Cyber ​​Essentials se actualiza para 2025: Lo que las empresas del Reino Unido deben saber

Ante el aumento de las ciberamenazas, desde ataques de ransomware hasta ataques informáticos respaldados por el gobierno, las organizaciones de todo el Reino Unido se encuentran bajo una creciente presión para reforzar la seguridad de su información. Si bien muchas grandes empresas se están alineando con estándares globales como la ISO 27001, la norma respaldada por el gobierno del Reino Unido... Esquema Cyber ​​Essentials Ofrece un punto de referencia fundamental para demostrar la higiene cibernética básica para empresas pequeñas y medianas. 

Pero se avecinan cambios. 

A partir del 28 de abril de 2025, los procesos de certificación Cyber ​​Essentials y Cyber ​​Essentials Plus se someterán a actualizaciones estratégicas. Estos cambios reflejan la naturaleza cambiante de las ciberamenazas y la creciente complejidad de los entornos en los que operan las empresas. En este blog, analizamos las actualizaciones, analizamos su importancia y describimos los próximos pasos que deben tomar las organizaciones. 

Por qué Cyber ​​Essentials sigue siendo importante 

Lanzado en 2014, Cyber ​​Essentials se diseñó para ayudar a las organizaciones a protegerse contra las ciberamenazas más comunes y demostrar su compromiso con la ciberseguridad. Para muchas, ha sido el punto de partida en su camino hacia la seguridad, un requisito básico para hacer negocios con organismos gubernamentales y un número creciente de organizaciones del sector privado. 

Con un enfoque claro en las protecciones fundamentales, Cyber ​​Essentials establece una base de seguridad y anima a las organizaciones a adoptar una postura proactiva. En esencia, se trata de implementar correctamente los aspectos fundamentales: como firewalls, configuraciones seguras, control de acceso, protección contra malware y mantenimiento de sistemas actualizados. 

Pero incluso lo básico evoluciona con el tiempo. Y el plan también debe hacerlo. 

¿Qué cambiará en abril de 2025? 

Las actualizaciones de 2025 están diseñadas para reflejar la realidad del panorama actual de amenazas empresariales y garantizar que Cyber ​​Essentials siga siendo un estándar relevante. Novedades:

1. La autenticación sin contraseña se convierte en el estándar

Un cambio importante es la transición hacia la autenticación sin contraseña. Esto implica aspectos como: 

• Biometría (por ejemplo, huellas dactilares o reconocimiento facial) 

• Llaves de seguridad de hardware 

• Códigos de acceso de un solo uso o notificaciones push 

Ahora se reconocen como métodos de inicio de sesión válidos y seguros. 

Por qué es importante: Las contraseñas tradicionales siguen siendo uno de los puntos más débiles de la ciberseguridad. La reutilización de contraseñas, los ataques de phishing y los intentos de fuerza bruta siguen siendo vectores de ataque comunes. Al centrarse en opciones sin contraseña, la nueva guía ayuda a las organizaciones a adoptar métodos más sólidos y fiables para gestionar el acceso y mantener la seguridad de los sistemas. 

2. Una visión más amplia del trabajo remoto

El término «trabajo desde casa» está siendo reemplazado por «trabajo desde casa y a distancia», un cambio sutil pero significativo. 

Por qué es importante: Los empleados ya no están confinados en sus casas. Trabajan desde cafeterías, aeropuertos, trenes y espacios de coworking, todos ellos considerados entornos no confiables. El sistema ahora refleja esta realidad, y las empresas deberán demostrar que los datos a los que se accede remotamente están adecuadamente protegidos, independientemente de la ubicación. 

3. Nueva terminología para la corrección de vulnerabilidades

El enfoque anterior en parches y actualizaciones se está expandiendo para abarcar todo tipo de correcciones de vulnerabilidades. Esto significa: 

• Cambios en el registro 

• Actualizaciones de configuración 

• Scripts o mitigaciones aprobadas por el proveedor 

Por qué es importante: No todos los problemas de seguridad tienen un parche perfecto. A veces, la solución parece diferente, y esta actualización refleja esa realidad. Ofrece a las organizaciones mayor flexibilidad para responder a los riesgos, a la vez que deja claro que se espera que se tomen medidas. 

4. Mayor alineación con los estándares internacionales

Si bien no se indica explícitamente, el esquema actualizado se alinea más estrechamente con los marcos globales de ciberseguridad, como el Instituto Nacional de Normas (NIST) y ISO 27001. 

