الثمانية الأساسية: دليل عملي
حسب Paul Gillet · آخر تحديث 2026-10-17
تُعد الثمانية الأساسية خط الأساس الذي تنشره وكالة الإشارات الأسترالية (ASD) لثماني استراتيجيات تخفيف في مواجهة أكثر الهجمات السيبرانية شيوعًا. وتنشره ASD مع نموذج النضج الذي يحدد ما تتطلبه كل استراتيجية عند مستويات النضج الأول والثاني والثالث، وتشكل المتطلبات نفسها ضوابط في دليل أمن المعلومات (ISM) الخاص بـ ASD.
الاستراتيجيات الثماني
- تصحيح التطبيقات: تحديد الثغرات الأمنية في التطبيقات وتصحيحها، وإزالة التطبيقات غير المدعومة.
- تصحيح أنظمة التشغيل: الأمر نفسه بالنسبة لأنظمة التشغيل والمشغلات والبرامج الثابتة.
- المصادقة متعددة العوامل: للخدمات الإلكترونية والوصول عن بُعد والمستخدمين ذوي الصلاحيات المميزة، وفي المستويات الأعلى لمستودعات البيانات، مع اعتماد طرق أقوى مقاومة للتصيد مع ارتفاع المستويات.
- تقييد الصلاحيات الإدارية: منح الصلاحيات المميزة ومراجعتها وتسجيلها، والفصل بين البيئات ذات الصلاحيات المميزة.
- التحكم في التطبيقات: لا يُسمح بتشغيل إلا البرامج والنصوص البرمجية وأدوات التثبيت والمكتبات المعتمدة.
- تقييد maros مايكروسوفت أوفيس: حظر وحدات الماكرو القادمة من الإنترنت، والسماح بالموثوق منها فقط.
- تقوية تطبيقات المستخدم: تقوية المتصفحات وبرامج Office وPDF، وتقييد PowerShell.
- النسخ الاحتياطي المنتظم: نسخ البيانات والبرامج والإعدادات المهمة احتياطيًا، واختبار الاستعادة، وحماية النسخ الاحتياطية من التعديل والحذف.
مستويات النضج
يستهدف كل مستوى خصمًا أكثر قدرة. المستوى الأول يوقف المهاجمين الانتهازيين الذين يستخدمون أدوات متاحة للجميع. المستوى الثاني يوقف الخصوم المستعدين لاستثمار وقت وجهد أكبر. المستوى الثالث يوقف الخصوم المتكيفين الذين يعتمدون بدرجة أقل على الأدوات العامة. وتوصي ASD ببلوغ المستوى نفسه في الاستراتيجيات الثماني جميعها قبل رفع أي منها إلى مستوى أعلى، واختيار المستوى المستهدف بناءً على بيئة التهديدات لديك.
الجهات الملزمة بتطبيقها
يجب على الجهات الحكومية الاتحادية الأسترالية غير التجارية تطبيق الثمانية الأساسية بموجب إطار سياسة الأمن الوقائي، مع اعتماد المستوى الثاني للنضج كهدف. ويطلب كثير من الحكومات الولائية والشركات الخاضعة للتنظيم وشركات التأمين السيبراني في أستراليا تطبيقها أيضًا. أما بالنسبة لغيرها، فهي خط أساس تقني مُجرَّب وذو أولويات واضحة.
كيفية عمل التقييم
لا توجد شهادة للثمانية الأساسية. وتتبع التقييمات دليل عملية تقييم الثمانية الأساسية الصادر عن ASD، ويمكن إجراؤها داخليًا أو من قبل مقيّم طرف ثالث. تُقيَّم كل استراتيجية على حدة، ولا تبلغ الاستراتيجية مستوى معينًا إلا عند استيفاء كل متطلبات ذلك المستوى وكل المستويات الأدنى منه. وجودة الأدلة مهمة: اختبار الضابط مباشرةً هو أقوى دليل، ومراجعة الإعدادات دليل جيد، والتوثيق دليل أضعف، والمقابلة وحدها هي الأضعف.
الخطوات
- اختر مستوى النضج المستهدف للمؤسسة، وعادةً المستوى الثاني للبداية.
- قيّم مستواك الحالي لكل استراتيجية، مستخدمًا الاختبار على مستوى النظام حيثما أمكن.
