Transparence de CyberProva
Comment CyberProva évalue la sécurité
Comprenez les limites automatisées des observations, de l'examen des preuves, de la notation et de l'évaluation du CyberProva.
Définir la portée
Une évaluation CyberProva combine des observations techniques sélectionnées avec des contrôles commerciaux nécessitant des preuves. Un locataire Microsoft 365 connecté, un site Web vérifié et des documents téléchargés couvrent chacun une partie différente de cette portée.
- Vérifiez l’organisation, le locataire connecté et les domaines avant d’interpréter les résultats.
- Examinez les exclusions, les exigences en matière de licence, les lacunes en matière d'autorisation et la date d'évaluation.
Contrôles automatisés
CyberProva lit les informations de configuration et d'activité disponibles via Microsoft Graph et certaines sources techniques publiques. Chaque résultat identifie le contrôle, la méthode et le résultat disponible.
- Certaines observations établissent une configuration spécifique ; d'autres identifient quelque chose que votre équipe informatique doit examiner.
- Un échec de lecture, une autorisation manquante, une licence manquante ou des données incomplètes sont signalés comme indisponibles ou nécessitant un examen, plutôt que déduits d'un résultat conforme.
- Un résultat décrit les informations disponibles au moment de l’évaluation ; il n'établit pas de protection continue.
Contrôles fondés sur des preuves
Votre organisation ou fournisseur informatique fournit des documents justificatifs pour les contrôles qui ne peuvent pas être établis à partir de Microsoft 365 seul. Un réviseur d'espace de travail autorisé décide d'accepter ou non les preuves.
- Utilisez des preuves datées qui identifient sa portée, son propriétaire et son résultat.
- CyberProva fait la distinction entre les preuves fournies, l'acceptation par le réviseur et les observations automatiques.
- CyberProva ne certifie pas de manière indépendante l'authenticité ou les faits sous-jacents des preuves téléchargées.
Scores et priorités
Lisez les résultats derrière chaque score. L'évaluation de base attribue des notes aux contrôles sélectionnés, y compris les preuves acceptées et les observations techniques ; les évaluations avancées rapportent leur propre évaluation et leur propre couverture.
- Un score est un résumé des contrôles sélectionnés, et non une probabilité que vous évitez une attaque.
- Un résultat d’évaluation peut contribuer à un score tout en nécessitant toujours un jugement humain.
- Lisez les lacunes dans les preuves et les contrôles indisponibles à côté du score, puis convenez des propriétaires et des prochaines actions.
Ce que CyberProva ne fait pas
CyberProva prend en charge l’évaluation, la collecte de preuves et le suivi. Cela ne garantit pas qu'une organisation est sécurisée ou qu'un incident ne s'est pas produit.
- Aucun test d'intrusion ni enquête sur les incidents.
- Aucune certification indépendante des preuves téléchargées.
- Aucune certification Cyber Essentials ; Cyber Essentials est un programme britannique administré via son processus de certification.
- Aucune modification automatique de votre configuration Microsoft 365.
- La surveillance programmée est périodique et dépend du plan, plutôt qu'une surveillance en temps réel.