L’ottenimento della Conformità Cyber Essentials UK è un passo fondamentale per le aziende del Regno Unito o per quelle che collaborano con partner britannici al fine di proteggere le proprie reti server nel 2026. Questo programma promosso dal governo aiuta le aziende a dimostrare il proprio impegno per la sicurezza dei dati agli acquirenti del settore pubblico e ai clienti aziendali. Il rispetto di questi requisiti di base consente di bloccare fino all’ottanta percento dei cyberattacchi comuni. Questa guida analizza il processo di certificazione, i controlli tecnici e i budget necessari per l’ottenimento della certificazione.
[!TIP] Raccomandazione sul perimetro: Durante la preparazione del perimetro di audit, documenta tutti i dispositivi che accedono ai database aziendali (compresi i laptop dei lavoratori da remoto). La mancata indicazione di questi dispositivi remoti è la causa principale del fallimento del controllo durante le valutazioni Cyber Essentials.
Punti chiave:
- La certificazione Cyber Essentials protegge da phishing, malware e accessi remoti non autorizzati.
- La tariffa base per la certificazione con autovalutazione varia da £320 a £600 a seconda delle dimensioni dell’azienda (fissato da IASME).
- Il livello Cyber Essentials Plus richiede un audit tecnico indipendente e concreto delle configurazioni di rete e dei dispositivi.
- L’applicazione di politiche di password rigorose e dell’autenticazione a più fattori (MFA) è un requisito obbligatorio.
I cinque controlli tecnici di Cyber Essentials
Per soddisfare i criteri di valutazione, la tua azienda deve implementare cinque controlli di sicurezza fondamentali su tutte le reti e i dispositivi utente. Secondo le linee guida di IASME , questi requisiti tecnici devono rimanere attivi in modo continuo per prevenire violazioni della sicurezza:
1. Firewall e gateway Internet
Tutte le connessioni Internet devono passare attraverso firewall hardware o software configurati. Di conseguenza, queste barriere devono bloccare le porte non approvate e registrare il traffico in entrata per impedire tentativi di intrusione nella rete.
2. Configurazione sicura
Le impostazioni predefinite di router, sistemi operativi e server sono spesso vulnerabili. Pertanto, è necessario modificare le password amministratore predefinite, disabilitare le funzioni software inutilizzate e rimuovere i conti ospite preinstallati.
3. Controllo degli accessi utente
L’accesso ai database dei clienti e ai server di amministrazione deve seguire il principio del minimo privilegio. Di conseguenza, è necessario applicare tre regole di accesso rigorose:
- Perimetro dei ruoli: Il personale deve accedere solo ai file richiesti per le proprie attività quotidiane, limitando l’esposizione del database.
- Obbligo del MFA: L’autenticazione a più fattori deve essere abilitata per tutti i portali di amministrazione e di posta elettronica cloud, bloccando i tentativi di attacco brute-force.
- Tracciamento degli amministratori: Limita gli account amministrativi a sistemi dedicati, evitando che i dipendenti navighino sul web con diritti di amministratore (riducendo così i rischi di cross-site scripting).
4. Protezione da malware
Tutti i dispositivi aziendali devono essere dotati di software antivirus aggiornato e bloccare l’esecuzione di file non approvati. Inoltre, il download di applicazioni deve essere limitato alle piattaforme ufficiali dei fornitori. Questa misura di sicurezza impedisce ai trojan di infettare i computer.
5. Gestione degli aggiornamenti di sicurezza
I software non aggiornati rappresentano il canale di attacco preferito dagli hacker. Di conseguenza, è necessario applicare patch di sicurezza critiche a tutti i sistemi operativi, browser web e plugin entro quattordici giorni dal loro rilascio.
Livelli di certificazione: Standard vs. Plus
I leader aziendali devono scegliere tra l’autovalutazione e il livello controllato da terzi:
| Metrica di conformità | Cyber Essentials (Standard) | Cyber Essentials Plus |
|---|---|---|
| Stile di audit | Questionario di autovalutazione verificato da un assessore. | Audit tecnico pratico condotto da un assessore indipendente. |
| Controllo delle vulnerabilità | Nessuna scansione esterna richiesta per la presentazione. | Scansioni di vulnerabilità interne ed esterne. |
| Perimetro dei test | Solo risposte amministrative nel questionario. | Validazione tecnica dei dispositivi finali e dei server. |
| Pubblico di riferimento | Startup, PMI e catene di fornitura standard. | Appaltatori governativi e istituti finanziari. |
Buone pratiche per preparare la valutazione
La corretta configurazione della rete prima di richiedere la certificazione riduce al minimo i tempi di audit e previene gli errori. Adotta queste quattro fasi di configurazione:
- Controllare gli strumenti di accesso remoto: Assicurati che i protocolli di accesso remoto (come RDP) siano disabilitati o protetti da configurazioni VPN sicure.
