Cyber Essentials v3.2
Cyber Essentials визначає базові технічні заходи проти поширених інтернет-атак і спосіб перевірки їх виконання в організації. Сторінка пояснює редакцію v3.2 та її наступницю v3.3.
Огляд Cyber Essentials
Cyber Essentials — британська схема базового кіберзахисту та сертифікації організацій, яку підтримує уряд. NCSC визначає технічні вимоги, а IASME організовує надання сертифікації через уповноважені органи. Основу становлять 5 напрямів захисту повсякденної ІТ-інфраструктури.
Обрана редакція v3.2 застосовується до заявок, розпочатих з 28 квітня 2025 року. Для нових заявок з 27 квітня 2026 року NCSC визначив v3.3. Попередні заявки можуть завершуватися за v3.2 за правилами переходу; перед оцінюванням потрібно звірити редакцію вимог і опитувальника.
Для кого призначена схема
Схема підходить організаціям різного розміру. Керівники визначають межі оцінювання й ресурси, ІТ-команди налаштовують захист, а відповідальні за закупівлі перевіряють вимоги замовника та сферу сертифіката постачальника. Малим організаціям вона дає конкретну початкову програму робіт.
У яких галузях корисна
Торгівля та професійні послуги
Захист робочих ноутбуків, пошти, бухгалтерських систем і облікових записів клієнтського обслуговування.
Освіта, благодійність і публічні послуги
Базові правила для спільних пристроїв, хмарних документів і доступу працівників або волонтерів.
ІТ-послуги та ланцюги постачання
Узгодження захисту власної інфраструктури та підтвердження вимог конкретного контракту; додаткові галузеві вимоги залишаються окремим завданням.
Що входить до оцінювання
За v3.2 межі можуть охоплювати всю ІТ-інфраструктуру організації або чітко визначену, окремо керовану частину. Їх погоджують з органом сертифікації до оцінювання. Варіант без кінцевих пристроїв користувачів неприйнятний: самих серверів або хмарного сервісу недостатньо.
Враховують віддалену роботу, особисті пристрої, які отримують доступ до даних чи сервісів організації, та хмарні послуги. Пристрій лише для звичайних дзвінків, повідомлень або застосунку MFA має окремий виняток. Для хмари потрібно з’ясувати, які заходи виконує провайдер, а які залишаються відповідальністю організації.
5 технічних напрямів захисту
Міжмережеві екрани
Обмежують мережевий доступ до пристроїв. Правила вхідних з’єднань мають обґрунтування, а непотрібні правила видаляють.
Безпечна конфігурація
Прибирають непотрібні програми, служби та облікові записи; змінюють стандартні паролі й налаштовують блокування пристроїв.
Керування оновленнями безпеки
Використовують підтримуване програмне забезпечення та вчасно усувають відомі вразливості, зокрема змінами конфігурації, які визначив виробник.
Керування доступом користувачів
Надають тільки потрібні права, відокремлюють адміністративні облікові записи й захищають вхід багатофакторною автентифікацією відповідно до вимог.
Захист від шкідливого програмного забезпечення
Застосовують відповідний пристрою захист: антивірусні засоби або обмеження запуску програм за дозволеним переліком.
Cyber Essentials і Cyber Essentials Plus
Для Cyber Essentials організація заповнює опитувальник самооцінювання; відповіді перевіряє незалежний орган сертифікації. Відповіді мають описувати реально впроваджені заходи. Саме заповнення навчального переліку або читання цієї сторінки сертифіката не надає.
Cyber Essentials Plus перевіряє ті самі технічні напрями й додає незалежне технічне тестування. Сертифікацію поновлюють щороку. Перевіряючи сертифікат партнера, потрібно врахувати юридичну особу, охоплену інфраструктуру, рівень оцінювання та строк дії.
Коли сертифікат потрібний у закупівлях
Британська політика PPN 014 поширюється на визначених державних замовників, зокрема центральні відомства та органи NHS, для контрактів із відповідними кіберризиками: наприклад, обробкою персональних даних чи наданням ІКТ для інформації рівня OFFICIAL. Вона передбачає Cyber Essentials, Plus або підтверджені еквівалентні заходи, а не однакову вимогу для кожного контракту.
Потрібно читати умови конкретної закупівлі та перевіряти відповідність сфери сертифіката предмету договору. Cyber Essentials не є загальною законодавчою вимогою для всіх організацій Великої Британії чи України; для українського постачальника значення може мати умова контракту.
Як підтримувати виконання вимог
Почніть із переліку пристроїв, програм, хмарних сервісів та відповідальних осіб. Для кожного напряму зафіксуйте налаштування, спосіб перевірки та власника виправлення. Новий ноутбук, зміна провайдера або звільнення працівника мають запускати відповідну перевірку доступу й конфігурації.
У v3.2 виправлення вразливостей встановлюють протягом 14 днів від випуску, якщо виробник визначив ризик як високий або критичний, базова оцінка CVSS v3 становить 7 чи більше або виробник не навів рівень ризику. Це охоплює й потрібні ручні зміни конфігурації. Для поновлення сертифікації перевірте також зміни v3.3.
Межі захисту та нові підходи
Сертифікат підтверджує оцінювання визначеної сфери за правилами схеми. Він не гарантує відсутності інцидентів, не засвідчує безпечність окремого продукту та не замінює керування ризиками, реагування на інциденти й відновлення. Резервне копіювання важливе, але не є додатковим технічним напрямом сертифікації.
У липні 2026 року NCSC описав подальший розвиток Pathways для великих організацій, які демонструють еквівалентний захист іншим способом. Це керований підхід за участю NCSC та органів сертифікації; самостійно оголосити виняток із вимог на цій підставі не можна.
