Le minacce informatiche non riguardano solo le grandi imprese. Le piccole e medie imprese del Regno Unito sono sempre più nel mirino di attacchi automatizzati come il phishing, il credential stuffing, i ransomware e lo sfruttamento di sistemi non aggiornati. Questi attacchi vanno a buon fine perché sfruttano vulnerabilità comuni e prevenibili.
Il programma Cyber Essentials(nuova finestra) è stato progettato per aiutare le organizzazioni del Regno Unito di qualsiasi dimensione a proteggersi dalle minacce alla sicurezza informatica. Supportato dal National Cyber Security Centre, Cyber Essentials è un programma di certificazione promosso dal governo del Regno Unito. Si concentra su cinque controlli ad alto impatto che, se implementati correttamente, riducono significativamente i rischi.
Per molte organizzazioni del Regno Unito, ottenere la certificazione Cyber Essentials è sempre più necessario per soddisfare i requisiti di approvvigionamento, le aspettative della catena di fornitura e la fiducia dei clienti. Che tu stia rafforzando la tua sicurezza interna o preparando la tua attività alla crescita, comprendere il funzionamento di questo programma è il primo passo per essere conformi e ottenere un vantaggio competitivo fondamentale.
Cos’è Cyber Essentials?
Cyber Essentials è un programma di certificazione progettato per aiutare le organizzazioni a implementare controlli di sicurezza informatica essenziali in modo strutturato e misurabile. Il programma mira a rispondere a una domanda semplice: hai adottato le misure fondamentali necessarie per proteggere i tuoi sistemi dalle minacce più comuni?
Invece di cercare di affrontare ogni possibile scenario di rischio, il programma si concentra su cinque controlli tecnici che mirano ai punti di accesso più comuni per gli attacchi. Questi includono un’autenticazione debole, una configurazione inadeguata, sistemi non aggiornati e privilegi di accesso eccessivi, che sono le cinque aree principali costantemente sfruttate nelle violazioni del mondo reale.
Questo approccio mirato è ciò che rende efficace Cyber Essentials. Invece di cercare di eliminare ogni rischio, garantisce che la tua organizzazione non sia vulnerabile ai tipi di attacchi automatizzati che causano la maggior parte degli incidenti nel Regno Unito.
Per le PMI, questo rende Cyber Essentials particolarmente prezioso, poiché offre un quadro pratico e accessibile per migliorare la sicurezza senza richiedere risorse o complessità tipiche delle grandi imprese.
Requisiti di Cyber Essentials nel Regno Unito: i 5 controlli chiave spiegati
I requisiti di Cyber Essentials nel Regno Unito si basano su cinque controlli tecnici, che costituiscono le fondamenta sia di Cyber Essentials che di Cyber Essentials Plus.
1. Firewall e gateway internet
I firewall(nuova finestra) fungono da barriera tra i tuoi sistemi interni e le reti esterne. Determinano quale traffico è consentito e quale viene bloccato.
In pratica, questo significa:
- Tutti i dispositivi connessi a Internet sono protetti da un firewall configurato
- Le porte e i servizi non necessari sono bloccati per impostazione predefinita
- I sistemi interni non sono esposti direttamente a Internet
- L’accesso remoto viene instradato attraverso soluzioni controllate come le VPN aziendali
Nelle valutazioni reali, gli organismi di certificazione non si limitano a verificare la presenza di un firewall. Valutano se le regole vengono gestite attivamente, se sono esposti servizi non necessari e se l’accesso remoto è controllato correttamente. Le porte aperte come RDP o SSH esposte a Internet sono un motivo comune per cui le organizzazioni non superano la certificazione.
2. Configurazione sicura
Le configurazioni predefinite sono progettate per l’usabilità, non per la sicurezza. Lasciarle invariate crea un’esposizione non necessaria.
Un approccio di configurazione sicura include:
- La modifica delle password predefinite prima dell’implementazione
- La rimozione o la disattivazione di account e servizi non necessari
- La messa in sicurezza dei sistemi prima dell’uso
- L’applicazione di standard di configurazione coerenti
In pratica, i valutatori cercano prove di un processo replicabile. Non basta che un singolo sistema sia configurato correttamente; le organizzazioni devono dimostrare che tutti i sistemi sono messi in sicurezza in modo coerente. Errori di configurazione del cloud, come archiviazioni accessibili pubblicamente o API aperte, vengono identificati di frequente durante la certificazione.
