Το βρετανικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) έθεσε σε λειτουργία ένα νέο σύστημα πιστοποίησης για εταιρείες που προσομοιώνουν κυβερνοεπιθέσεις, ώστε οι κρίσιμοι οργανισμοί της χώρας να δοκιμάζουν την άμυνά τους απέναντι σε ρεαλιστικά σενάρια. Το πρόγραμμα ονομάζεται Cyber Adversary Simulation (CyAS), δηλαδή «προσομοίωση κυβερνοαντιπάλου», και παρουσιάστηκε την Τετάρτη 11 Νοεμβρίου 2026, όπως ανακοίνωσε ο ίδιος ο φορέας.
Η ουσία είναι απλή για όποιον αγοράζει τέτοιες υπηρεσίες: το NCSC αξιολογεί τους εμπορικούς παρόχους με βάση πρότυπο που έχει ορίσει το ίδιο και δημοσιεύει τον κατάλογο όσων το πληρούν. Έτσι ένας οργανισμός δεν χρειάζεται να μαντεύει ποιος ιδιωτικός συνεργάτης είναι αξιόπιστος για να δοκιμάσει πόσο καλά μπορεί να προλάβει, να εντοπίσει και να αντιμετωπίσει μια επίθεση. Το CyAS στηρίζεται στην εμπειρία του NCSC ως εθνικής τεχνικής αρχής του Ηνωμένου Βασιλείου για την κυβερνοασφάλεια.
Η διαφορά από τον κλασικό έλεγχο διείσδυσης (penetration testing, δηλαδή τη δοκιμή ενός συστήματος για γνωστά σημεία αδυναμίας) βρίσκεται στη μέθοδο. Οι πάροχοι του CyAS ξεκινούν με αναγνώριση του στόχου: μελετούν την τεχνολογία του πελάτη, τα σημεία στα οποία είναι εκτεθειμένος και το περιβάλλον απειλών στο οποίο κινείται. Με βάση αυτά καταρτίζουν σχέδια επίθεσης ειδικά για τον συγκεκριμένο οργανισμό. Οι δοκιμαστές σκέφτονται σαν αντίπαλοι και χρησιμοποιούν κατάλληλα εργαλεία για να πετύχουν τους συμφωνημένους στόχους. Δεν καθοδηγούνται από πληροφορίες για απειλές που αγοράζονται από εμπορικούς παρόχους ούτε περιορίζονται σε ήδη καταγεγραμμένες τακτικές, τεχνικές και διαδικασίες (TTPs).
Ο αναπληρωτής διευθυντής του NCSC Κρις Ένσορ (Chris Ensor) περιέγραψε το πρόγραμμα ως βήμα πέρα από τον παραδοσιακό έλεγχο διείσδυσης και τον έλεγχο των μέτρων ασφαλείας: «Η υπηρεσία CyAS επιτρέπει στους οργανισμούς να δοκιμάσουν στην πράξη την άμυνά τους, ώστε να είναι σε θέση να προστατεύονται από κυβερνοεπιθέσεις, να τις εντοπίζουν και να τις αντιμετωπίζουν». Ο επικεφαλής τεχνολογίας (CTO) του NCSC Όλι Γουάιτχαουζ (Ollie Whitehouse) μίλησε στην παρουσίαση του προγράμματος και δήλωσε: «Δεν μπορείς να βελτιώσεις ό,τι δεν γνωρίζεις». Όπως πρόσθεσε, οι ρεαλιστικές αξιολογήσεις από τους καλύτερους ειδικούς θα βοηθήσουν τους οργανισμούς να σχηματίσουν σαφέστερη εικόνα για το πώς θα αντέξουν σε πραγματικές επιθέσεις.
Το CyAS δεν λειτουργεί μόνο του. Συμπληρώνει το Πλαίσιο Αξιολόγησης Κυβερνοασφάλειας (Cyber Assessment Framework, CAF), το οποίο χρησιμοποιείται ως κοινή δομή για την αποτίμηση της κυβερνοανθεκτικότητας, καθώς και το σχετικό πρόγραμμα Cyber Resilience Audit (CRA), δηλαδή τον έλεγχο κυβερνοανθεκτικότητας. Το CAF οργανώνεται γύρω από τέσσερις στόχους: διαχείριση του κινδύνου ασφάλειας, προστασία από κυβερνοεπιθέσεις, εντοπισμός συμβάντων και περιορισμός των συνεπειών τους. Τα τρία εργαλεία μαζί θα δώσουν στους μεγαλύτερους οργανισμούς, στους φορείς κρίσιμων εθνικών υποδομών και στο κράτος πληρέστερη εικόνα της ασφάλειάς τους.
Στο σχήμα εμπλέκονται και οι φορείς εποπτείας κυβερνοασφάλειας, δηλαδή ρυθμιστικές αρχές και κυβερνητικά υπουργεία που έχουν την ευθύνη για τον κάθε τομέα. Το πρόγραμμα αναπτύχθηκε σε συνεργασία μαζί τους, ώστε να υπάρχει κοινό βασικό πρότυπο και πιο συνεπής τρόπος απόδειξης της ανθεκτικότητας. Οι φορείς αυτοί, που ονομάζονται «εταίροι του προγράμματος», μπορούν να παροτρύνουν τους εποπτευόμενους οργανισμούς να το χρησιμοποιήσουν, να προτείνουν πιστοποιημένους παρόχους, να απαιτήσουν τη διενέργεια δοκιμής CyAS ή να ορίσουν πρόσθετες τομεακές προδιαγραφές.
Το CyAS απευθύνεται σε οργανισμούς που έχουν αξιολογήσει τους κινδύνους τους, διαθέτουν μέτρα ασφάλειας και παρακολούθησης και έχουν σχέδιο αντιμετώπισης περιστατικών. Ιδιαίτερη αξία έχει για μεγάλους οργανισμούς, φορείς κρίσιμων εθνικών υποδομών και κυβερνητικές υπηρεσίες, ενώ όποιος θωρακίζει ακόμη τα βασικά του συστήματα μπορεί να χρειάζεται πρώτα άλλες μορφές αξιολόγησης.
Το πρόγραμμα ξεκινά ως ελάχιστα βιώσιμο προϊόν (Minimum Viable Product, MVP), δηλαδή ως πρώτη, περιορισμένη μορφή που θα δοκιμαστεί στην πράξη. Το NCSC θέλει να διαπιστώσει πόση ζήτηση υπάρχει, να βελτιώσει τη μεθοδολογία και να χτίσει εμπιστοσύνη πριν περάσει σε πληρέστερο μοντέλο λειτουργίας. Η φάση αυτή αναμένεται να διαρκέσει περίπου 18 μήνες, με συλλογή σχολίων από αγοραστές, παρόχους και εταίρους. Ο κατάλογος των πιστοποιημένων παρόχων είναι διαθέσιμος στη σελίδα «Find a Provider» του προγράμματος.
Το NCSC είχε πρόσφατα καταγγείλει μαζί με συμμάχους κινεζική εταιρεία που διευκόλυνε χάκερ να κλέβουν ευαίσθητα δεδομένα, ενώ ο ευρωπαϊκός οργανισμός ENISA παρουσίασε την κατάσταση της κυβερνοασφάλειας στην ΕΕ το 2026. Ανάλογη λογική δοκιμής σε συνθήκες πίεσης ακολουθούν και οι ασκήσεις, όπως η Locked Shields του ΝΑΤΟ, στην οποία έχει συμμετάσχει το προσωπικό της κυβερνοάμυνας του ΓΕΕΘΑ.
