网络威胁并不仅限于大型企业。英国各地的中小型企业日益成为自动化攻击的目标，例如网络钓鱼、凭证填充、勒索软件以及利用未修补的系统。这些攻击之所以得逞，是因为它们利用了常见且可预防的弱点。

Cyber Essentials（新窗口） 计划旨在帮助英国各种规模的组织防范网络安全威胁。Cyber Essentials 是一项由英国政府支持的认证计划，由英国国家网络安全中心（National Cyber Security Centre）提供支持。它聚焦于五项高影响力的控制措施，只要正确实施，就能显著降低风险。

对许多英国组织而言，获得 Cyber Essentials 认证日益成为满足采购要求、供应链期望和赢得客户信任的必要条件。无论是加强内部安全态势，还是为企业发展布局，了解该计划的运作方式都是实现合规并获得关键竞争优势的第一步。

什么是 Cyber Essentials？

Cyber Essentials 是一项认证计划，旨在帮助组织以结构化、可衡量的方式实施基本的网络安全控制措施。该计划旨在回答一个简单的问题：您是否已采取基本步骤来保护系统免受常见威胁？

该计划并非试图应对所有可能的风险场景，而是聚焦于针对攻击最常见入口的五项技术控制。这些包括弱身份验证、配置不当、系统未修补和访问权限过大，这五类主要领域在实际安全违反事件中持续遭到利用。

这种聚焦式方法正是 Cyber Essentials 有效的关键所在。它并非试图消除所有风险，而是确保您的组织不易受到自动化攻击的影响，而这类攻击占英国大多数安全事件。

对于中小企业而言，这使 Cyber Essentials 尤为有价值，因为它提供了一个切实可行的框架来提升安全性，而无需企业级规模的资源或复杂性。

Cyber Essentials 英国要求：五大核心控制措施详解

Cyber Essentials 的英国要求围绕五项技术控制构建。它们构成了 Cyber Essentials 和 Cyber Essentials Plus 的基础。

1. 防火墙和互联网网关

防火墙（新窗口）充当内部系统与外部网络之间的边界。它们决定允许哪些流量，阻止哪些流量。

在实践中，这意味着：

  • 所有联网设备均受已配置防火墙的保护
  • 不必要的端口和服务默认被阻止
  • 内部系统不直接暴露于互联网
  • 远程访问通过受控解决方案路由，例如企业 VPN

在实际评估中，认证机构不仅关注是否存在防火墙。他们还会评估规则是否得到主动管理、是否暴露了不必要的服务，以及远程访问是否受到妥善控制。RDP 或 SSH 等开放端口暴露在互联网上是组织未能通过认证的常见原因。

2. 安全配置

默认配置是为易用性而设计的，而非安全性。保持其不变会造成不必要的暴露。

安全配置方法包括：

  • 在部署前更改默认密码
  • 移除或停用不必要的帐户和服务
  • 使用前强化系统
  • 应用一致的配置标准

在实践中，审核人员寻找的是可重复流程的证据。仅正确配置一个系统是不够的；组织必须证明所有系统都始终得到安全保护。云配置错误（例如可公开访问的存储空间或开放的应用程序接口）在认证过程中经常被发现。

3. 用户访问控制

访问控制规定谁可以访问系统和数据，以及在何种级别进行访问。

关键要求包括：

  • 基于最小特权的访问
  • 定期访问审查
  • 定期访问权限审查
  • 离职人员的访问权限立即移除
  • 不共享凭证

评估经常揭示帐户生命周期管理方面的问题。休眠帐户、权限过大和共享凭证是最常见的发现。如今，双因素身份验证 (2FA) 日益被视为基线控制。

4. 恶意软件防护

恶意软件防护确保系统受到主动防御，抵御恶意软件的侵害。

这包括：

  • 所有设备均配备最新的端点保护
  • 启用实时扫描
  • 自动更新威胁定义
  • 设置控制措施以防止执行未知软件

防护需要始终保持启用。许可证已过期、扫描被禁用或防护覆盖存在缺口（尤其在远程设备上）是组织未能通过这项控制的常见原因。

5. 安全更新管理

未修补的系统是攻击者最常用的入口之一。正因如此，Cyber Essentials 要求：

  • 关键更新在发布后 14 天内应用
  • 尽可能启用自动更新
  • 移除不受支持的软件
  • 所有系统保持最新

这是数据泄露防护的一项严格要求。依赖较慢修补周期或继续使用已到生命周期末端的系统的组织往往会在此遇到挑战。不受支持的软件无法满足认证要求。

这五项控制措施共同构成了 Cyber Essentials 认证的支柱，确保组织应对最常见且最易被利用的漏洞。

Cyber Essentials 与 Cyber Essentials Plus 的对比

Cyber Essentials 提供两个认证级别：Cyber Essentials (CE) 和 Cyber Essentials Plus (CE+)。

功能Cyber EssentialsCyber Essentials Plus
评估方法自我评估问卷独立技术测试
验证由认证机构审核实操验证
保障级别基线高
测试范围文档和声明漏洞扫描和端点检查
典型用例入门级网络安全合规高信任环境和合同