Кому це буде корисно
Користь залежить від ролі: від налаштування власного пристрою до перевірки інфраструктури постачальника. Для кожної групи наведено практичне завдання й межі застосування.
Для навчальних закладів
Практична користь. Дає основу практичних занять із захисту навчальної ІТ-інфраструктури.
Що вивчити насамперед. Межі оцінювання, спільні комп’ютери, облікові записи викладачів і студентів.
Приклад застосування. Перевірити навчальну лабораторію: зайві права, непідтримувані програми та правила оновлення.
Більше про напрям для цієї групиДля студентів
Практична користь. Допомагає пов’язати терміни кібергігієни з конкретними налаштуваннями.
Що вивчити насамперед. Міжмережевий екран, обмежені права користувача, оновлення та MFA.
Приклад застосування. На власній навчальній машині описати стан захисту та обґрунтувати потрібні зміни без претензії на сертифікацію.
Більше про напрям для цієї групиДля бізнесу
Практична користь. Перетворює базовий захист робочих систем на зрозумілу програму дій.
Що вивчити насамперед. Пристрої, хмарні сервіси, відповідальність ІТ-підрядника та потреба в сертифікаті для клієнта.
Приклад застосування. У невеликій фірмі звірити усі поштові облікові записи з працівниками та прибрати доступ тих, хто вже звільнився.
Більше про напрям для цієї групиДля державних установ
Практична користь. Допомагає визначати пропорційні технічні вимоги до постачальників.
Що вивчити насамперед. Сфера сертифіката, еквівалентні заходи та межі британської PPN 014; місцеві правила закупівель перевіряють окремо.
Приклад застосування. Для закупівлі ІТ-підтримки зіставити доступ підрядника до даних із потрібним рівнем перевірки.
Більше про напрям для цієї групиДля військових
Практична користь. Може підтримати базову гігієну дозволених цивільних адміністративних процесів.
Що вивчити насамперед. Облік обладнання, обмеження доступу й оновлення; спеціальні та секретні системи потребують власних правил захисту.
Приклад застосування. У дозволеному офісному середовищі перевірити відкликання доступу підрядника після завершення робіт.
Більше про напрям для цієї групиДля неприбуткових організацій
Практична користь. Допомагає невеликій команді захищати робочі сервіси та дані донорів.
Що вивчити насамперед. Особисті пристрої волонтерів, спільні хмарні папки та зміна складу команди.
Приклад застосування. Перед кампанією збору коштів перевірити MFA і права доступу до пошти та таблиць із контактами.
Більше про напрям для цієї групиДля громадян
Практична користь. Пояснює корисні побутові практики та значення сертифіката організації.
Що вивчити насамперед. Підтримувані пристрої, оновлення та захищений вхід; особистий сертифікат для звичайного користування не потрібний.
Приклад застосування. Увімкнути автоматичні оновлення й MFA для власної пошти та перевірити підтримку телефону виробником.
Більше про напрям для цієї групиДля власників стандартів
Практична користь. Дає приклад того, як пов’язати короткий набір технічних вимог із перевіркою виконання.
Що вивчити насамперед. Редакції вимог, доказовість оцінювання та відмінність між заходом і способом його перевірки.
Приклад застосування. Зіставити власні вимоги до доступу з Cyber Essentials і позначити, які додаткові докази потрібні для технічного тестування.
Більше про напрям для цієї групиІсторія Cyber Essentials
Від запуску британської схеми до оновлення технічних вимог і підтримки організацій. Обрана редакція v3.2 збережена; події пояснюють також її наступницю v3.3.
Запуск Cyber Essentials
Уряд Великої Британії запустив Cyber Essentials 5 червня 2014 року після представлення ініціативи у квітні. Мета — зробити базові заходи проти поширених атак зрозумілими та надати організаціям спосіб підтвердження їх виконання.
IASME стає єдиним партнером із надання схеми
З квітня 2020 року IASME є єдиним партнером NCSC, відповідальним за керування та надання Cyber Essentials. Офіційне оцінювання роботи схеми згодом описало цю зміну моделі.
Оновлення для хмари та віддаленої роботи
24 січня 2022 року набули застосування розширені вимоги щодо хмарних сервісів, особистих пристроїв і роботи з дому. Основні технічні напрями збереглися, а правила автентифікації та паролів оновили.
Редакція v3.2 — матеріал цієї сторінки
З 28 квітня 2025 року застосовується v3.2. Вона додає пояснення безпарольної автентифікації та уточнює, що виправлення вразливостей охоплюють також ручні зміни конфігурації за вказівкою виробника.
v3.3 для нових заявок
З 27 квітня 2026 року нові заявки оцінюють за v3.3. Уточнено визначення хмарних сервісів і неможливість їх виключення з належної сфери, додано FIDO2 до пояснення безпарольної автентифікації та посилено увагу до резервних копій. Раніше розпочаті заявки можуть використовувати v3.2 за правилами переходу.
Подальший розвиток Pathways
9 липня 2026 року NCSC підсумував перевірку концепції Pathways та описав контрольоване розширення підходу. Великі організації можуть обговорити доведення еквівалентних результатів захисту для Plus із NCSC та органами сертифікації; це не загальне звільнення від технічних вимог.
Практична підтримка малих організацій
15 липня 2026 року NCSC повідомив про безкоштовні вступні консультації тривалістю 30 хвилин, які пропонують багато Cyber Advisors, і пояснив роль Cyber Action Toolkit. Це допомога для початку роботи з базовим захистом; технічна редакція схеми при цьому не змінюється.