3. Controllo dell’accesso utente
Il controllo dell’accesso stabilisce chi può accedere ai sistemi e ai dati, e a quale livello.
I requisiti chiave includono:
- L’accesso basato sul principio del privilegio minimo
- La separazione tra account amministratore e account utente standard
- La revisione periodica degli accessi
- La revoca immediata dell’accesso per chi lascia l’azienda
- Nessuna condivisione delle credenziali
Le valutazioni rivelano spesso problemi nella gestione del ciclo di vita degli account. Gli account inattivi, i permessi eccessivi e le credenziali condivise sono tra i risultati più comuni. Inoltre, l’adozione dell’autenticazione a due fattori (2FA) è sempre più richiesta come controllo fondamentale.
4. Protezione dal malware
La protezione dal malware assicura che i sistemi siano attivamente difesi da software dannosi.
Questo include:
- Protezione degli endpoint aggiornata su tutti i dispositivi
- Scansione in tempo reale attiva
- Aggiornamenti automatici delle definizioni delle minacce
- Controlli per impedire l’esecuzione di software sconosciuti
La protezione deve essere costantemente attiva. Licenze scadute, scansione disattivata o lacune nella copertura, in particolare sui dispositivi remoti, sono motivi comuni per cui le organizzazioni non superano questo controllo.
5. Gestione degli aggiornamenti di sicurezza
I sistemi non aggiornati sono uno dei punti di accesso più frequenti per gli aggressori. Ecco perché Cyber Essentials richiede:
- L’applicazione degli aggiornamenti critici entro 14 giorni dal rilascio
- L’attivazione degli aggiornamenti automatici ove possibile
- La rimozione dei software non più supportati
- Il costante aggiornamento di tutti i sistemi
Questo è un requisito rigoroso per la protezione dalle violazioni dei dati. Le organizzazioni che si affidano a cicli di patch più lenti o che continuano a utilizzare sistemi giunti alla fine del ciclo di vita riscontrano spesso difficoltà in questo ambito. I software non supportati non possono soddisfare i requisiti di certificazione.
Insieme, questi cinque controlli costituiscono la spina dorsale della certificazione Cyber Essentials, garantendo che le organizzazioni affrontino le vulnerabilità più comuni e sfruttabili.
Cyber Essentials vs Cyber Essentials Plus
Cyber Essentials è disponibile a due livelli di certificazione: Cyber Essentials (CE) e Cyber Essentials Plus (CE+).
| Funzionalità | Cyber Essentials | Cyber Essentials Plus |
| Metodo di valutazione | Questionario di autovalutazione | Test tecnici indipendenti |
| Verifica | Esaminato dall’organismo di certificazione | Validazione pratica |
| Livello di garanzia | Base | Alta |
| Ambito dei test | Documentazione e dichiarazioni | Scansioni delle vulnerabilità e controlli degli endpoint |
| Caso d’uso tipico | Conformità di cybersecurity di livello base | Ambienti e contratti ad alta affidabilità |
Cyber Essentials conferma che la tua azienda ha implementato i controlli richiesti, mentre Cyber Essentials Plus va oltre verificando in modo indipendente che tali controlli funzionino nella pratica.
Per le organizzazioni che operano in ambienti regolamentati, gestiscono dati sensibili o competono per contratti di alto valore, Cyber Essentials Plus offre un livello di garanzia più elevato che potrebbe dare alla tua azienda un vantaggio competitivo.
Quali aziende hanno bisogno della certificazione Cyber Essentials?
Cyber Essentials non è obbligatorio per legge per tutte le organizzazioni, ma è diventato un’aspettativa di base in molti settori.
Dovresti prendere seriamente in considerazione una certificazione Cyber Essentials se la tua organizzazione:
- Collabora con il settore pubblico o partecipa a gare d’appalto per contratti governativi
- Gestisce dati sensibili di clienti, finanziari o dei dipendenti
- Opera all’interno di catene di fornitura in cui sono applicati standard di sicurezza
- Fornisce servizi IT, di consulenza o digitali
- È in fase di crescita e ha bisogno di pratiche di sicurezza strutturate
In molti contesti di approvvigionamento, Cyber Essentials è un requisito ufficioso. Le organizzazioni senza certificazione vengono spesso escluse ancor prima di valutare le capacità o i prezzi.