Cyber Essentials 确认您的企业已实施所需的控制措施，而 Cyber Essentials Plus 更进一步，通过独立验证来确认这些控制措施在实际中是否有效。

对于在受监管环境中运营、处理敏感数据或竞标高价值合同的组织而言，Cyber Essentials Plus 提供更高级别的保障，可为您的企业带来竞争优势。

哪些企业需要 Cyber Essentials 认证？

Cyber Essentials 对所有组织而言并非法律上的强制要求，但在许多行业已成为基本期望。

如果您的组织属于以下情况，应强烈考虑获得 Cyber Essentials 认证：

  • 与公共部门合作或竞标政府合同
  • 处理敏感的客户、财务或员工数据
  • 在强制执行安全标准的供应链中运营
  • 提供 IT、咨询或数字服务
  • 正在扩张且需要结构化的安全实践

在许多采购环境中，Cyber Essentials 是一项非官方的要求。没有认证的组织往往在能力和价格尚未被考虑之前就已被排除在外。

Cyber Essentials 认证流程与时间线

获得 Cyber Essentials 认证的流程相对结构化，但真正的工作发生在您提交任何材料之前。大多数延误和失败出现在准备阶段，而非评估本身。

在实际操作中，组织会经历五个阶段，但每个阶段所涉及的工作都比初看起来更多。

1. 明确范围

第一步是明确定义认证范围内的内容。这通常包括所有连接互联网并处理组织数据的设备、系统和服务。

在实践中，这意味着需要识别：

  • 终端用户设备，例如笔记本电脑、台式机和移动设备
  • 云平台和 SaaS 应用 (例如 Microsoft 365、Google Workspace)
  • 内部网络和面向互联网的系统
  • 远程访问点，包括 VPN 和居家办公环境

范围定义至关重要。如果范围过窄，认证将无法反映您的实际风险。如果范围过宽，则会引入不必要的复杂性并拖慢流程。这一阶段最常见的问题之一是忽视远程设备或云服务，而这些在 Cyber Essentials 下完全属于认证范围。

2. 根据要求评估您的环境

确定范围后，下一步是根据五项 Cyber Essentials 要求评估您的系统。

大部分工作都发生在这一阶段。您实际上是在进行内部审计，以识别以下差距：

  • 配置错误的防火墙或暴露的服务
  • 默认、重复使用或薄弱的密码
  • 用户权限过大
  • 安全更新缺失或延迟
  • 各设备间恶意软件防护不一致

在实践中，这一步骤揭示的往往是不一致之处，而非完全缺失。控制措施可能存在，但未在所有系统中统一应用。目标是在进入正式评估之前识别并记录这些差距。

3. 完成评估 (CE 或 CE+)

对于 Cyber Essentials，您需要完成一份结构化的自我评估问卷。问题具体且技术性强，需要您准确描述控制措施在整个环境中的实施方式。

认证机构会审核您的回答，如有任何不清楚或不一致之处，可能会要求澄清。

对于 Cyber Essentials Plus，流程更进一步。外部审核员将通过实操测试验证您的控制措施，通常包括：

  • 对面向互联网的系统进行漏洞扫描
  • 端点检查以验证配置和修补情况
  • 尝试确认恶意软件防护和访问控制是否按预期工作

在这一阶段，准确性至关重要。夸大控制措施或误解要求往往会导致审核过程中的延误或失败。

4. 弥补差距并完善控制措施

组织在评估过程中发现问题很常见，尤其是在首次尝试时。这些通常不是复杂的技术故障，而是操作层面的差距，例如：

  • 权限过大的帐户
  • 缺少近期更新的设备
  • 安全策略执行不一致

整改包括解决这些问题，并确保控制措施在所有范围内的系统中得到一致应用。

这一阶段也是组织受益于标准化的地方。与其逐个解决问题，实施可重复的流程往往更有效；例如，将设备配置标准化或集中化访问控制。

在许多情况下，这包括引入结构化的凭证管理工具，使团队能够执行密码策略、集中管理权限，并在角色变更时快速撤销访问。这些能力仅靠手动流程往往难以维持。

正因如此，采用 Proton Pass for Business 这样的企业密码管理器有助于规范凭证在整个组织中的创建、存储和共享方式，减少对非正式流程的依赖，这些流程往往会导致安全缺口。

5. 获得认证

一旦您的回答通过验证，或者对于 Cyber Essentials Plus 而言，您的系统成功通过独立测试，您将获得认证。

请务必记住，Cyber Essentials 认证有效期为 12 个月，必须每年续期以保持认证状态。续期需要完成新的评估，对于 Cyber Essentials 可以是全新的自我评估，对于 Cyber Essentials Plus 则是另一次独立技术评估。如果您的认证过期，在成功完成续期流程之前，您的组织将不再被视为 Cyber Essentials 认证组织。

获得认证并非流程的终点。全年期间，您应继续应用安全更新、审查用户访问、维护安全配置，并按照相同标准引入新系统。换言之，组织应将 Cyber Essentials 视为一项持续的运营纪律，而非一年一度的任务。