- Rivedere i privilegi degli utenti: Controlla tutti gli account di database attivi e cancella i profili degli impiegati che hanno lasciato l’azienda.
- Aggiornare i sistemi obsoleti: Dismetti i sistemi operativi obsoleti (come Windows 7 o vecchi kernel Linux) che non ricevono più patch di sicurezza.
- Distribuire software MDM: Utilizza strumenti di gestione dei dispositivi mobili (MDM) per imporre la crittografia, password complesse e funzionalità di cancellazione a distanza sui laptop aziendali.
Checklist di preparazione per i cinque controlli
Prima di pianificare la valutazione a pagamento, verifica la tua infrastruttura rispetto alla checklist seguente.
Firewall e gateway Internet
- Ogni dispositivo connesso a Internet dispone di un firewall perimetrale o software attivo.
- La password amministratore predefinita del firewall è stata sostituita con una credenziale forte e unica.
- Non esistono regole in entrata senza una giustificazione aziendale documentata, e le regole inutilizzate vengono rimosse.
- I lavoratori remoti si connettono tramite un firewall o un firewall software installato sul dispositivo stesso.
Configurazione sicura
- Gli account predefiniti e guest sono stati rimossi o disabilitati su tutti i server e dispositivi.
- L’esecuzione e la riproduzione automatica sono disabilitate per impedire l’esecuzione di codice non approvato da supporti rimovibili.
- I software, i servizi e gli account inutilizzati vengono disinstallati o disattivati.
- Il blocco del dispositivo (PIN, dati biometrici o password) è forzato dopo un breve periodo di inattività.
Controllo degli accessi utente
- Ogni utente dispone di un account nominativo unico, senza credenziali condivise.
- I diritti amministrativi sono concessi su richiesta, rivisti regolarmente e revocati quando non sono più necessari.
- L’autenticazione a più fattori (MFA) è abilitata su tutti i servizi cloud, e non solo sulle e-mail.
- Un processo di inserimento e uscita dei dipendenti documentato disabilita gli account il giorno stesso in cui un collaboratore lascia l’azienda.
Protezione da malware
- Un software antimalware è attivo e aggiornato su ogni dispositivo Windows e macOS interessato.
- I dispositivi mobili installano solo applicazioni provenienti da un app store ufficiale approvato.
- Se si utilizza una lista bianca di applicazioni anziché un antimalware, tale elenco approvato viene gestito attivamente.
Gestione degli aggiornamenti di sicurezza
- Ogni sistema operativo e applicazione è ancora supportato dal produttore (no Windows 7, no kernel Linux obsoleti).
- Gli aggiornamenti critici e importanti vengono installati entro 14 giorni dal loro rilascio.
- Gli aggiornamenti automatici sono abilitati ovunque la piattaforma lo consenta.
Cyber Essentials vs Cyber Essentials Plus: Analisi comparativa
La tabella precedente presentava il metodo di valutazione. Per la maggior parte delle aziende, i fattori chiave sono il costo, l’impegno richiesto e i tempi. Le tariffe indicate di seguito escludono l’IVA e variano a seconda dell’organismo di certificazione per il livello Plus.
| Fattore | Cyber Essentials | Cyber Essentials Plus |
|---|---|---|
| Costo di certificazione | Da £320 a £600 in base alle dimensioni dell’azienda (fissato da IASME) | In genere £1.400–£3.000+, stabilito dall’assessore |
| Formato della valutazione | Questionario di autovalutazione online | Audit tecnico pratico in loco o da remoto |
| Impegno di preparazione | 2-4 settimane per un parco informatico ben gestito | Stessa preparazione, più correzione delle vulnerabilità rilevate |
| Prove richieste | Risposte scritte verificate da un assessore | Campionamento di dispositivi, scansioni autenticate, test MFA |
| Prerequisiti | Nessuno | Certificato Cyber Essentials (Standard) ottenuto negli ultimi 3 mesi |
| Cyber-assicurazione gratuita | Inclusa per organizzazioni britanniche con fatturato < £20M | Inclusa alle stesse condizioni |
| Migliore adeguatezza | Requisito di base per la maggior parte delle catene di fornitura | Appalti pubblici o governativi, settori regolamentati |
Se una gara d’appalto richiede il livello Cyber Essentials Plus, pianifica il budget per entrambe le certificazioni. È necessario ottenere prima il certificato di base, in quanto i due percorsi sono complementari e successivi.
