Se tem clientes no Reino Unido — sobretudo no setor público, na banca, na saúde ou em grandes empresas — provavelmente já viu o requisito “certificado Cyber Essentials”. Ao contrário do SOC 2, trata-se de uma verdadeira certificação: é emitido um certificado após a avaliação. Eis o que o esquema abrange, em que difere o Plus e como uma empresa fora do Reino Unido, por exemplo na UE ou na Suíça, se certifica.
O que é o Cyber Essentials
O Cyber Essentials é um esquema de certificação de cibersegurança apoiado pelo governo britânico, lançado em 2014. É detido pelo National Cyber Security Centre (NCSC) e operado pela IASME e pela sua rede de organismos de certificação, da qual o organismo de certificação do grupo BALTUM faz parte. O seu objetivo é confirmar que uma organização implementou um conjunto de medidas de base que protegem contra os ataques mais comuns e não dirigidos: phishing, malware, adivinhação de palavras-passe e exploração de vulnerabilidades não corrigidas.
O esquema é deliberadamente simples. Não cobre a gestão de riscos, a governação ou a continuidade do negócio como fazem a ISO 27001 ou o SOC 2. Em vez disso, concentra-se em cinco controlos técnicos e exige que sejam aplicados a todos os dispositivos e serviços no âmbito.
Os cinco controlos do Cyber Essentials
- Firewalls. Todos os dispositivos e redes estão protegidos por firewalls corretamente configuradas; as interfaces de administração não estão expostas à internet, salvo necessidade.
- Configuração segura. Contas e software desnecessários removidos, palavras-passe predefinidas alteradas, execução automática desativada, bloqueio de dispositivos configurado.
- Gestão de atualizações de segurança. Os sistemas operativos e as aplicações têm suporte do fabricante; as atualizações críticas e de gravidade elevada são instaladas no prazo de 14 dias após o lançamento.
- Controlo de acessos dos utilizadores. Contas individuais para cada utilizador, direitos de administração apenas onde necessário, autenticação multifator nos serviços cloud, requisitos de palavras-passe.
- Proteção contra malware. Software anti-malware ou listas de aplicações autorizadas, sandboxing para código não confiável.
Desde 2022, o esquema cobre explicitamente os serviços cloud, o teletrabalho e os dispositivos pessoais dos colaboradores (BYOD) sempre que acedam a dados da organização. Para equipas distribuídas, esta é a parte mais difícil da preparação.
Cyber Essentials vs Cyber Essentials Plus
| Aspeto | Cyber Essentials | Cyber Essentials Plus |
|---|---|---|
| Formato da avaliação | Questionário de autoavaliação verificado por um avaliador certificado | Autoavaliação mais verificação técnica prática |
| O que é testado | Respostas ao questionário e uma declaração ao nível da administração | Análises de vulnerabilidades externas e internas, amostragem de dispositivos, testes de phishing/malware |
| Duração | 1–3 semanas | 1–2 meses (o Plus tem de ser concluído no prazo de 3 meses após o básico) |
| Validade | 12 meses | 12 meses |
| Taxa de certificação | A partir de algumas centenas de libras, escalonada pela dimensão da organização | Consideravelmente mais elevada; depende do número de dispositivos e do avaliador |
| Requisito típico | Base para a maioria dos clientes | Contratação pública, dados sensíveis, cadeias de fornecimento de grandes empresas |
O Plus não pode ser obtido sem a certificação básica: primeiro a autoavaliação, depois a verificação técnica, normalmente sobre o mesmo âmbito.
Quem precisa do Cyber Essentials
- Fornecedores do setor público britânico. Para contratos com o governo central que envolvam dados pessoais ou serviços de TI, o Cyber Essentials é obrigatório desde 2014.
- Empresas de outsourcing de TI com clientes no Reino Unido. Um número crescente de empresas inclui-o nos requisitos para fornecedores, a par da ISO 27001.
- Produtos SaaS vendidos no Reino Unido, onde o certificado é frequentemente um critério de concurso.