Processo e tempistiche della certificazione Cyber Essentials
Il processo per ottenere la certificazione Cyber Essentials è relativamente strutturato, ma il vero lavoro si svolge prima di inviare qualsiasi documento. La maggior parte dei ritardi e dei fallimenti si verifica durante la preparazione, non durante la valutazione stessa.
A livello pratico, le organizzazioni attraversano il processo in cinque fasi, ma ciascuna fase comporta più di quanto possa sembrare inizialmente.
1. Definisci il tuo ambito
Il primo passo consiste nel definire chiaramente cosa rientra nell’ambito della certificazione. Questo include in genere tutti i dispositivi, i sistemi e i servizi che si connettono a Internet e gestiscono i dati aziendali.
In pratica, questo significa identificare:
- I dispositivi degli utenti finali come computer portatili, desktop e dispositivi mobili
- Le piattaforme cloud e le applicazioni SaaS (ad es. Microsoft 365, Google Workspace)
- Le reti interne e i sistemi rivolti a Internet
- I punti di accesso remoto, inclusi gli ambienti di lavoro da casa e le VPN
La definizione dell’ambito è fondamentale. Se è troppo ristretto, la certificazione non rifletterà il tuo rischio effettivo. Se è troppo ampio, introdurrai complessità non necessarie e rallenterai il processo. Uno dei problemi più comuni in questa fase è trascurare i dispositivi remoti o i servizi cloud, che rientrano pienamente nell’ambito di Cyber Essentials.
2. Valuta il tuo ambiente rispetto ai requisiti
Una volta definito l’ambito, il passo successivo consiste nel valutare i tuoi sistemi rispetto ai cinque requisiti di Cyber Essentials.
Qui si concentra la maggior parte del lavoro. In sostanza, eseguirai un audit interno per identificare lacune come:
- Firewall configurati in modo errato o servizi esposti
- Password predefinite, riutilizzate o deboli
- Autorizzazioni utente eccessive
- Aggiornamenti di sicurezza mancanti o ritardati
- Protezione da malware incoerente tra i dispositivi
All’atto pratico, questa fase rivela spesso incongruenze piuttosto che fallimenti completi. I controlli possono esistere, ma non sono applicati in modo uniforme su tutti i sistemi. L’obiettivo è individuare e documentare tali lacune prima di passare alla valutazione formale.
3. Completa la valutazione (CE o CE+)
Per Cyber Essentials dovrai compilare un questionario di autovalutazione strutturato. Le domande sono specifiche e tecniche e richiedono di descrivere accuratamente come i tuoi controlli sono implementati all’interno del tuo ambiente.
Gli organismi di certificazione esaminano le tue risposte e possono richiedere chiarimenti nel caso in cui qualcosa non sia chiaro o risulti incoerente.
Per Cyber Essentials Plus, il processo va oltre. Un revisore esterno convaliderà i tuoi controlli attraverso test pratici, che in genere includono:
- Scansione delle vulnerabilità dei sistemi rivolti a internet
- Controlli sugli endpoint per verificare la configurazione e le patch
- Tentativi di confermare che la protezione dai malware e i controlli di accesso funzionino come previsto
In questa fase, la precisione è fondamentale. Sopravvalutare i controlli o fraintendere i requisiti porta spesso a ritardi o bocciature in fase di revisione.
4. Colma le lacune e perfeziona i controlli
È comune per le organizzazioni individuare problemi durante la valutazione, in particolare al primo tentativo. Solitamente non si tratta di fallimenti tecnici complessi, bensì di lacune operative come:
- Account con autorizzazioni eccessive
- Dispositivi privi di aggiornamenti recenti
- Applicazione incoerente delle policy di sicurezza
La risoluzione prevede di affrontare questi problemi e garantire che i controlli siano applicati in modo coerente su tutti i sistemi inclusi nell’ambito di valutazione.
Questa fase è anche quella in cui le organizzazioni traggono vantaggio dalla standardizzazione. Piuttosto che risolvere i problemi singolarmente, spesso è più efficace implementare processi ripetibili, ad esempio standardizzando la configurazione dei dispositivi o centralizzando il controllo degli accessi.