Por qué es importante: Para las organizaciones del Reino Unido que operan a nivel internacional, la conformidad con estas normas contribuye a generar credibilidad y abre las puertas a nuevos mercados. Para quienes ya están en proceso de obtener la certificación ISO 27001, Cyber ​​Essentials puede servir como trampolín, y ahora ese camino está más claramente definido. 

5. Cambios en la especificación de la prueba Cyber ​​Essentials Plus

Se están realizando algunos ajustes necesarios en la forma en que se llevan a cabo las evaluaciones de Cyber ​​Essentials Plus: 

• Los evaluadores deben verificar que el alcance coincida con la autoevaluación inicial. 

• Los límites deben estar claramente definidos y técnicamente segregados cuando el alcance no incluye a toda la organización. 

• El muestreo del dispositivo debe ser representativo y estar evidenciado. 

Por qué es importante: Estas actualizaciones aportan rigor y consistencia a la evaluación Plus. Garantizan que las organizaciones no puedan seleccionar sistemas específicos para el cumplimiento normativo, sino que demuestren que han implementado buenas prácticas en todos los ámbitos. 

¿Qué significa esto para tu negocio? 

Estos cambios no están diseñados para sorprender a las organizaciones. Su objetivo es garantizar que el programa se ajuste a los riesgos reales que enfrentan las empresas actuales. Sin embargo, requerirán medidas, especialmente para aquellas cuya fecha de renovación se acerque a finales de 2025. 

Si ya está certificado en Cyber ​​Essentials, ahora es el momento de revisar su postura actual: 

• ¿Estás explorando tecnologías sin contraseña? 

• ¿Sus políticas de acceso remoto reflejan la realidad actual del trabajo híbrido? 

• ¿Su enfoque de gestión de vulnerabilidades es flexible y receptivo? 

Si está trabajando para obtener su primera certificación, le conviene anticiparse a los cambios. No espere hasta abril de 2025; implemente estas prácticas hoy mismo. 

Conceptos básicos de ciberseguridad y más allá 

Vale la pena recordar que Cyber ​​Essentials no es el objetivo, sino el punto de partida. A medida que las ciberamenazas se vuelven más sofisticadas y la presión regulatoria aumenta, muchas organizaciones optan por construir sobre las bases de Cyber ​​Essentials con estándares más avanzados. 

La norma ISO/IEC 27001 es el siguiente paso natural. Se trata de un estándar de gestión de seguridad de la información reconocido mundialmente que proporciona un marco integral para la gestión de riesgos de la información. Mientras que Cyber ​​Essentials describe lo que se debe implementar, la ISO 27001 muestra cómo integrar estas prácticas en las operaciones diarias de su empresa. 

En conjunto, estos estándares pueden ayudar a crear una organización más resiliente, compatible y verdaderamente segura. 

¿Necesita ayuda para navegar los cambios? 

Ya sea que esté abordando el plan por primera vez o adaptándose a las actualizaciones de 2025, familiarizarse con los nuevos requisitos puede ser un desafío. 

Ahí es donde entramos nosotros. En ISMS.online, hemos trabajado con miles de organizaciones para ayudarlas a mantenerse al día con Cyber ​​Essentials, Cyber ​​Essentials Plus e ISO 27001. Nuestra plataforma está diseñada para simplificar el cumplimiento normativo, brindándole una visión clara de lo que necesita y manteniéndole encaminado de principio a fin. Así, puede abordar su proceso de cumplimiento con confianza. 

También practicamos lo que predicamos, habiendo utilizado nuestra propia plataforma para lograr con éxito la recertificación Cyber ​​Essential en noviembre de 2024.  

Y ya estamos incorporando soporte para los cambios de abril de 2025, por lo que estará preparado, no apurado. 

Conclusión  

Cyber ​​Essentials sigue siendo un componente fundamental de la estrategia de ciberseguridad del Reino Unido. Transmite a clientes, proveedores y socios un mensaje claro: la seguridad es muy importante para nosotros. 

Los próximos cambios buscan que el esquema sea más relevante y resiliente, reflejando las realidades del trabajo moderno. Pero esto no es solo un simple ejercicio de cumplir requisitos. Es una oportunidad para desarrollar mejores hábitos de seguridad en toda la organización. 

Si aún no ha empezado a prepararse, ahora es un buen momento para hacerlo. Revise su estrategia de seguridad, involucre a sus líderes y prepárese para el futuro de Cyber ​​Essentials. Una buena seguridad de la información no es solo un requisito; es una ventaja empresarial.