Het NCSC lanceert een nieuw programma om kritieke organisaties te helpen hun cyberweerbaarheid te testen met realistische simulaties door geaccrediteerde leveranciers.
Het National Cyber Security Centre (NCSC) heeft een nieuw Cyber Adversary Simulation (CyAS) programma geïntroduceerd. Dit initiatief is bedoeld om de cyberweerbaarheid van de meest kritieke organisaties in het Verenigd Koninkrijk te versterken door middel van grondige, realistische tests uitgevoerd door betrouwbare dienstverleners.
Het CyAS-programma biedt een keurmerk voor leveranciers van cyberaanvals-simulatieservices, zodat organisaties gemakkelijk vertrouwde partijen kunnen vinden die hun verdedigingsmechanismen kunnen testen. Hierbij ligt de focus op het vermogen om cyberaanvallen te voorkomen, te detecteren en erop te reageren. Net als andere NCSC Industry Assurance programma’s, baseert CyAS zich op de expertise van het NCSC als nationale technische autoriteit op het gebied van cybersecurity. Commerciële aanbieders worden beoordeeld aan de hand van een door het NCSC vastgesteld standaard, wat organisaties zekerheid geeft over de kwaliteit van de diensten.
Een belangrijk onderdeel van de CyAS-methodiek is dat leveranciers eerst een grondige verkenning uitvoeren van de technologie, blootstelling en dreigingsomgeving van de klant. Op basis hiervan ontwikkelen zij realistische, op maat gemaakte aanvalsscenario’s. Testers nemen hierbij de rol van een tegenstander aan en gebruiken passende tools en technieken om vooraf afgesproken doelen te bereiken, zonder beperkt te worden door standaard tactieken, technieken en procedures (TTP’s) of commerciële dreigingsinformatie.
Het programma sluit aan bij andere NCSC-kaders die cyberregulering ondersteunen, zoals het Cyber Assessment Framework (CAF) en het Cyber Resilience Audit (CRA) programma. Samen helpen deze kaders organisaties, met name grotere en kritieke infrastructuur- en overheidsinstellingen, om een beter inzicht te krijgen in hun cyberbeveiliging en weerbaarheid. Ook bieden ze toezichthouders een betrouwbare manier om bewijs van weerbaarheid binnen sectoren te verzamelen, wat bijdraagt aan consistentie, gedeelde kennis en een beter begrip van cyberrisico’s.
Volgens Ollie Whitehouse, Chief Technology Officer van het NCSC, is het onmogelijk om te verbeteren wat je niet kent. Het CyAS-programma maakt het mogelijk om met de beste experts realistische en grondige tests uit te voeren, zodat organisaties een helder beeld krijgen van hun weerbaarheid tegen echte cyberaanvallen en gerichte verbeteringen kunnen doorvoeren. Chris Ensor, adjunct-directeur van het NCSC, benadrukt dat CyAS verder gaat dan traditionele penetratietests en controle-audits door organisaties praktisch te laten testen of zij cyberaanvallen kunnen voorkomen, detecteren en afhandelen. Het programma is ontwikkeld in samenwerking met toezichthouders en overheidsafdelingen om een gemeenschappelijke standaard en een consistente aanpak voor het aantonen van cyberweerbaarheid te realiseren.
In de eerste fase zal het CyAS-programma als Minimum Viable Product (MVP) worden uitgerold, zodat het NCSC de vraag kan peilen, de methodiek kan verfijnen en vertrouwen kan opbouwen voordat het programma volledig wordt uitgerold. Een overzicht van geaccrediteerde dienstverleners is beschikbaar via de ‘Find a Provider’ pagina van het programma.
