วย:

• การเข้าถึงตามสิทธิ์ขั้นต่ำที่จำเป็น
• การแยกบัญชีผู้ดูแลระบบและบัญชีผู้ใช้ทั่วไป
• การตรวจสอบการเข้าถึงอย่างสม่ำเสมอ
• การลบสิทธิ์การเข้าถึงทันทีสำหรับผู้ที่ลาออก
• ไม่มีการแชร์ข้อมูลยืนยันตัวตน

การประเมินมักเผยให้เห็นปัญหาเกี่ยวกับการจัดการวงจรชีวิตของบัญชี บัญชีที่ไม่มีความเคลื่อนไหว สิทธิ์การใช้งานที่มากเกินไป และการแชร์ข้อมูลยืนยันตัวตน ถือเป็นหนึ่งในข้อค้นพบที่พบบ่อยที่สุด และมีการคาดหวังให้ใช้ การยืนยันตัวตนผ่านสองขั้นตอน (2FA) เป็นการควบคุมขั้นพื้นฐานเพิ่มมากขึ้นเรื่อยๆ

4. การป้องกันมัลแวร์

การป้องกันมัลแวร์ช่วยให้มั่นใจได้ว่าระบบได้รับการปกป้องอย่างต่อเนื่องจากซอฟต์แวร์ที่เป็นอันตราย

สิ่งนี้ประกอบด้วย:

• การป้องกันเอนด์พอยต์ที่เป็นปัจจุบันในอุปกรณ์ทั้งหมด
• เปิดใช้งานการสแกนแบบเรียลไทม์
• การอัปเดตอัตโนมัติสำหรับคำจำกัดความของภัยคุกคาม
• การควบคุมเพื่อป้องกันการทำงานของซอฟต์แวร์ที่ไม่รู้จัก

การป้องกันจำเป็นต้องเปิดใช้งานอย่างสม่ำเสมอ ใบอนุญาตที่หมดอายุแล้ว การสแกนที่ถูกปิดใช้งาน หรือช่องว่างในการป้องกัน โดยเฉพาะในอุปกรณ์ระยะไกล เป็นสาเหตุทั่วไปที่ทำให้องค์กรไม่ผ่านการควบคุมนี้

5. การจัดการการอัปเดตความปลอดภัย

ระบบที่ไม่ได้อัปเดตแพตช์เป็นหนึ่งในช่องทางการเข้าถึงที่พบบ่อยที่สุดสำหรับผู้โจมตี ด้วยเหตุนี้ Cyber Essentials จึงกำหนดให้:

• การอัปเดตที่สำคัญจะต้องนำไปใช้ภายใน 14 วันนับจากวันที่เผยแพร่
• เปิดใช้งานการอัปเดตอัตโนมัติในกรณีที่สามารถทำได้
• ซอฟต์แวร์ที่ไม่ได้รับการสนับสนุนจะต้องถูกลบออก
• ระบบทั้งหมดจะได้รับการอัปเดตให้เป็นปัจจุบันอยู่เสมอ

นี่เป็นข้อกำหนดที่เข้มงวดสำหรับ การป้องกันการละเมิดข้อมูล องค์กรที่พึ่งพารอบการติดตั้งแพตช์ที่ช้ากว่า หรือยังคงใช้ระบบที่หมดอายุการใช้งาน มักจะพบกับความท้าทายในส่วนนี้ เนื่องจากซอฟต์แวร์ที่ไม่ได้รับการสนับสนุนจะไม่สามารถตอบสนองข้อกำหนดการรับรองได้

การควบคุมทั้งห้าประการนี้รวมกันเป็นโครงร่างสำคัญของการรับรอง Cyber Essentials เพื่อให้มั่นใจว่าองค์กรจะจัดการกับช่องโหว่ทั่วไปที่สามารถนำไปใช้ประโยชน์ได้มากที่สุด

Cyber Essentials กับ Cyber Essentials Plus

Cyber Essentials มีระดับการรับรองสองระดับ ได้แก่ Cyber Essentials (CE) และ Cyber Essentials Plus (CE+)