In molti casi, ciò include l’adozione di strumenti strutturati per la gestione delle credenziali che consentono ai team di applicare le policy sulle password, gestire le autorizzazioni a livello centrale e revocare rapidamente l’accesso in caso di cambio di ruolo. Può essere difficile mantenere queste capacità affidandosi esclusivamente a processi manuali.
Ecco perché l’adozione di un gestore di password aziendale come Proton Pass for Business aiuta a standardizzare il modo in cui le credenziali vengono create, archiviate e condivise nella tua organizzazione, riducendo l’affidamento a processi informali che spesso portano a lacune di sicurezza.
5. Ottieni la certificazione
Una volta convalidate le risposte o, nel caso di Cyber Essentials Plus, una volta che i tuoi sistemi hanno superato con successo i test indipendenti, riceverai la certificazione.
È importante ricordare che la certificazione Cyber Essentials è valida per 12 mesi e deve essere rinnovata annualmente per mantenere lo stato certificato. Il rinnovo comporta il completamento di una nuova valutazione, che può essere una nuova autovalutazione per Cyber Essentials o un’altra valutazione tecnica indipendente per Cyber Essentials Plus. Se la tua certificazione scade, la tua organizzazione non sarà più riconosciuta come certificata Cyber Essentials fino a quando non avrà completato con successo il processo di rinnovo.
Ottenere la certificazione non è la fine del percorso. Nel corso dell’anno dovresti continuare ad applicare gli aggiornamenti di sicurezza, verificare l’accesso degli utenti, mantenere configurazioni sicure e integrare nuovi sistemi in base agli stessi standard. In altre parole, le organizzazioni dovrebbero considerare Cyber Essentials come una disciplina operativa continua piuttosto che come un adempimento annuale.
Cosa prevede la valutazione
Il questionario Cyber Essentials è strutturato attorno a domande sì/no tecniche e specifiche. Queste richiedono un’interpretazione accurata del tuo ambiente. Molte organizzazioni incontrano difficoltà non perché i controlli siano assenti, ma perché sono applicati in modo incoerente o scarsamente documentati.
Per Cyber Essentials Plus, i valutatori indipendenti convalidano i tuoi controlli tramite:
- Scansione delle vulnerabilità
- Controlli di configurazione degli endpoint
- Verifica delle patch e della protezione dai malware
Quali sono le tempistiche previste per la certificazione Cyber Essentials?
Non esiste una tempistica fissa per la certificazione Cyber Essentials, ma la maggior parte delle organizzazioni può aspettarsi quanto segue:
- Settimane 1–2: Definizione dell’ambito e valutazione iniziale
- Settimane 2–4: Risoluzione delle lacune e allineamento dei controlli
- Settimane 4–6: Invio, revisione e certificazione
Le organizzazioni ben preparate e con ambienti strutturati possono completare il processo più rapidamente. Quelle con sistemi frammentati, responsabilità poco chiare o controlli incoerenti potrebbero richiedere più tempo per individuare e risolvere le lacune.
In linea di principio, ottenere la certificazione non è difficile, ma richiede chiarezza, coerenza e attenzione ai dettagli. Più la tua infrastruttura è strutturata prima di iniziare, più fluido sarà il processo di certificazione.
Quanto costa la certificazione Cyber Essentials?
Il costo della certificazione Cyber Essentials dipende dalle dimensioni della tua organizzazione e dal fatto che tu stia puntando a Cyber Essentials o a Cyber Essentials Plus.
Per la certificazione Cyber Essentials standard, IASME utilizza un modello a prezzi fissi(nuova finestra) in base alle dimensioni dell’organizzazione. Al momento della stesura di questo testo, le tariffe ufficiali di valutazione variano da £320 + IVA per le microimprese (1–9 dipendenti) a £600 + IVA per le grandi organizzazioni (oltre 250 dipendenti). La maggior parte delle piccole e medie imprese può stimare una spesa di £440–£500 + IVA (circa $580–$660 USD) per la valutazione.
Cyber Essentials Plus ha un prezzo diverso perché include test tecnici indipendenti anziché un’autovalutazione. Non esiste una tariffa nazionale fissa e i costi sono determinati dall’organismo di certificazione e dalla complessità del tuo ambiente IT. Per la maggior parte delle PMI, i prezzi partono in genere da circa £1.500 (circa $2.000 USD) e possono superare le £3.000 (circa $4.000 USD) per gli ambienti più grandi o complessi.
