Vergleich
Essential Eight vs. NIST CSF 2.0: Australiens Basis im globalen Vergleich
NIST Cybersecurity Framework 2.0 · ASD Essential Eight · Daten 2026-10-27
Australische Organisationen, die an ausländische Muttergesellschaften oder Boards berichten, müssen ihren Reifegrad bei den Essential Eight häufig in Begriffen von NIST CSF 2.0 darstellen. Internationale Organisationen, die in australische Lieferketten der öffentlichen Hand einsteigen, brauchen den umgekehrten Weg. Beide Werke setzen auf unterschiedlichen Ebenen an: CSF beschreibt Ergebnisse über Governance und den gesamten Lebenszyklus von Vorfällen hinweg, während die Essential Eight acht technische Strategien vorgeben, die jeweils über die ISM-Controls der ASD in den Reifegradstufen Eins bis Drei gemessen werden.
Von CSF zu den Essential Eight ist jede E8-Maßnahme zugeordnet oder lose verwandt, vor allem über die CSF-Ergebnisse zu Plattformsicherheit, Identität und Datenschutz. Wie bei ISO sind viele Entsprechungen nur lose verwandt: CSF sagt Ihnen nicht, dass Office-Makros aus dem Internet blockiert werden müssen oder dass die Anwendungskontrolle Treiber auf ML3 abdecken muss.
Von den Essential Eight zu CSF sind die meisten CSF-Ergebnisse nicht zugeordnet, insbesondere die Funktion Govern (Risikostrategie, Richtlinien, Aufsicht, Lieferkettenrisiko) sowie große Teile von Identify, Detect, Respond und Recover jenseits von Protokollierung, Meldung von Vorfällen und Backups.
Die ASD veröffentlicht kein Crosswalk zu NIST, daher stammt die Seite der Essential Eight in diesem Vergleich aus der redaktionellen Zuordnung von ControlMapping, gegliedert nach Strategie.
Kernaussagen
- Den Reifegrad der Essential Eight innerhalb eines CSF-Profils ausweisen: Er ordnet sich hauptsächlich der Funktion Protect zu.
- CSF → E8: Die ML2-Controls jeder Strategie als konkrete Umsetzungsanforderungen unter den passenden CSF-Ergebnissen behandeln.
- E8 → CSF: Die Ergebnisse zu Governance und Reaktion sind neue Arbeit.
Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →
Haben NIST CSF 2.0 → benötigen Essential Eight
126 Anf. 57 zugeordnet · · 0 ohne Zuordnung In der Lückenansicht öffnen →Von 126 ASD Essential Eight-Anforderungen sind 57 auf etwas in NIST CSF 2.0 zugeordnet, 69 sind nur lose verwandt und 0 haben keine Zuordnung in unseren Daten.
Essential Eight bezeichnet hier die ISM-Maßnahmen, die ASD für die Reifegrade Eins bis Drei kennzeichnet; jede Zeile zeigt ihre Stufen (ML1–ML3). ASD veröffentlicht keinen Crosswalk zu anderen Frameworks, daher beruht jede Zuordnung auf der redaktionellen Einschätzung von ControlMapping.