- Empresas que querem uma credencial de segurança rápida e acessível antes de investir no SOC 2 ou na ISO 27001.
Uma empresa fora do Reino Unido pode certificar-se?
Sim. O esquema não se limita a organizações britânicas — qualquer empresa em qualquer parte do mundo pode ser certificada se cumprir os requisitos. Para uma empresa sediada na UE ou noutro local fora do Reino Unido, isto significa:
- o questionário é preenchido em inglês através do portal de um organismo de certificação;
- o âmbito abrange todos os portáteis, servidores, serviços cloud e dispositivos móveis que acedam a dados da empresa — incluindo os dispositivos de colaboradores remotos e prestadores de serviços;
- no Plus, o avaliador trabalha remotamente: análise externa mais verificações por amostragem de dispositivos via acesso remoto.
As razões mais comuns de reprovação são versões de sistema operativo ou de browser sem suporte em dispositivos individuais, ausência de MFA nos serviços cloud, contas de administrador partilhadas e software em fim de vida.
O processo de preparação
- Definição do âmbito. Toda a organização ou uma parte claramente segregada (por exemplo, a equipa que serve um cliente britânico).
- Inventário de ativos. Dispositivos, sistemas operativos, serviços cloud, contas.
- Correção. Aplicação de patches, MFA, revisão dos direitos de administração, gestão de dispositivos móveis.
- Preenchimento do questionário e aprovação por um membro da administração ou equivalente.
- Revisão pelo avaliador, correções se necessário, emissão do certificado.
- Avaliação técnica Plus no prazo de três meses após o certificado básico.
Quanto tempo demora e quanto custa
A taxa de certificação é escalonada pela dimensão da organização: para micro e pequenas empresas começa em algumas centenas de libras, sendo mais elevada para médias e grandes. O Cyber Essentials Plus custa consideravelmente mais porque o avaliador dedica tempo a analisar e amostrar dispositivos; o valor exato depende do número de dispositivos, dos sistemas operativos e do organismo de certificação. A maior parte da despesa vai normalmente não para a certificação mas para a preparação: substituir portáteis desatualizados, implementar a gestão de dispositivos móveis, impor o MFA em todos os serviços cloud. Se a higiene básica já existir, o certificado básico é realista em duas a três semanas.
O certificado é válido por 12 meses, após o que o processo se repete. Integre-o no plano anual, a par das revisões de políticas e, quando aplicável, da renovação do SOC 2 — veja o nosso artigo sobre a bridge letter SOC 2 e a conformidade contínua.
Cyber Essentials a par do SOC 2 e da ISO 27001
Os cinco controlos mapeiam-se integralmente nos critérios de Segurança do SOC 2 e no Anexo A da ISO 27001. Se já se está a preparar para o SOC 2, acrescentar o Cyber Essentials exige um esforço adicional mínimo — é, na prática, uma confirmação reconhecida no Reino Unido de controlos que já opera. Oferecemo-lo como parte do nosso pacote combinado SOC 2 + ISO 27001 + RGPD + Cyber Essentials. O inverso também funciona: o Cyber Essentials pode ser um primeiro passo antes de avançar para um programa completo de preparação SOC 2. Para empresas que servem tanto o Reino Unido como a UE, veja também SOC 2 e RGPD em conjunto.
Resumo
O Cyber Essentials é uma forma rápida, acessível e reconhecida no Reino Unido de mostrar que a sua higiene cibernética básica está em ordem. Não substitui o SOC 2 nem a ISO 27001, mas é frequentemente um requisito imperativo para contratos no Reino Unido e um ponto de entrada sensato para equipas mais pequenas.
Precisa do Cyber Essentials ou do Cyber Essentials Plus para um cliente britânico? Peça um orçamento — a nossa equipa de consultoria definirá o âmbito e fará uma verificação prévia dos seus dispositivos e serviços cloud, e o organismo de certificação Cyber Essentials do grupo BALTUM realizará a avaliação e emitirá o certificado. Os detalhes do serviço estão na nossa página Cyber Essentials.