Cyber Essentials / Cyber Essentials Plus（英国）Skill 是一个针对英国基线网络安全认证的专业评估顾问工具。该认证由 NCSC 所有，仅通过 IASME 及其 400 余家授权认证机构网络交付。该体系范围刻意保持狭窄且技术性强：在纳管资产范围内应用五大控制主题。Skill 声明最后核验日期为 2026-09-14。
版本状态 当前适用："Danzell" 问题集 + Requirements for IT Infrastructure v3.3，适用于 2026 年 4 月 27 日（2026 年 2 月 13 日发布）起创建的所有评估账户。Willow（v3.2）仅适用于 2026 年 4 月 27 日前创建的账户，这些账户有 6 个月完成认证（窗口约于 2026 年 10 月下旬关闭）。围绕"Willow 为当前版本"撰写的指南对新申请者已过时。
Danzell 主要变化：两项自动不通过条件——(1) 云服务在可用时未实施 MFA；(2) 14 天更新问题（A6.4 操作系统/路由器/防火墙固件；A6.5 应用程序）未满足；正式定义"cloud service"，并确立云服务不可排除出范围的明确规则；范围排除必须提供理由并列出所有纳管法律实体；"point in time" 即证书签发日期；董事会声明现涵盖在认证期间维持合规；CE+ 失败样本复测使用新的随机样本（第二次失败将撤销已验证自评估证书）；"Application development" 部分（原 "Web applications"）引用英国政府软件安全行为准则；FIDO2 被认可用于无密码/MFA。
五大控制主题（v3.3） 防火墙——边界防火墙与设备软件防火墙；更改/禁用默认管理员密码；没有有据可查的需求且无 MFA 或 IP 允许列表时，不得暴露管理接口至互联网；默认阻止未认证入站；记录并审查入站规则；在不受信任网络上使用的设备需要软件防火墙。
安全配置——移除不必要账户/软件；更改默认密码；禁用自动运行；设备解锁：生物识别、密码或 PIN（仅解锁用途时至少 6 个字符），并具备防暴力破解保护（5 分钟内最多 10 次猜测，或 10 次尝试后锁定）。
安全更新管理——所有软件均已授权且受支持；移除不受支持软件，或将其隔离到双向阻断所有互联网流量的子集；尽可能启用自动更新；14 天规则：当修复被厂商评定为严重/高风险、或 CVSS v3 基础分 ≥ 7、或厂商未提供严重性细节时，须在 14 天内应用更新。
用户访问控制——账户审批流程；唯一凭证；不再需要时移除账户/权限；独立管理员账户（不用于邮件/浏览）；所有云服务始终启用 MFA，若可用却缺失则自动不通过。密码：MFA，或至少 12 个字符，或至少 8 个字符并配拒绝列表；不强制过期/复杂度；接受无密码方式（passkeys/FIDO2、生物识别、安全密钥、OTP、推送）。
恶意软件防护——每台纳管设备：反恶意软件（自动更新，阻止恶意软件执行和恶意网站）或应用允许列表（通过代码签名限制，并维护活跃的批准列表）。
范围规则 全组织范围，或经防火墙/VLAN 隔离并说明理由的子集；排除终端用户设备的范围不可接受；保险要求全组织范围。云服务始终在范围内——适用 IaaS/PaaS/SaaS 共担责任划分；若由提供商实施某项控制，须确认合同承诺。BYOD 在访问组织数据或服务时在范围内（仅用于原生通话/短信或作为 MFA 认证器时可除外）。学生、MSP 管理员、承包商和客户设备不在范围；员工/志愿者/受托人 BYOD 在范围。家庭/远程办公：公司设备与 BYOD 设备在范围；家庭 ISP 路由器不在范围（设备软件防火墙即为边界）；组织提供的家庭路由器在范围；使用公司 VPN 时，边界移至公司/虚拟/云防火墙。组织所有账户即使由第三方/MSP 运营也在范围。
认证机制 基础 CE：经核实自评估（Danzell 问题集），由董事会成员签署，评估师评分；购买后 6 个月内完成；失败后 2 个工作日内免费重新提交。定价（基础，不含增值税）：微型（0–9）£320 · 小型（10–49）£440 · 中型（50–249）£500 · 大型（250+）£600；CE+ 单独报价。CE Plus：基础通过后 3 个月内独立技术审计：内部+外部漏洞扫描、随机设备抽样（通常约 10%）、所有互联网网关和互联网可达服务器、恶意软件/邮件/浏览器下载防御测试；样本失败则用新随机样本复测；第二次失败撤销 VSA 证书。续期：年度（12 个月证书）。保险：基础 CE 可选加入——英国/皇家属地组织，营业额 < £20m，全组织范围 → £25,000 网络责任保险（AIG 承保，Sutcliffe & Co 管理；£1k 免赔额；网络欺诈除外；条件：对关键软件保持自动厂商更新启用）。
采购要求 PPN 014（自 2025 年 2 月 24 日起；取代 PPN 09/23）：中央政府各部门、机构、NDPB 和 NHS 机构在处理特定政府信息或交付 ICT 的合同中必须要求 CE 或 CE+（或按 2023 年采购法第 56 条接受的等效认证）。MoD：DCPP/网络安全模型正被 Defence Cyber Certification（DCC，IASME 交付，2025 年启动）取代；MoD 已要求所有国防工业伙伴在 2026 年 12 月 31 日前达到 DCC Level 0——Cyber Essentials 仍是供应链基线。NHS：处理患者数据的供应商每年完成 DSPT；将 DSPT 与 CE+ 视为独立证据要求（请核实当前 NHS England 指南——此交互会变化）。
核心工作流 就绪差距评估：按控制主题表格输出——要求 | 当前状态 | 差距 | 修复 | 自动不通过风险标记。范围定义：范围声明——实体、地点、网络、云服务、BYOD 立场、带理由的排除项。问题集走查：按章节提供评估师期望的证据/措辞指导；标记自动不通过问题。CE+ 准备：审计日清单——抽样预期、扫描前提条件、恶意软件/邮件/浏览器测试条件、常见失败原因。采购建议：给定合同需要哪一认证级别（PPN 014 / MoD DCC / NHS），从投标日期倒推时间线。
回答完整性规则：说明 Danzell/v3.3 状态及相关的 Willow 过渡窗口；在任何就绪回答中标记两项自动不通过条件；说明 14 天规则及其 CVSS ≥7 标准；云 MFA 是强制要求而非最佳实践；认证为年度制，"point in time" 即签发日期，但董事会声明承诺维持合规。
参考文件：references/five-controls.md——逐项控制要求详情（v3.3）；references/scope-and-boundaries.md——范围决策树：云、BYOD、家庭办公、子集；references/certification-process.md——CE 与 CE+ 流程、定价、保险、采购要求。该 Skill 提供一般合规信息，不构成法律建议；请对照官方来源核实当前要求，并就决策咨询合格法律顾问或认可评估师。