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (69)
| Essential Eight | Anforderung | Abgleich | NIST CSF 2.0 | Nachweis |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | ID.RA-01PR.PS-02 | Teilt nur CSF ID.RA-01, PR.PS-02: verwandt, aber keine Zuordnung | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | ID.RA-01PR.PS-02PR.PS-03 | Teilt nur CSF ID.RA-01, PR.PS-02, PR.PS-03: verwandt, aber keine Zuordnung | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | PR.AA-03 | Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | PR.AA-05 | Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | PR.PS-05 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | PR.PS-05 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | PR.PS-05 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | PR.PS-05 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | PR.PS-05 | Teilt nur CSF PR.PS-05: verwandt, aber keine Zuordnung | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | PR.PS-01PR.PS-05 | Teilt nur CSF PR.PS-01, PR.PS-05: verwandt, aber keine Zuordnung | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | PR.PS-01 | Teilt nur CSF PR.PS-01: verwandt, aber keine Zuordnung | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | PR.DS-11RC.RP-03 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | PR.DS-11RC.RP-03 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | PR.DS-11RC.RP-03 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | PR.DS-11RC.RP-03 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | PR.DS-11RC.RP-03 | Teilt nur CSF PR.DS-11, RC.RP-03: verwandt, aber keine Zuordnung | |
Zugeordnet (57)
| Essential Eight | Anforderung | Abgleich | NIST CSF 2.0 | Nachweis |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | Redaktionell | ID.RA-01ID.RA-08 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | Redaktionell | ID.RA-01ID.RA-08 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | Redaktionell | ID.AM-01ID.AM-02ID.AM-04+3 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | Redaktionell | ID.RA-01ID.RA-08 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | Redaktionell | ID.RA-01ID.RA-08 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | Redaktionell | ID.RA-01ID.RA-08 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | Redaktionell | PR.PS-02 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | Redaktionell | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | Redaktionell | PR.AA-03 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | Redaktionell | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | Redaktionell | PR.AA-05 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | Redaktionell | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | Redaktionell | DE.CM-09PR.PS-05 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | Redaktionell | DE.CM-09PR.DS-02PR.PS-05 | Gleiches Thema: Endpoint-Schutz, E-Mail-Sicherheit (Redaktionelle Auswahl) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | Redaktionell | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | Redaktionell | PR.PS-01 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | Redaktionell | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | Redaktionell | PR.DS-11PR.IR-03RC.RP-02+2 | Gleiches Thema: Backup & Recovery, Disaster Recovery (Redaktionelle Auswahl) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | Redaktionell | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | Redaktionell | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | Redaktionell | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | Redaktionell | PR.DS-11RC.RP-03 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | Redaktionell | DE.CM-01DE.CM-03DE.CM-09 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | Redaktionell | RS.CO-02 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | Redaktionell | RS.CO-02 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | Redaktionell | DE.AE-02DE.AE-03DE.AE-04+3 | Gleiches Thema: Anomalieerkennung, SIEM / SOC (Redaktionelle Auswahl) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | Redaktionell | DE.AE-03PR.PS-04 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | Redaktionell | ID.IM-04RS.MA-01RS.MA-02+2 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | Redaktionell | DE.AE-03DE.AE-06DE.AE-08+3 | Gleiches Thema: SIEM / SOC (Redaktionelle Auswahl) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | Redaktionell | DE.CM-01DE.CM-03DE.CM-09 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
Haben Essential Eight → benötigen NIST CSF 2.0
106 Anf. 32 zugeordnet · · 73 ohne Zuordnung In der Lückenansicht öffnen →Von 106 NIST Cybersecurity Framework 2.0-Anforderungen sind 32 auf etwas in Essential Eight zugeordnet, 1 sind nur lose verwandt und 73 haben keine Zuordnung in unseren Daten.
Voraussichtlich neuer Aufwand: NIST CSF 2.0-Anforderungen ohne Zuordnung zu Essential Eight (73)
| NIST CSF 2.0 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| Detect (DE) · 3 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Govern (GV) · 31 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.RR-04 | Cybersecurity is included in human resources practices | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Identify (ID) · 14 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.IM-01 | Improvements are identified from evaluations | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Protect (PR) · 12 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Recover (RC) · 5 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| Respond (RS) · 8 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.AN-08 | An incident's magnitude is estimated and validated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.MA-05 | The criteria for initiating incident recovery are applied | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.MI-01 | Incidents are contained | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