คุณสมบัติ	Cyber Essentials	Cyber Essentials Plus
วิธีการประเมิน	แบบสอบถามการประเมินตนเอง	การทดสอบทางเทคนิคโดยอิสระ
การตรวจสอบยืนยัน	ได้รับการทบทวนโดยหน่วยงานรับรอง	การตรวจสอบความถูกต้องจากการใช้งานจริง
ระดับการรับประกัน	เกณฑ์มาตรฐาน	สูง
ขอบเขตการทดสอบ	เอกสารและการสำแดงข้อมูล	การสแกนหาช่องโหว่และการตรวจสอบเอนด์พอยต์
กรณีการใช้งานทั่วไป	การปฏิบัติตามข้อกำหนดความปลอดภัยทางไซเบอร์ระดับเริ่มต้น	สภาพแวดล้อมและสัญญาที่ต้องการความไว้วางใจสูง

Cyber Essentials ยืนยันว่าธุรกิจได้ดำเนินการตามการควบคุมที่จำเป็น ในขณะที่ Cyber Essentials Plus ก้าวไปอีกขั้นด้วยการรับรองอย่างเป็นอิสระว่าการควบคุมเหล่านั้นทำงานได้จริงในทางปฏิบัติ

สำหรับองค์กรที่ดำเนินงานในสภาพแวดล้อมที่มีการควบคุม ดูแลข้อมูลที่ละเอียดอ่อน หรือแข่งขันเพื่อแย่งชิงสัญญาที่มีมูลค่าสูง Cyber Essentials Plus จะให้ระดับการรับประกันที่แข็งแกร่งยิ่งขึ้น ซึ่งสามารถสร้างความได้เปรียบในการแข่งขันให้กับธุรกิจได้

ธุรกิจใดบ้างที่จำเป็นต้องได้รับการรับรอง Cyber Essentials?

Cyber Essentials ไม่ใช่ข้อบังคับตามกฎหมายสำหรับทุกองค์กร แต่ได้กลายเป็นความคาดหวังพื้นฐานในหลายภาคส่วน

ควรพิจารณาการรับรอง Cyber Essentials อย่างจริงจัง หากองค์กร:

• ทำงานร่วมกับภาครัฐหรือยื่นประมูลสัญญาของรัฐบาล
• จัดการข้อมูลที่ละเอียดอ่อนของลูกค้า การเงิน หรือพนักงาน
• ดำเนินงานภายในห่วงโซ่อุปทานที่มีการบังคับใช้มาตรฐานความปลอดภัย
• ให้บริการด้านไอที การให้คำปรึกษา หรือบริการดิจิทัล
• กำลังขยายขนาดและต้องการแนวทางปฏิบัติด้านความปลอดภัยที่มีโครงสร้าง

ในสภาพแวดล้อมการจัดซื้อจัดจ้างหลายแห่ง Cyber Essentials ถือเป็นข้อกำหนดอย่างไม่เป็นทางการ องค์กรที่ไม่มีการรับรองมักจะถูกคัดออกก่อนที่จะพิจารณาเรื่องความสามารถหรือราคาด้วยซ้ำ

กระบวนการและกรอบเวลาการรับรอง Cyber Essentials

กระบวนการเพื่อให้ได้รับการรับรอง Cyber Essentials นั้นค่อนข้างมีโครงสร้าง แต่การทำงานที่แท้จริงเกิดขึ้นก่อนที่จะส่งข้อมูลใดๆ ความล่าช้าและความล้มเหลวส่วนใหญ่มักเกิดขึ้นในระหว่างขั้นตอนการเตรียมการ ไม่ใช่ระหว่างการประเมิน

ในระดับปฏิบัติ องค์กรจะดำเนินการผ่านกระบวนการห้าขั้นตอน แต่แต่ละขั้นตอนจะมีรายละเอียดมากกว่าที่คิดไว้ในตอนแรก

1. กำหนดขอบเขต

ขั้นตอนแรกคือการกำหนดให้ชัดเจนว่าสิ่งใดอยู่ในขอบเขตของการรับรอง โดยทั่วไปจะรวมถึงอุปกรณ์ ระบบ และบริการทั้งหมดที่เชื่อมต่อกับอินเทอร์เน็ตและจัดการข้อมูลขององค์กร

ในทางปฏิบัติ หมายถึงการระบุถึง:

• อุปกรณ์ของผู้ใช้ปลายทาง เช่น แล็ปท็อป เดสก์ท็อป และอุปกรณ์เคลื่อนที่
• แพลตฟอร์มคลาวด์และแอปพลิเคชั่น SaaS (เช่น Microsoft 365, Google Workspace)
• เครือข่ายภายในและระบบที่เชื่อมต่อกับอินเทอร์เน็ตภายนอก
• จุดเข้าถึงจากระยะไกล รวมถึง VPN และสภาพแวดล้อมการทำงานจากที่บ้าน

การกำหนดขอบเขตเป็นสิ่งสำคัญมาก หากแคบเกินไป การรับรองจะไม่สะท้อนถึงความเสี่ยงที่แท้จริง หากกว้างเกินไป จะเป็นการเพิ่มความซับซ้อนโดยไม่จำเป็นและทำให้กระบวนการล่าช้า ปัญหาที่พบบ่อยที่สุดประการหนึ่งในขั้นตอนนี้คือการมองข้ามอุปกรณ์ระยะไกลหรือบริการคลาวด์ ซึ่งทั้งหมดนี้อยู่ในขอบเขตภายใต้ Cyber Essentials

2. ประเมินสภาพแวดล้อมเทียบกับข้อกำหนด

เมื่อกำหนดขอบเขตแล้ว ขั้นตอนต่อไปคือการประเมินระบบเทียบกับข้อกำหนด Cyber Essentials ทั้งห้าประการ

นี่คือจุดที่งานส่วนใหญ่เกิดขึ้น โดยเป็นการดำเนินการตรวจสอบภายในเพื่อระบุช่องว่างต่างๆ เช่น:

• ไฟร์วอลล์ที่กำหนดค่าผิดพลาดหรือบริการที่เปิดเผย
• รหัสผ่านเริ่มต้น รหัสผ่านที่ใช้ซ้ำ หรือรหัสผ่านที่อ่อนแอ
• สิทธิ์ของผู้ใช้ที่มากเกินไป
• การอัปเดตความปลอดภัยที่ขาดหายไปหรือล่าช้า
• การป้องกันมัลแวร์ที่ไม่สม่ำเสมอในอุปกรณ์ต่างๆ

ในทางปฏิบัติ ขั้นตอนนี้มักจะเผยให้เห็นความไม่สม่ำเสมอมากกว่าความล้มเหลวโดยสิ้นเชิง การควบคุมอาจมีอยู่ แต่อาจไม่ได้นำไปใช้อย่างสม่ำเสมอในทุกระบบ เป้าหมายคือการระบุและบันทึกช่องว่างเหล่านั้นก่อนที่จะย้ายไปสู่การประเมินอย่างเป็นทางการ

3. เสร็จสิ้นการประเมิน (CE หรือ CE+)

สำหรับ Cyber Essentials จะต้องตอบแบบสอบถามการประเมินตนเองที่มีโครงสร้าง คำถามเหล่านี้มีความเฉพาะเจาะจงและเป็นข้อมูลทางเทคนิค ซึ่งกำหนดให้อธิบายอย่างถูกต้องว่ามีการนำการควบคุมไปใช้อย่างไรในสภาพแวดล้อม

หน่วยงานรับรองจะทบทวนคำตอบและอาจขอคำชี้แจงเพิ่มเติมหากมีสิ่งใดที่ไม่ชัดเจนหรือไม่สอดคล้องกัน

สำหรับ Cyber Essentials Plus กระบวนการจะก้าวไปอีกขั้น ผู้ตรวจสอบจากภายนอกจะตรวจสอบความถูกต้องของการควบคุมผ่านการทดสอบจริง ซึ่งโดยทั่วไปประกอบด้วย:

• การสแกนหาช่องโหว่ของระบบที่เชื่อมต่อกับอินเทอร์เน็ตภายนอก
• การตรวจสอบเอนด์พอยต์เพื่อตรวจสอบความถูกต้องของการกำหนดค่าและการอัปเดตแพตช์
• ความพยายามในการยืนยันว่าการป้องกันมัลแวร์และการควบคุมการเข้าถึงทำงานได้ตามที่คาดไว้