评估涉及哪些内容

Cyber Essentials 问卷围绕具体的技术性“是/否”问题构建。这些问题需要对您的环境进行准确解读。许多组织之所以遇到困难，并不是因为缺少控制措施，而是因为应用不一致或记录不完善。

对于 Cyber Essentials Plus，独立评估员通过以下方式验证您的控制措施：

  • 漏洞扫描
  • 端点配置检查
  • 验证修补情况和恶意软件防护

Cyber Essentials 认证需要多长时间？

Cyber Essentials 认证没有固定的时间线，但大多数组织可以预期以下情况：

  • 第 1–2 周：确定范围和初步评估
  • 第 2–4 周：整改和控制措施对齐
  • 第 4–6 周：提交、审核和认证

环境结构完善、准备充分的组织可能会更快完成流程。系统分散、职责不清或控制措施不一致的组织可能需要更多时间来识别和解决差距。

获得认证原则上并不困难，但需要清晰、一致和对细节的关注。开始之前环境结构越完善，认证流程就会越顺畅。

Cyber Essentials 认证的费用是多少？

Cyber Essentials 认证的费用取决于您组织的大小以及您追求的是 Cyber Essentials 还是 Cyber Essentials Plus。

对于标准 Cyber Essentials 认证，IASME 采用基于组织大小的固定定价（新窗口）模式。截至撰写本文时，官方评估手续费从微型企业（1–9 名员工）的 320 英镑 + 增值税（VAT）到大型组织（250 名以上员工）的 600 英镑 + 增值税（VAT）不等。大多数中小型企业预计需支付 440–500 英镑 + 增值税（约合 580–660 美元）的评估手续费。

Cyber Essentials Plus 的定价有所不同，因为它包括独立技术测试而非自我评估。目前没有全国统一的手续费，费用由认证机构和您 IT 环境的复杂程度决定。对大多数中小企业而言，定价通常从约 1,500 英镑（约合 2,000 美元）起，对于更大或更复杂的环境可能超过 3,000 英镑（约合 4,000 美元）。

准备工作成本也值得纳入考量。对许多组织而言，最大的投入并非认证手续费本身，而是在评估之前审查系统、弥补安全缺口和标准化控制措施所花费的时间。无论认证结果如何，这些改进都会增强您的整体安全态势。

Cyber Essentials 认证前检查清单

在申请之前，进行一次结构化的内部检查会很有帮助。这份检查清单将为您的组织提供一份可遵循的全面清单。

要求检查内容状态
范围定义已识别所有系统、设备和服务，包括远程环境☐
安全配置已更改默认设置，已移除不必要的服务，系统已强化☐
访问控制已审查权限，强制执行最小特权，无共享凭证☐
凭证管理已采用高强度且唯一的密码，安全存储和共享☐
恶意软件防护所有设备上的防护均已启用且为最新☐
修补管理所有系统已更新，未使用不受支持的软件☐
远程办公安全远程和 BYOD 设备已获保护并纳入范围☐
云访问已审查 SaaS 平台，访问受控，已移除未使用的帐户☐
证据准备就绪可提供文档和系统级证明☐
认证路径已明确选择 CE 或 CE+☐

Cyber Essentials 不涵盖的内容

Cyber Essentials 是有意保持聚焦的，而这种聚焦正是其优势的一部分。不过，它并不能应对组织网络安全的所有方面。

它不涵盖：

  • 正式的风险管理框架
  • 全面的治理结构
  • 高级威胁检测或监控
  • 深入的事件响应成熟度
  • 组织范围内的安全文化

这就是为什么最好将 Cyber Essentials 理解为一个基线。它确保基本的控制措施到位，但无法取代更广泛的框架，例如 ISO 27001。

对许多组织而言，Cyber Essentials 是更全面安全策略的起点。

Cyber Essentials 中的访问控制和密码管理

访问控制是 Cyber Essentials 中最关键的领域之一，也是最难始终如一地执行的领域之一。

在实践中，大多数问题源于日常行为：

  • 跨系统重复使用密码
  • 非正式共享凭证
  • 权限过大
  • 对访问缺乏可见性
  • 缺少双因素身份验证 (2FA)
  • 薄弱的密码策略和组织控制不佳

随着时间推移，这些微小的安全妥协将带来重大风险。

在 Cyber Essentials 下，访问控制不仅仅是定义权限，还在于证明这些权限在所有范围内的系统中得到一致执行。

结构化的凭证管理方法有助于实现这一点。这包括强制使用高强度且唯一的密码、保持对访问的可见性，以及确保凭证在团队间安全地存储和共享。欲了解更多信息，请参阅我们的企业密码管理最佳实践指南。

在实践中，许多组织摒弃手动凭证处理方式，转而采用集中化访问控制并确保一致执行的专用解决方案。例如，采用 Proton Pass for Business 这样的面向 IT 团队的密码管理器，组织能够大规模管理凭证、根据角色分配访问权限，并清晰掌握谁有权访问什么。