Entreprise de construction Morgan Sindall est devenu la première organisation britannique à obtenir une certification dans le cadre d’un nouveau programme mis en place par le Ministère de la Défense (Mod) et organisme de certification Iasm.
Le régime de certification de cyber-certification (DCC) a été créé dans le but d’améliorer la sécurité de la chaîne d’approvisionnement à travers le pays et de renforcer la résilience globale du Royaume-Uni face à des cyberattaques presque constantes orchestrées via des victimes ‘ Fournisseurs de la chaîne d’approvisionnement – incidents récents affectant les détaillants Marks & Spencer, coopérative et Harrods être de bons exemples de tels.
Selon un rapport de Thales en 2024, plus de 90% des organisations travaillant sur l’infrastructure nationale critique (CNI) ont connu une augmentation des cyberattaques tentatives et réussies.
Le projet DCC a été conçu comme une réponse proactive à cela et s’assurera que toutes les organisations travaillant dans la chaîne d’approvisionnement du mod – dont Morgan Sindall en est une, travaillant largement avec le département d’un projet pour revitaliser le stock de logements militaires britanniques et d’autres installations de la succession du MOD – sont équipées pour se défendre contre les cyber-risques.
L’organisation travaille également largement sur des projets d’infrastructures publiques, avec des versions récentes remarquables, y compris des mises à niveau de l’A421 à Milton Keynes, une extension de la ligne ferroviaire Overground de Londres en aboiement et le remplacement des lignes électriques aériennes par des câbles souterrains à Dorset. En tant que tel, il est considéré comme un objectif clé pour les acteurs de menace ciblant les secteurs tels que les fournisseurs de transport et de services publics.
«La certification de cyber-cyber (DCC) renforce la cyber-résilience dans la chaîne d’approvisionnement de la défense du Royaume-Uni. Les organisations obtenant et maintiennent le DCC prouvent leur engagement continu envers la défense britannique», a déclaré Eleanor Fairford, directeur de la cyber-défense et des risques, au mod.
Certification à plusieurs niveaux
La certification DCC elle-même est conçue pour souligner la sécurité globale et la résilience de l’organisation réceptrice, et a été structurée en quatre niveaux, L0 à L3, chacun correspondant à un degré spécifique de cyber-risque, en fonction du rôle que joue l’organisation au sein de la chaîne d’approvisionnement du mod.
Le schéma est déployé de manière progressive, actuellement seul L0 est disponible, avec L1 à la fin de la fin d’août 2025. Les niveaux L2 et L3 – qui établissent des normes rigoureuses conçues pour les organisations confrontées aux niveaux de cyber-risque les plus élevés – seront disponibles fin juillet.
Le processus d’évaluation de la certification DCC comprendra une évaluation ponctuelle par rapport aux normes de défense britannique, dont la conformité devrait bientôt devenir une exigence dans toutes les activités d’approvisionnement et de contrat de défense. Cette évaluation permettra aux organisations de démontrer une approche «claire et axée sur le futur» de la cyber-résilience qu’ils peuvent ensuite soumettre en satisfaction des exigences du contrat MOD et utiliser comme moyen de démontrer leur expertise à d’autres clients potentiels.
En ce qui concerne les futurs exercices d’approvisionnement, le MOD attribuera un niveau requis aux fournisseurs travaillant sur différents contrats, mais les entreprises intéressées à faire des enchères ne seront pas limitées dans le niveau de certification pour lequel ils s’appliquent – en effet, ils peuvent demander une certification à n’importe quel niveau qu’ils, même s’ils ne travaillent actuellement sur aucune entreprise de MOD.
Les bailleurs de fonds du programme ont déclaré qu’ils espéraient que ce niveau de flexibilité permettrait aux organisations de mieux démontrer leur engagement envers la résilience continue, de se préparer à de futures opportunités à l’avance et d’éviter la nécessité de passer des évaluations répétées encore et encore.
Le programme s’aligne également avec des cyber-pratiques plus larges, tous les niveaux obligeant les organisations à détenir déjà le National Cyber Security Center (NCSC) Cyber-essentiels badge – Les niveaux deux et trois nécessiteront la certification Cyber Essentials Plus une fois qu’ils seront lancés.
«Nous sommes ravis de collaborer avec le ministère de la Défense sur le programme de certification de cyber defente et très reconnaissant aux experts en cybersécurité qui ont été si généreux avec leur temps pour nous aider à développer le programme», a déclaré Emma Philpott, PDG de l’IASME.
Hannah Clarke-Dabson, consultante principale chez CNI Cyber Specialist Bridewell, qui a été impliquée dans la création des conseils pour le programme DCC, a ajouté: «Bridewell est ravi de continuer à soutenir l’évolution du programme DCC alors qu’il gagne du terrain dans la chaîne d’approvisionnement de la défense.
«Dès le début, nous avons travaillé en étroite collaboration avec l’IASME, les fournisseurs de défense et les principales parties prenantes de toute l’industrie pour aider à façonner l’avenir du programme DCC et à nous assurer que nous, en tant qu’organe de certification DCC, soutenons et guidons activement les organisations à travers le processus de certification», a-t-elle déclaré.
Les organisations intéressées à participer sont encouragées à visiter la page d’accueil du programme organisé par IASME Pour en savoir plus.