ในขั้นตอนนี้ ความถูกต้องเป็นสิ่งสำคัญ การระบุการควบคุมที่เกินจริงหรือการเข้าใจข้อกำหนดผิดพลาดมักนำไปสู่ความล่าช้าหรือความล้มเหลวในระหว่างการทบทวน

4. แก้ไขช่องว่างและปรับปรุงการควบคุม

เป็นเรื่องปกติที่องค์กรจะระบุถึงปัญหาในระหว่างการประเมิน โดยเฉพาะอย่างยิ่งในการพยายามครั้งแรก ปัญหาเหล่านี้มักไม่ใช่ความล้มเหลวทางเทคนิคที่ซับซ้อน แต่เป็นช่องว่างในการดำเนินงาน เช่น:

• บัญชีที่มีสิทธิ์ใช้งานมากเกินไป
• อุปกรณ์ที่ขาดการอัปเดตล่าสุด
• การบังคับใช้นโยบายความปลอดภัยที่ไม่สอดคล้องกัน

การแก้ไขเกี่ยวข้องกับการจัดการกับปัญหาเหล่านี้ และการสร้างความมั่นใจว่าการควบคุมต่างๆ ได้รับการนำไปใช้สม่ำเสมอในทุกระบบที่อยู่ในขอบเขต

ขั้นตอนนี้เป็นขั้นตอนที่องค์กรจะได้รับประโยชน์จากการกำหนดมาตรฐาน แทนที่จะแก้ไขปัญหาเป็นรายกรณี การนำกระบวนการที่สามารถทำซ้ำได้ไปใช้มักจะมีประสิทธิภาพมากกว่า เช่น การกำหนดมาตรฐานการกำหนดค่าอุปกรณ์ หรือการควบคุมการเข้าถึงแบบรวมศูนย์

ในหลายกรณี รวมถึงการแนะนำเครื่องมือจัดการข้อมูลยืนยันตัวตนที่มีโครงสร้าง ซึ่งช่วยให้ทีมสามารถบังคับใช้นโยบายรหัสผ่าน จัดการสิทธิ์จากส่วนกลาง และยกเลิกสิทธิ์การเข้าถึงได้อย่างรวดเร็วเมื่อบทบาทเปลี่ยนไป ความสามารถเหล่านี้อาจรักษาไว้ได้ยากหากใช้กระบวนการด้วยตนเองเพียงอย่างเดียว

ด้วยเหตุนี้ การใช้ โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เช่น Proton Pass for Business จึงช่วยกำหนดมาตรฐานให้กับกระบวนการสร้าง การจัดเก็บ และการแชร์ข้อมูลยืนยันตัวตนในองค์กร ซึ่งช่วยลดการพึ่งพากระบวนการที่ไม่เป็นทางการซึ่งมักจะนำไปสู่ช่องว่างด้านความปลอดภัย

5. ได้รับการรับรอง

เมื่อคำตอบได้รับการตรวจสอบความถูกต้อง หรือในกรณีของ Cyber Essentials Plus เมื่อระบบผ่านการทดสอบโดยอิสระเรียบร้อยแล้ว ก็จะได้รับการรับรอง

สิ่งสำคัญที่ต้องจำคือการรับรอง Cyber Essentials มีอายุการใช้งาน 12 เดือนและต้องได้รับการต่ออายุทุกปีเพื่อรักษาสถานะการรับรอง การต่ออายุเกี่ยวข้องกับการประเมินใหม่ ซึ่งอาจเป็นการประเมินตนเองใหม่สำหรับ Cyber Essentials หรือการประเมินทางเทคนิคโดยอิสระอีกครั้งสำหรับ Cyber Essentials Plus หากการรับรองหมดอายุ องค์กรจะไม่ได้รับการยอมรับว่าได้รับการรับรอง Cyber Essentials อีกต่อไป จนกว่าจะเสร็จสิ้นกระบวนการต่ออายุสำเร็จ

การได้รับการรับรองไม่ใช่จุดสิ้นสุดของกระบวนการ ตลอดทั้งปี ควรนำการอัปเดตความปลอดภัยมาใช้ ตรวจสอบการเข้าถึงของผู้ใช้ รักษาการกำหนดค่าที่ปลอดภัย และนำเข้าระบบใหม่ตามมาตรฐานเดียวกัน หรือกล่าวอีกนัยหนึ่งคือ องค์กรควรพิจารณาว่า Cyber Essentials เป็นวินัยในการดำเนินงานอย่างต่อเนื่อง ไม่ใช่เป็นเพียงการทำแบบฝึกหัดประจำปี