- حدد أولويات الفجوات، مع رفع كل الاستراتيجيات إلى المستوى نفسه أولًا.
- طبّق الضوابط ووثّق أدلتها، مع تسجيل أي استثناءات مع الضوابط التعويضية ومالك لكل منها.
- أعد التقييم بانتظام: فضوابط التصحيح والصلاحيات المميزة تتغير بسرعة.
الثمانية الأساسية والأطر الأخرى
تصف ISO 27001 وإطار NIST السيبراني النتائج المرجوة، بينما تحدد الثمانية الأساسية إعدادات تقنية محددة وأطرًا زمنية. لذلك تكون معظم ضوابط الثمانية الأساسية ذات صلة فضفاضة فقط بمتطلبات ISO أو NIST: فهذه الأطر تطلب منك إدارة الثغرات أو التحكم في الوصول، لكنها لا تأمرك بحظر وحدات الماكرو القادمة من الإنترنت أو بالتصحيح ضمن مدة محددة. لا تنشر ASD أي جدول مطابقة، لذلك فإن كل ربط للثمانية الأساسية على هذا الموقع هو تقدير تحريري من ControlMapping مع ذكر سببه.
كيف يساعدك هذا الموقع
تسرد ControlMapping ضوابط ISM التي تحددها ASD للثمانية الأساسية، مجمّعة حسب الاستراتيجية مع مستويات نضجها، من إصدار ISM مثبّت (بموجب رخصة CC BY 4.0). ويوضح الجدول أدناه مقدار ما تغطيه أطرك الحالية من الثمانية الأساسية؛ ويُتوقع أن تكون التغطية محدودة، وهذه هي الغاية من الثمانية الأساسية.
لديك إطار آخر بالفعل؟
عدد متطلبات Essential Eight التي يُربط بها كل إطار قد تتبعه بالفعل. افتح تقرير فجوات للاطلاع على القائمة متطلباً بمتطلب.
| إذا كان لديك بالفعل | متطلبات Essential Eight المربوطة | ذو صلة فضفاضة فقط | لا يوجد ربط | |
|---|---|---|---|---|
| NIST CSF 2.0 | 57 من 126 | 69 | 0 | تقرير الفجوات → · مقارنة |
| ISO 27001 | 57 من 126 | 69 | 0 | تقرير الفجوات → · مقارنة |
| CIS v8.1 | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| SOC 2 | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| PCI DSS | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| CMMC | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| 800-53 | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| NIS2 | 57 من 126 | 69 | 0 | تقرير الفجوات → |
| DORA | 45 من 126 | 76 | 5 | تقرير الفجوات → |
| Cyber Essentials | 39 من 126 | 72 | 15 | تقرير الفجوات → |
| HIPAA | 30 من 126 | 96 | 0 | تقرير الفجوات → |
| GDPR | 15 من 126 | 82 | 29 | تقرير الفجوات → |
| CPS 234 | 9 من 126 | 28 | 89 | تقرير الفجوات → |
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. تُحسب الأعداد من البيانات نفسها المستخدمة في تحليل الفجوات؛ والمطابقة تعني متطلبات مرتبطة، ولا تعني أن أحدها يستوفي الآخر.
الأسئلة
هل الثمانية الأساسية إلزامية؟
بالنسبة للجهات الحكومية الاتحادية الأسترالية غير التجارية، نعم، بموجب إطار سياسة الأمن الوقائي. أما للمؤسسات الأخرى فهو اختياري، although قد يطلبه العملاء والجهات التنظيمية وشركات التأمين.
ما مستوى النضج الذي يجب أن نستهدفه؟
تقترح ASD اختيار مستوى بناءً على بيئة التهديدات لديك، وبلوغه في الاستراتيجيات الثماني جميعها قبل المضي أبعد من ذلك. والمستوى الثاني هو الهدف الأول المعتاد.
هل توجد شهادة للثمانية الأساسية؟
لا. تُقيَّم المؤسسات وفق دليل عملية تقييم الثمانية الأساسية الصادر عن ASD، داخليًا أو من قبل مقيّمين من طرف ثالث، لكن لا تُصدر أي شهادة.
ليست نصيحة قانونية أو في الامتثال. راجع النص الرسمي ومدقق الحسابات أو المقيّم أو الجهة التنظيمية قبل الاعتماد عليه.