| RS.MI-02 | Incidents are eradicated | Keine Zuordnung in unseren Daten | — | Keine Zuordnung zu Essential Eight in unseren Daten. |
Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (1)
| NIST CSF 2.0 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| Protect (PR) · 1 | ||||
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | ISM-1407ISM-1501ISM-1694+5 | Teilt nur CSF PR.PS-03: verwandt, aber keine Zuordnung | |
Zugeordnet (32)
| NIST CSF 2.0 | Anforderung | Abgleich | Essential Eight | Nachweis |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Redaktionell | ISM-1228 | Gleiches Thema: Anomalieerkennung (Redaktionelle Auswahl) |
| DE.AE-03 | Information is correlated from multiple sources | Redaktionell | ISM-1228ISM-1509ISM-1623+4 | Gleiches Thema: SIEM / SOC, Protokollierung & Audit (Redaktionelle Auswahl) |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Redaktionell | ISM-1228 | Gleiches Thema: Anomalieerkennung (Redaktionelle Auswahl) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Redaktionell | ISM-1228ISM-1906 | Gleiches Thema: SIEM / SOC (Redaktionelle Auswahl) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Redaktionell | ISM-1228ISM-1906 | Gleiches Thema: SIEM / SOC (Redaktionelle Auswahl) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Redaktionell | ISM-0109ISM-1906ISM-1907 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Redaktionell | ISM-0109ISM-1906ISM-1907 | Gleiches Thema: Kont. Überwachung (Redaktionelle Auswahl) |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Redaktionell | ISM-0109ISM-0843ISM-1228+7 | Gleiches Thema: Kont. Überwachung, Endpoint-Schutz, Anomalieerkennung (Redaktionelle Auswahl) |
| Identify (ID) · 7 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Redaktionell | ISM-1807 | Gleiches Thema: Asset-Management (Redaktionelle Auswahl) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Redaktionell | ISM-1698ISM-1699ISM-1701+3 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Redaktionell | ISM-1698ISM-1699ISM-1701+3 | Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl) |
| Protect (PR) · 9 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | Redaktionell | ISM-0974ISM-1173ISM-1401+3 | Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl) |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Redaktionell | ISM-0445ISM-1175ISM-1380+5 | Gleiches Thema: Privilegierter Zugriff (Redaktionelle Auswahl) |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Redaktionell | ISM-1488 | Gleiches Thema: E-Mail-Sicherheit (Redaktionelle Auswahl) |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Redaktionell | ISM-1511ISM-1515ISM-1707+3 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Redaktionell | ISM-1515 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| PR.PS-01 | Configuration management practices are established and applied | Redaktionell | ISM-1412ISM-1585ISM-1621+3 | Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl) |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Redaktionell | ISM-1501ISM-1691ISM-1693+4 | Gleiches Thema: Patch-Management (Redaktionelle Auswahl) |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Redaktionell | ISM-1509ISM-1623ISM-1660+2 | Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl) |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Redaktionell | ISM-0843ISM-1488ISM-1490+3 | Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl) |
| Recover (RC) · 3 | ||||
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Redaktionell | ISM-1515 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Redaktionell | ISM-1511ISM-1515ISM-1707+3 | Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl) |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Redaktionell | ISM-1515 | Gleiches Thema: Disaster Recovery (Redaktionelle Auswahl) |
| Respond (RS) · 5 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Redaktionell | ISM-0123ISM-0140 | Gleiches Thema: Meldung (Redaktionelle Auswahl) |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| RS.MA-02 | Incident reports are triaged and validated | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| RS.MA-03 | Incidents are categorized and prioritized | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
| RS.MA-04 | Incidents are escalated or elevated as needed | Redaktionell | ISM-1819 | Gleiches Thema: Incident Response (Redaktionelle Auswahl) |
Nach Thema
Beide abgedeckt (16):
Asset-ManagementSchwachstellenmanagementMulti-Faktor-AuthentifizierungBackup & RecoveryPrivilegierter ZugriffEndpoint-SchutzPatch-ManagementSichere KonfigurationE-Mail-SicherheitKont. ÜberwachungProtokollierung & AuditAnomalieerkennungSIEM / SOCIncident ResponseMeldungDisaster Recovery
Nur NIST CSF 2.0 (34):
Governance-RichtlinieAwareness & TrainingRisikomanagementLieferkettenrisikoRollen und VerantwortlichkeitenComplianceRisikobewertungGeschäftsumfeldDatenklassifizierungThreat IntelligenceZugriffskontrolleVerschlüsselungDatenschutzFirewall / NetzsegmentierungSichere EntwicklungWebanwendungssicherheitZero TrustMobile SecurityCloud-SicherheitDNS-SicherheitWAFDLPAngriffserkennungForensikKommunikationMitigationWiederherstellungsplanungBusiness ContinuityErkenntnisse aus VorfällenKommunikation & WiederherstellungAPI-SicherheitInsider-BedrohungenLieferantenrisikomanagementPhysische Sicherheit
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.