การประเมินมีรายละเอียดอะไรบ้าง

แบบสอบถาม Cyber Essentials มีโครงสร้างคำถามแบบ ใช่/ไม่ใช่ ในเชิงเทคนิคและเฉพาะเจาะจง ซึ่งต้องอาศัยการตีความสภาพแวดล้อมอย่างถูกต้อง องค์กรหลายแห่งประสบปัญหาไม่ใช่เพราะขาดการควบคุม แต่เป็นเพราะการควบคุมเหล่านั้นไม่ได้นำไปใช้อย่างสม่ำเสมอ หรือขาดการบันทึกข้อมูลที่ดีพอ

สำหรับ Cyber Essentials Plus ผู้ประเมินที่เป็นอิสระจะตรวจสอบความถูกต้องของการควบคุมผ่าน:

• การสแกนหาช่องโหว่
• การตรวจสอบการกำหนดค่าเอนด์พอยต์
• การตรวจสอบความถูกต้องของการติดตั้งแพตช์และการป้องกันมัลแวร์

ควรคาดหวังกรอบเวลาใดสำหรับการรับรอง Cyber Essentials?

ไม่มีกรอบเวลาที่แน่นอนสำหรับการรับรอง Cyber Essentials แต่สำหรับองค์กรส่วนใหญ่สามารถคาดหวังสิ่งต่อไปนี้ได้:

• สัปดาห์ที่ 1–2: การกำหนดขอบเขตและการประเมินเบื้องต้น
• สัปดาห์ที่ 2–4: การแก้ไขและการปรับแนวทางการควบคุม
• สัปดาห์ที่ 4–6: การส่งข้อมูล การทบทวน และการรับรอง

องค์กรที่มีการเตรียมพร้อมเป็นอย่างดีและมีสภาพแวดล้อมที่มีโครงสร้างชัดเจนอาจดำเนินการเสร็จสิ้นได้รวดเร็วกว่า ส่วนองค์กรที่มีระบบกระจัดกระจาย ไม่มีความเป็นเจ้าของที่ชัดเจน หรือการควบคุมที่ไม่สม่ำเสมอ อาจต้องการเวลาเพิ่มเติมในการระบุและแก้ไขช่องว่างต่างๆ

ในหลักการแล้วการได้รับการรับรองไม่ใช่เรื่องยาก แต่ต้องอาศัยความชัดเจน ความสม่ำเสมอ และความใส่ใจในรายละเอียด ยิ่งสภาพแวดล้อมมีโครงสร้างที่ดีก่อนที่จะเริ่มต้น กระบวนการรับรองก็จะยิ่งราบรื่นมากขึ้นเท่านั้น

ค่าใช้จ่ายในการรับรอง Cyber Essentials อยู่ที่เท่าใด?

ค่าใช้จ่ายในการรับรอง Cyber Essentials ขึ้นอยู่กับขนาดขององค์กร และการที่เลือกขอรับรอง Cyber Essentials หรือ Cyber Essentials Plus

สำหรับการรับรอง Cyber Essentials มาตรฐาน IASME จะใช้รูปแบบ ราคาคงที่(หน้าต่างใหม่) โดยอิงตามขนาดขององค์กร ในขณะที่เขียนนี้ ค่าธรรมเนียมการประเมินอย่างเป็นทางการมีตั้งแต่ £320 + VAT สำหรับธุรกิจขนาดเล็กมาก (พนักงาน 1-9 คน) ไปจนถึง £600 + VAT สำหรับองค์กรขนาดใหญ่ (พนักงาน 250 คนขึ้นไป) ธุรกิจขนาดกลางและขนาดย่อมส่วนใหญ่อาจมีค่าใช้จ่ายสำหรับการประเมินประมาณ £440–£500 + VAT (ประมาณ $580–$660 USD)

