Le NCSC lance un programme de certification pour les prestataires qui simulent des cyberattaques contre les organisations critiques britanniques

Le Centre national de cybersécurité du Royaume-Uni (NCSC) a mis en place un nouveau programme de certification pour les entreprises qui simulent des cyberattaques, afin que les organisations critiques du pays puissent tester leurs défenses face à des scénarios réalistes. Ce programme s’appelle Cyber Adversary Simulation (CyAS) et a été présenté par le NCSC lui-même le mercredi 11 novembre 2026.

L’idée de base est simple pour quiconque achète de tels services : le NCSC évalue les prestataires commerciaux selon une norme qu’il a fixée, et publie la liste de ceux qui la respectent. Une organisation n’a donc pas à deviner quel partenaire privé est digne de confiance pour tester sa capacité à prévenir, détecter et contrer une attaque. CyAS s’appuie sur l’expérience du NCSC, en tant qu’autorité technique nationale du Royaume-Uni en matière de cybersécurité.

La différence avec les tests d’intrusion classiques (qui testent un système pour détecter des failles connues) réside dans la méthode. Les prestataires CyAS commencent par une phase de reconnaissance de la cible : ils étudient les technologies du client, ses points d’exposition et l’environnement de menace dans lequel il évolue. Sur cette base, ils élaborent des plans d’attaque propres à l’organisation. Les testeurs raisonnent comme des adversaires et utilisent des outils adaptés pour atteindre les objectifs convenus. Ils ne se fondent pas sur des renseignements sur les menaces achetés dans le commerce et ne se limitent pas aux tactiques, techniques et procédures (TTP) déjà documentées.

Chris Ensor, directeur adjoint du NCSC, a décrit ce programme comme une étape au-delà des tests d’intrusion traditionnels et des audits des mesures de sécurité : « CyAS permet aux organisations de tester leurs défenses en pratique, afin d’être en mesure de se protéger contre les cyberattaques, de les détecter et d’y répondre. » Ollie Whitehouse, directeur technique du NCSC, a déclaré lors du lancement : « On ne peut pas améliorer ce que l’on ne connaît pas. » Des évaluations réalistes menées par les meilleurs experts, a-t-il ajouté, aideront les organisations à se faire une idée plus claire de leur capacité à résister à de véritables attaques.

CyAS ne fonctionne pas seul. Il complète le Cyber Assessment Framework (CAF), utilisé comme structure commune pour évaluer la cyber-résilience, ainsi que le programme Cyber Resilience Audit (CRA) associé. Le CAF s’articule autour de quatre objectifs : gérer le risque de sécurité, se protéger contre les cyberattaques, détecter les événements et en minimiser l’impact. Les régulateurs de cybersécurité et les ministères responsables de chaque secteur participent en tant que « partenaires du programme » : ils peuvent encourager les organisations qu’ils supervisent à y recourir, recommander des prestataires certifiés, exiger un test CyAS ou fixer des exigences sectorielles supplémentaires.

CyAS s’adresse aux organisations qui ont évalué leurs risques, disposent de mesures de sécurité et de surveillance et ont un plan de réponse aux incidents. Il est particulièrement utile pour les grandes organisations, les opérateurs d’infrastructures nationales critiques et les ministères, tandis que toute organisation qui renforce encore ses systèmes de base peut d’abord avoir besoin d’autres formes d’évaluation. Le programme démarre sous la forme d’un produit minimum viable (MVP), une première version limitée destinée à être testée en pratique. Le NCSC veut évaluer la demande, affiner la méthodologie et instaurer la confiance avant de passer à un modèle de fonctionnement plus complet. Cette phase devrait durer environ 18 mois, en recueillant les retours des acheteurs, des prestataires et des partenaires. La liste des prestataires certifiés est disponible sur la page « Trouver un prestataire » du programme.

Le NCSC a récemment dénoncé, avec ses alliés, une entreprise chinoise qui a facilité le vol de données sensibles par des pirates informatiques, comme nous l’avons relaté dans notre article sur Integrity Tech.