Il National Cyber Security Centre (NCSC) del Regno Unito ha pubblicato linee guida e documenti iniziali per il previsto programma di garanzia Cyber Adversary Simulation (CyAS), il cui lancio è previsto per novembre 2026.
La simulazione di avversari cyber consiste in test controllati volti a misurare quanto un'organizzazione sia in grado di resistere, identificare e gestire attività che ricordano una reale intrusione informatica. L'NCSC ha dichiarato che l'approccio è particolarmente rilevante per le organizzazioni dotate di capacità di sicurezza consolidate che desiderano testare processi, tecnologie e team di risposta in condizioni realistiche.
Le linee guida appena pubblicate illustrano la visione dell'NCSC su un'efficace simulazione degli avversari. Sottolineano che gli incarichi dovrebbero fornire evidenze dei punti di forza e delle lacune difensive, anziché produrre un semplice risultato di superamento o fallimento. I test dovrebbero esaminare la capacità di un'organizzazione di prevenire attività dannose, rilevarle tempestivamente, investigare gli avvisi e gestire l'escalation degli incidenti in modo appropriato.
Le linee guida affrontano inoltre la pianificazione, la governance, l'esecuzione e la rendicontazione degli incarichi. Questi controlli sono destinati a garantire che i test sui sistemi di produzione e sugli ambienti sensibili siano condotti in sicurezza, generando al contempo risultati utili sulla resilienza informatica.
Requisiti per i fornitori
I documenti pubblicati prima del lancio del programma includono uno Standard del programma e un Documento sulle pratiche operative. Descrivono i criteri in base ai quali saranno valutati i potenziali fornitori con garanzia NCSC, includendo aspettative organizzative, personale nei ruoli chiave, metodi di erogazione tecnica e rendicontazione.
Secondo l'NCSC, il programma è progettato per offrire ai clienti un modo più coerente per valutare i fornitori e supportare le decisioni di approvvigionamento. L'agenzia ha sviluppato l'iniziativa con autorità di regolamentazione e organismi di politica del settore pubblico coinvolti nella supervisione della resilienza informatica.
- Ci si aspetta che i fornitori adattino il lavoro agli obiettivi concordati con il cliente.
- Gli incarichi dovrebbero utilizzare ricognizione e un approccio avversariale, anziché seguire uno сценарario di attacco fisso.
- I clienti possono aggiungere requisiti specifici per il settore o l'organizzazione allo standard principale del programma.
L'NCSC ha descritto CyAS come un programma basato sulle capacità, distinguendolo dai modelli di valutazione incentrati sulla riproduzione di tecniche di attacco predefinite. Ha affermato che la versione iniziale è un prodotto minimo praticabile e che sarà adattata sulla base dell'esperienza maturata nei primi incarichi e del feedback di clienti, fornitori e partner.
Le organizzazioni possono esaminare le linee guida e i documenti del programma prima del lancio formale, quando gli acquirenti dovrebbero poter selezionare fornitori valutati rispetto allo standard CyAS.