Cyber Essentials Plus มีการกำหนดราคาที่แตกต่างกันออกไป เนื่องจากรวมถึงการทดสอบทางเทคนิคโดยอิสระแทนการประเมินตนเอง จึงไม่มีค่าธรรมเนียมคงที่ระดับประเทศ และกำหนดต้นทุนโดยหน่วยงานรับรองรวมถึงความซับซ้อนของสภาพแวดล้อมไอที สำหรับธุรกิจ SME ส่วนใหญ่ ราคาเริ่มต้นโดยทั่วไปจะอยู่ที่ประมาณ £1,500 (ประมาณ $2,000 USD) และอาจเกินกว่า £3,000 (ประมาณ $4,000 USD) สำหรับสภาพแวดล้อมที่มีขนาดใหญ่หรือซับซ้อนกว่า

นอกจากนี้ ควรคำนึงถึงค่าใช้จ่ายในการเตรียมการด้วย สำหรับองค์กรหลายแห่ง การลงทุนที่ยิ่งใหญ่ที่สุดไม่ใช่ค่าธรรมเนียมการรับรองเพียงอย่างเดียว แต่เป็นเวลาที่ใช้ในการทบทวนระบบ การแก้ไขช่องว่างด้านความปลอดภัย และการกำหนดมาตรฐานการควบคุมก่อนการประเมิน การปรับปรุงเหล่านั้นจะช่วยเสริมสร้างความปลอดภัยโดยรวม โดยไม่คำนึงถึงผลลัพธ์ของการรับรอง

รายการตรวจสอบก่อนการรับรองสำหรับ Cyber Essentials

ก่อนสมัครขอการรับรอง ควรทำการตรวจสอบภายในอย่างมีโครงสร้าง รายการตรวจสอบนี้จะช่วยให้องค์กรมีรายการที่ครอบคลุมสำหรับปฏิบัติตาม

ข้อกำหนด	สิ่งที่จะตรวจสอบ	สถานะ
การกำหนดขอบเขต	ระบุระบบ อุปกรณ์ และบริการทั้งหมด รวมถึงสภาพแวดล้อมระยะไกล	☐
การกำหนดค่าที่ปลอดภัย	เปลี่ยนการตั้งค่าเริ่มต้นแล้ว ลบบริการที่ไม่จำเป็นออกแล้ว และเสริมความแข็งแกร่งของระบบแล้ว	☐
การควบคุมการเข้าถึง	ตรวจสอบสิทธิ์แล้ว บังคับใช้สิทธิ์ขั้นต่ำที่จำเป็น และไม่มีการแชร์ข้อมูลยืนยันตัวตน	☐
การจัดการข้อมูลยืนยันตัวตน	มีการตั้งรหัสผ่านที่รัดกุมและไม่ซ้ำใคร การจัดเก็บและการแชร์ที่ปลอดภัย	☐
การป้องกันมัลแวร์	การป้องกันที่ทำงานอยู่และเป็นปัจจุบันในอุปกรณ์ทั้งหมด	☐
การจัดการแพตช์	อัปเดตระบบทั้งหมดแล้ว ไม่มีซอฟต์แวร์ที่ไม่ได้รับการสนับสนุนในการใช้งาน	☐
ความปลอดภัยของการทำงานจากระยะไกล	อุปกรณ์ระยะไกลและอุปกรณ์ BYOD ได้รับการรักษาความปลอดภัยและรวมอยู่ในขอบเขตแล้ว	☐
การเข้าถึงคลาวด์	ตรวจสอบแพลตฟอร์ม SaaS แล้ว ควบคุมการเข้าถึงแล้ว และลบบัญชีที่ไม่ได้ใช้งานออกแล้ว	☐
ความพร้อมของหลักฐาน	มีเอกสารและหลักฐานในระดับระบบพร้อมใช้งาน	☐
เส้นทางการรับรอง	กำหนด CE หรือ CE+ ไว้อย่างชัดเจน	☐

สิ่งที่ Cyber Essentials ไม่ครอบคลุม

Cyber Essentials เป็นโครงการที่มุ่งเน้นความเฉพาะเจาะจง และความมุ่งเน้นนั้นถือเป็นส่วนหนึ่งของจุดแข็ง อย่างไรก็ตาม โครงการนี้ไม่ได้ครอบคลุมความปลอดภัยทางไซเบอร์ในทุกๆ ด้านภายในองค์กร