Scenario di calendario e di costi di certificazione
Prendiamo l’esempio di un’azienda di sviluppo software di 25 persone a Londra che prepara una gara d’appalto pubblica che richiede il livello Cyber Essentials Plus. Ecco lo svolgimento tipico del progetto:
Settimane 1–2: Perimetro e analisi dei gap. L’azienda elenca 25 computer portatili, tre servizi cloud (Microsoft 365, un CRM e un archivio di codice) e otto lavoratori remoti. L’analisi rivela due computer con un sistema obsoleto, l’assenza di MFA sul CRM e tre account di ex dipendenti attivi.
Settimane 3–4: Remediazione. I due computer vengono reinstallati con un sistema operativo supportato, la MFA viene abilitata sui tre servizi cloud, gli account inattivi vengono cancellati e le regole di aggiornamento automatico vengono distribuite tramite MDM.
Settimana 5: Autovalutazione. L’azienda compila il questionario. La certificazione di base costa £400 (tariffa per la fascia di dipendenti da 10 a 49) e viene approvata in pochi giorni.
Settimane 6–7: Audit Plus. Entro il periodo di validità di tre mesi, un assessore testa circa un terzo dei dispositivi, esegue scansioni di vulnerabilità autenticate e valida in tempo reale la protezione antimalware e la MFA. Un patch mancante viene applicato e validato durante un secondo controllo. L’audit Plus costa £1.750.
I costi di certificazione ammontano in totale a £400 + £1.750 = £2.150, escluso il tempo interno dedicato (circa 40-60 ore) ed eventuali costi di licenza.
Errori comuni durante l’audit
La maggior parte dei fallimenti al primo tentativo è dovuta alle stesse lacune. Presta attenzione a questi punti prima di inviare la richiesta:
- Software obsoleto nel perimetro. Un solo sistema operativo o browser non supportato causa il rifiuto della pratica.
- Assenza di MFA sui servizi cloud. L’attivazione sulla posta elettronica ma l’omissione sul CRM o sulle console di amministrazione è un errore classico.
- Perimetro incompleto. Dimenticare un computer per il lavoro remoto o un servizio cloud secondario invalida la procedura.
- Aggiornamenti troppo lenti. Mancata dimostrazione che gli aggiornamenti critici vengono installati entro 14 giorni.
- Account condivisi. Utilizzo di credenziali generiche del tipo «admin» senza attribuzione nominativa.
Prima di spendere qualsiasi cifra, utilizza lo strumento gratuito Cyber Essentials Readiness Tool sul sito dell’IASME per valutare il tuo livello di preparazione e identificare le lacune in anticipo.
Partner di sicurezza per la tua conformità
L’ottenimento della certificazione protegge i tuoi dati e ti aiuta a garantire contratti con enti pubblici. Mecanik fornisce servizi professionali di audit di sicurezza del server e di hardening delle infrastrutture attraverso la nostra pagina dedicata ai servizi di penetration testing . Siamo specializzati in audit di rete, conformità dei dispositivi e configurazione di firewall cloud. Contattaci oggi stesso per programmare il tuo progetto.
Domande frequenti (FAQ)
Che cos’è la conformità Cyber Essentials UK? La conformità Cyber Essentials UK è un programma di certificazione per la sicurezza informatica promosso dal governo del Regno Unito per proteggere le aziende dalle minacce online più comuni. Questa certificazione dimostra ai tuoi partner che applichi i controlli essenziali per proteggere i dati sensibili dei clienti.
Quanto costa la certificazione Cyber Essentials? La tariffa per l’autovalutazione dipende dal numero di dipendenti dell’azienda, e va da £320 per le microimprese a £600 per le grandi aziende. Il livello Cyber Essentials Plus è più costoso perché richiede l’intervento tecnico di un assessore.
Qual è la differenza tra Cyber Essentials e Cyber Essentials Plus? Cyber Essentials si basa su un questionario di autovalutazione online verificato da un assessore. Al contrario, Cyber Essentials Plus richiede un audit tecnico indipendente e pratico dei sistemi, compresi controlli dei dispositivi interni e scansioni delle vulnerabilità per verificare il funzionamento dei controlli.
I lavoratori da remoto influenzano il perimetro della certificazione? Sì. Qualsiasi laptop, tablet o smartphone aziendale utilizzato dai lavoratori da remoto per accedere ai dati interni rientra nel perimetro. Questi dispositivi devono soddisfare gli stessi requisiti di password, aggiornamenti e configurazione dei dispositivi in ufficio.
Qual è la durata di validità della certificazione Cyber Essentials? La certificazione è valida per 12 mesi. Di conseguenza, l’azienda deve rinnovare la valutazione ogni anno per mantenere il certificato e assicurarsi che le difese si adattino alle nuove minacce.
Commenti