NCSC segnala progressi nel progetto pilota Cyber Essentials Pathways

Il National Cyber Security Centre (NCSC) del Regno Unito afferma che il proof of concept Cyber Essentials Pathways ha dimostrato che alcune organizzazioni possono raggiungere gli obiettivi di sicurezza del programma attraverso controlli alternativi, senza abbassare il livello richiesto per Cyber Essentials Plus.

Il progetto pilota è stato creato per le organizzazioni più grandi, i cui ambienti non si adattano sempre perfettamente ai requisiti prescrittivi dello schema di base. Secondo l’NCSC, l’obiettivo è mantenere la fiducia nella certificazione, consentendo al contempo alle organizzazioni di dimostrare una protezione equivalente con modalità differenti.

Cosa ha testato il progetto pilota

Negli ultimi 18 mesi, l’NCSC ha collaborato con 22 organizzazioni, insieme a IASME e agli organismi di certificazione, per esaminare se i controlli non standard potessero essere valutati in modo strutturato e difendibile. Il lavoro ha inoltre analizzato quali governance, linee guida e attività di supervisione sarebbero necessarie qualora l’approccio venisse ampliato.

L’NCSC ha dichiarato che l’iniziativa ha prodotto risultati sia attesi sia inattesi. In diversi casi, il processo ha aiutato le organizzazioni a migliorare l’applicazione delle patch, la segmentazione e la gestione dei sistemi non più supportati. Alcuni partecipanti hanno inoltre rafforzato aspetti quali la sicurezza dei dispositivi personali utilizzati per lavoro, mentre la certificazione era ancora in fase di valutazione.

Risultati principali

• Gli approcci alternativi possono portare a miglioramenti della sicurezza misurabili, non soltanto a cambiamenti in termini di conformità.
• I principali ostacoli sono stati la complessità, la definizione dell’ambito e i processi decisionali interni, più che la mancanza di interesse.
• Una collaborazione più stretta tra le organizzazioni e gli organismi di certificazione ha migliorato la comprensione degli obiettivi dei controlli alla base di Cyber Essentials.
• Prove chiare e proporzionate sono essenziali per valutare controlli equivalenti.
• Per ora, la supervisione dell’NCSC rimane importante per mantenere coerenti le decisioni.

In un caso del progetto pilota, un’organizzazione è riuscita a dimostrare la conformità a Cyber Essentials Plus attraverso il metodo Pathways. L’NCSC ha inoltre osservato che alcuni partecipanti, dopo aver perfezionato il proprio approccio, hanno completato la certificazione seguendo invece il percorso standard.

Nel complesso, l’agenzia afferma che il progetto pilota suggerisce che Pathways potrebbe essere utile sia come percorso alternativo alla certificazione sia come strumento per aiutare le organizzazioni a comprendere e migliorare maggiormente la propria igiene informatica. Gli ulteriori sviluppi dipenderanno dalle linee guida e dalla governance necessarie a sostenere un utilizzo più ampio.