ซึ่งไม่ครอบคลุมถึง:

• กรอบการทำงานการจัดการความเสี่ยงอย่างเป็นทางการ
• โครงสร้างการกำกับดูแลที่ครอบคลุม
• การตรวจจับหรือการตรวจสอบภัยคุกคามขั้นสูง
• ความพร้อมในการตอบสนองต่อเหตุการณ์เชิงลึก
• วัฒนธรรมความปลอดภัยทั่วทั้งองค์กร

นี่คือเหตุผลที่ทำให้เข้าใจได้ดีที่สุดว่า Cyber Essentials เป็นเกณฑ์มาตรฐานพื้นฐาน ซึ่งช่วยให้มั่นใจว่ามีการควบคุมขั้นพื้นฐาน แต่ไม่ได้มาแทนที่กรอบการทำงานที่กว้างกว่า เช่น ISO 27001

สำหรับองค์กรหลายแห่ง Cyber Essentials ทำหน้าที่เป็นจุดเริ่มต้นสำหรับกลยุทธ์ความปลอดภัยที่ครอบคลุมยิ่งขึ้น

การควบคุมการเข้าถึงและการจัดการรหัสผ่านใน Cyber Essentials

การควบคุมการเข้าถึงเป็นหนึ่งในด้านที่สำคัญที่สุดภายใน Cyber Essentials และเป็นหนึ่งในส่วนที่บังคับใช้ให้สม่ำเสมอได้ยากที่สุด

ในทางปฏิบัติ ปัญหาส่วนใหญ่เกิดจากพฤติกรรมในชีวิตประจำวัน:

• การใช้รหัสผ่านซ้ำในระบบต่างๆ
• การแชร์ข้อมูลยืนยันตัวตนอย่างไม่เป็นทางการ
• สิทธิ์การใช้งานที่มากเกินไป
• การขาดทัศนวิสัยในการเข้าถึง
• การขาดการยืนยันตัวตนผ่านสองขั้นตอน (2FA)
• นโยบายรหัสผ่านที่อ่อนแอและการควบคุมขององค์กรที่ไม่ดี

เมื่อเวลาผ่านไป ข้อบกพร่องเล็กๆ น้อยๆ เหล่านี้สร้างความเสี่ยงอย่างมาก

ภายใต้ Cyber Essentials การควบคุมการเข้าถึงไม่ใช่แค่การกำหนดสิทธิ์เท่านั้น แต่เป็นการแสดงให้เห็นว่าสิทธิ์เหล่านั้นได้รับการบังคับใช้อย่างสม่ำเสมอในทุกระบบที่อยู่ในขอบเขต

แนวทางที่มีโครงสร้างในการจัดการข้อมูลยืนยันตัวตนช่วยให้บรรลุเป้าหมายนี้ได้ ซึ่งรวมถึงการบังคับใช้รหัสผ่านที่รัดกุมและไม่ซ้ำใคร การรักษาทัศนวิสัยในการเข้าถึง และการสร้างความมั่นใจว่าข้อมูลยืนยันตัวตนได้รับการจัดเก็บอย่างปลอดภัยและแชร์ระหว่างทีม ค้นหาข้อมูลเพิ่มเติมได้ในคู่มือ แนวทางปฏิบัติที่ดีที่สุดสำหรับการจัดการรหัสผ่านสำหรับธุรกิจ

ในทางปฏิบัติ องค์กรหลายแห่งเลิกใช้การจัดการข้อมูลยืนยันตัวตนแบบทำด้วยตนเอง และนำโซลูชันเฉพาะที่ควบคุมการเข้าถึงจากส่วนกลางมาใช้เพื่อช่วยให้การบังคับใช้สอดคล้องกัน ตัวอย่างเช่น โปรแกรมจัดการรหัสผ่านสำหรับทีมไอที เช่น Proton Pass for Business ช่วยให้องค์กรสามารถจัดการข้อมูลยืนยันตัวตนได้ในวงกว้าง มอบสิทธิ์การเข้าถึงตามบทบาท และรักษาทัศนวิสัยที่ชัดเจนว่าใครเข้าถึงสิ่งใดได้บ้าง