Le National Cyber Security Centre (NCSC) britannique a publié des orientations et les premiers documents relatifs à son programme d’assurance Cyber Adversary Simulation (CyAS), dont le lancement est prévu en novembre 2026.
La simulation d’adversaires cyber consiste en des tests contrôlés visant à évaluer la capacité d’une organisation à résister à des activités s’apparentant à une intrusion informatique réelle, à les identifier et à les gérer. Le NCSC indique que cette approche est particulièrement pertinente pour les organisations disposant de capacités de sécurité établies et souhaitant tester leurs processus, leurs technologies et leurs équipes de réponse dans des conditions réalistes.
Les nouvelles orientations publiées présentent la vision du NCSC concernant une simulation efficace d’adversaires. Elles soulignent que les missions doivent fournir des éléments probants sur les forces et les lacunes défensives, plutôt qu’aboutir à un simple résultat positif ou négatif. Les tests doivent examiner la capacité d’une organisation à prévenir les activités malveillantes, à les détecter précocement, à enquêter sur les alertes et à escalader les incidents de manière appropriée.
Les orientations abordent également la planification, la gouvernance, l’exécution et le compte rendu des missions. Ces contrôles visent à garantir que les tests des systèmes de production et des environnements sensibles soient menés en toute sécurité, tout en produisant des conclusions utiles sur la cyberrésilience.
Exigences applicables aux prestataires
Les documents publiés avant le lancement du programme comprennent une norme du programme et un document sur les pratiques de travail. Ils décrivent les critères selon lesquels les futurs prestataires agréés par le NCSC seront évalués, couvrant les exigences organisationnelles, le personnel occupant des rôles clés, les méthodes de mise en œuvre technique et les rapports.
Selon le NCSC, le programme est conçu pour fournir aux clients une méthode plus cohérente d’évaluation des prestataires et soutenir les décisions d’achat. L’agence a développé cette initiative avec des régulateurs et des organismes publics chargés des politiques de supervision de la cyberrésilience.
- Les prestataires devront adapter leurs travaux aux objectifs convenus avec le client.
- Les missions devront recourir à la reconnaissance et à une approche adversariale, plutôt que de suivre un scénario d’attaque fixe.
- Les clients pourront ajouter des exigences propres à leur secteur ou à leur organisation à la norme de base du programme.
Le NCSC a décrit CyAS comme un programme axé sur les capacités, le distinguant des modèles d’évaluation centrés sur la reproduction de techniques d’attaque prédéfinies. Il a précisé que sa version initiale constitue un produit minimum viable et qu’elle sera ajustée en fonction de l’expérience tirée des premières missions ainsi que des retours des clients, prestataires et partenaires.
Les organisations peuvent consulter les orientations et les documents du programme avant son lancement officiel, date à laquelle les acheteurs devraient pouvoir sélectionner des prestataires évalués selon la norme CyAS.