Pour quiconque prépare un dossier Cyber Essentials
Vous préparez Cyber Essentials ? Voyez ce qu'un évaluateur peut voir.
La certification repose sur un questionnaire d'auto-évaluation, mais les parties de votre installation exposées à Internet sont visibles de tous. Vérifiez-les avant de soumettre votre dossier, pas après le retour d'une question.
Les résultats d'analyse et l'application sont en anglais pour le moment.
Cyber Essentials est un dispositif de certification britannique construit autour de cinq contrôles de base. Deux d'entre eux, la configuration sécurisée et la gestion des mises à jour de sécurité, laissent des traces qu'un évaluateur peut voir depuis l'extérieur de votre réseau, tout comme n'importe qui d'autre. Cette page explique quelles parties du dispositif sont visibles de l'extérieur et ce qu'il faut mettre en ordre avant de soumettre votre dossier.
Ce que couvre réellement le dispositif
La certification repose sur un questionnaire d'auto-évaluation, vérifié au regard de cinq domaines de contrôle : pare-feu, configuration sécurisée, gestion des mises à jour de sécurité, contrôle des accès utilisateurs et protection contre les logiciels malveillants. L'essentiel des éléments est interne : paramètres des appareils, politiques de comptes, processus de mise à jour. Ce qu'apporte une vérification externe, c'est une vue de la partie que vous ne voyez pas de l'intérieur : ce que vos services exposés à Internet disent d'eux-mêmes au monde entier.
- Pare-feu et équipements de périmètre
- Configuration sécurisée des systèmes et des services
- Gestion des mises à jour de sécurité
- Contrôle des accès utilisateurs
- Protection contre les logiciels malveillants
Ce qui est visible de l'extérieur
Un évaluateur qui examine votre dossier, mais aussi un concurrent ou un chercheur, peut voir les mêmes signaux publics que ceux lus par cette vérification. Ce sont souvent eux qui contredisent discrètement une réponse au questionnaire.
- Des services exposés à Internet que personne ne se souvenait avoir laissés ouverts
- Les versions logicielles annoncées dans les réponses, et la question de savoir si des vulnérabilités connues les concernent
- La sécurité du transport : l'état des certificats et les versions de protocole encore acceptées
- Les enregistrements d'authentification des e-mails, qui se situent à côté du dispositif plutôt qu'en son sein, mais font régulièrement l'objet de questions
Avant de soumettre votre dossier
La surprise la plus fréquente concerne le périmètre. La certification couvre tout ce qui se trouve dans le périmètre que vous déclarez, et les organisations ont tendance à déclarer le site principal en oubliant un ancien sous-domaine, un microsite de campagne ou un portail hébergé par un fournisseur qui porte encore leur nom. Lancer une vérification externe sur tout ce qui répond à votre domaine est un moyen peu coûteux de les repérer avant que l'évaluation ne le fasse.
- Recensez chaque hôte qui répond à votre domaine, pas seulement le site web
- Fermez ou filtrez par pare-feu tout ce qui est exposé sans raison de l'être
- Corrigez d'abord les éléments de la couche transport : ils sont rapides et sans ambiguïté
Questions fréquentes
›Cette vérification nous certifie-t-elle Cyber Essentials ?
Non. La certification est délivrée par un organisme de certification accrédité, à l'issue d'un questionnaire d'auto-évaluation. Il s'agit d'une vérification préalable des signaux visibles de l'extérieur, utile pour repérer les lacunes en amont, et rien de plus.
›Lesquels des cinq contrôles une vérification externe peut-elle voir ?
Principalement la configuration sécurisée et la gestion des mises à jour de sécurité, car toutes deux laissent des traces visibles dans ce qu'exposent vos services accessibles depuis Internet. Les pare-feu se devinent en partie à partir de ce qui est joignable. Le contrôle des accès utilisateurs et la protection contre les logiciels malveillants sont internes et ne sont pas évalués ici.
›Nous visons Cyber Essentials Plus. Cette vérification reste-t-elle utile ?
Oui, pour la même raison. Plus ajoute une vérification technique sur le terrain : tout ce qui est visiblement incorrect depuis l'extérieur a donc plus de chances d'être remarqué, et non moins.
Indicatif uniquement. Il s'agit d'une vérification externe de signaux visibles publiquement. Ce n'est pas une évaluation Cyber Essentials, elle ne confère aucune certification et elle ne couvre pas les contrôles internes qu'exige le dispositif.
Également utile : le socle de l'article 32 du RGPD.