Vale anche la pena di tenere conto dei costi di preparazione. Per molte organizzazioni l’investimento maggiore non è la tariffa della certificazione stessa, bensì il tempo speso a esaminare i sistemi, correggere le lacune di sicurezza e standardizzare i controlli prima della valutazione. Tali miglioramenti rafforzano comunque la tua sicurezza complessiva, indipendentemente dall’esito della certificazione.
Lista di controllo pre-certificazione per Cyber Essentials
Prima di fare domanda, è utile effettuare una verifica interna strutturata. Questa lista di controllo fornirà alla tua organizzazione un elenco completo da seguire.
| Requisito | Cosa controllare | Stato |
| Definizione dell’ambito | Tutti i sistemi, i dispositivi e i servizi identificati, compresi gli ambienti remoti | ☐ |
| Configurazione sicura | Impostazioni predefinite modificate, servizi non necessari rimossi, sistemi protetti | ☐ |
| Controllo accesso | Autorizzazioni verificate, privilegio minimo applicato, nessuna credenziale condivisa | ☐ |
| Gestione delle credenziali | Password forti e univoche in uso, archiviazione e condivisione sicure | ☐ |
| Protezione da malware | Protezione attiva e aggiornata su tutti i dispositivi | ☐ |
| Gestione delle patch | Tutti i sistemi aggiornati, nessun software non supportato in uso | ☐ |
| Sicurezza del lavoro da remoto | Dispositivi remoti e BYOD protetti e inclusi nell’ambito | ☐ |
| Accesso cloud | Piattaforme SaaS verificate, accesso controllato, account inutilizzati rimossi | ☐ |
| Prontezza delle prove | Documentazione e prove a livello di sistema disponibili | ☐ |
| Percorso di certificazione | CE o CE+ chiaramente definiti | ☐ |
Cosa non copre Cyber Essentials
Cyber Essentials è intenzionalmente mirato, e tale focus è parte della sua forza. Tuttavia, non affronta ogni aspetto della sicurezza informatica all’interno della tua organizzazione.
Non copre:
- Framework formali di gestione del rischio
- Strutture di governance complete
- Rilevamento o monitoraggio avanzato delle minacce
- Maturità profonda nella risposta agli incidenti
- Cultura della sicurezza a livello aziendale
Ecco perché Cyber Essentials va inteso soprattutto come base di partenza. Garantisce l’applicazione di controlli fondamentali, ma non sostituisce framework più ampi come ISO 27001.
Per molte organizzazioni, Cyber Essentials rappresenta il punto di partenza per una strategia di sicurezza più completa.
Controllo degli accessi e gestione delle password in Cyber Essentials
Il controllo degli accessi è una delle aree più critiche di Cyber Essentials e una delle più difficili da applicare in modo coerente.
In pratica, la maggior parte dei problemi deriva dai comportamenti quotidiani:
- Riutilizzo delle password su più sistemi
- Condivisione informale delle credenziali
- Autorizzazioni eccessive
- Mancanza di visibilità sugli accessi
- Mancanza dell’autenticazione a due fattori (2FA)
- Policy sulle password deboli e controlli organizzativi scarsi
Nel corso del tempo, questi piccoli compromessi creano rischi significativi.
Con Cyber Essentials, il controllo degli accessi non consiste solo nel definire le autorizzazioni, ma nel dimostrare che tali autorizzazioni vengono applicate in modo coerente in tutti i sistemi interessati.
Un approccio strutturato alla gestione delle credenziali aiuta a raggiungere questo obiettivo. Ciò include l’applicazione di password forti e univoche, il mantenimento della visibilità sugli accessi e la garanzia che le credenziali siano archiviate e condivise in modo sicuro tra i team. Scopri di più nella nostra guida alle best practice per la gestione delle password aziendali.
In pratica, molte organizzazioni abbandonano la gestione manuale delle credenziali per adottare soluzioni dedicate che centralizzano il controllo degli accessi e rendono coerente l’applicazione delle regole. Ad esempio, un gestore di password per i team IT, come Proton Pass for Business, consente alle aziende di gestire le credenziali su scala, assegnare gli accessi in base ai ruoli e mantenere una chiara visibilità su chi ha accesso a cosa.
