El Essential Eight: una guía práctica

Por Paul Gillet · Actualizado 2026-10-17

El Essential Eight es la línea base de ocho estrategias de mitigación de la Australian Signals Directorate (ASD) frente a los ciberataques más comunes. La ASD lo publica junto con un Modelo de Madurez que establece lo que exige cada estrategia en los niveles de madurez Uno, Dos y Tres, y los propios requisitos son controles del Information Security Manual (ISM) de la ASD.

Las ocho estrategias

• Parchear aplicaciones: identificar y parchear vulnerabilidades en las aplicaciones, y eliminar las que ya no tienen soporte.
• Parchear sistemas operativos: lo mismo para los sistemas operativos, los controladores y el firmware.
• Autenticación multifactor: para servicios en línea, acceso remoto, usuarios con privilegios y, en niveles superiores, repositorios de datos, con métodos más robustos (resistentes al phishing) a medida que aumenta el nivel.
• Restringir privilegios administrativos: conceder, revisar y registrar el acceso privilegiado, y separar los entornos privilegiados.
• Control de aplicaciones: solo pueden ejecutarse programas, scripts, instaladores y bibliotecas aprobados.
• Restringir las macros de Microsoft Office: bloquear las macros procedentes de internet y permitir solo las de confianza.
• Endurecimiento de las aplicaciones de usuario: endurecer los navegadores, el software de Office y de PDF, y restringir PowerShell.
• Copias de seguridad periódicas: realizar copias de seguridad de los datos, el software y la configuración importantes, probar la restauración y proteger las copias frente a modificaciones y eliminaciones.

Niveles de madurez

Cada nivel está orientado a un adversario más capaz. El Nivel Uno frena a los atacantes oportunistas que usan herramientas comunes. El Nivel Dos frena a los adversarios dispuestos a invertir más tiempo y esfuerzo. El Nivel Tres frena a los adversarios adaptativos, menos dependientes de herramientas públicas. La ASD recomienda alcanzar el mismo nivel en las ocho estrategias antes de subir cualquiera de ellas a un nivel superior, y elegir un nivel objetivo según su entorno de amenazas.

Quién debe implementarlo

Las entidades de la Commonwealth del Gobierno australiano que no son empresas deben implementar el Essential Eight en el marco de la Protective Security Policy Framework, con el Nivel de Madurez Dos como objetivo. Muchos gobiernos estatales, empresas reguladas y aseguradoras de ciberriesgos en Australia también lo exigen. Para el resto es una línea base técnica bien probada y priorizada.

Cómo funciona la evaluación

No existe un certificado del Essential Eight. Las evaluaciones siguen la Essential Eight Assessment Process Guide de la ASD y pueden realizarse internamente o por un evaluador externo. Cada estrategia se evalúa por separado, y una estrategia alcanza un nivel solo cuando se cumplen todos los requisitos de ese nivel y de todos los niveles inferiores. La calidad de la evidencia importa: probar un control directamente es la evidencia más sólida, revisar una configuración es buena, la documentación es más débil y una entrevista por sí sola es la más débil.

Los pasos

1. Elegir un nivel de madurez objetivo para la organización, normalmente el Nivel Dos para empezar.
2. Evaluar su nivel actual en cada estrategia, usando pruebas a nivel de sistema cuando sea posible.
3. Priorizar las brechas, llevando primero todas las estrategias al mismo nivel.
4. Implementar y documentar como evidencia los controles, registrando las excepciones con controles compensatorios y un responsable.
5. Reevaluar periódicamente: los controles de parcheo y privilegios se degradan con rapidez.

El Essential Eight y otros marcos

ISO 27001 y NIST CSF describen resultados; el Essential Eight prescribe configuraciones técnicas concretas y plazos. Por eso, la mayoría de los controles del Essential Eight solo guardan una relación tangencial con los requisitos de ISO o NIST: esos marcos piden gestionar las vulnerabilidades o controlar el acceso, pero no ordenan bloquear las macros de internet ni parchear en un plazo determinado. La ASD no publica ninguna correspondencia, por lo que cada vínculo del Essential Eight en este sitio es un criterio editorial de ControlMapping, con su justificación.

Cómo ayuda este sitio

ControlMapping enumera los controles del ISM que la ASD asocia al Essential Eight, agrupados por estrategia con sus niveles de madurez, a partir de una versión fijada del ISM (CC BY 4.0). La tabla siguiente muestra cuánto del Essential Eight ya cubren sus marcos actuales; es previsible que la cobertura sea modesta, que es precisamente el propósito del Essential Eight.

¿Ya tiene otro marco?

Cuántos requisitos de Essential Eight corresponden a cada marco que quizá ya cumple. Abra un informe de brechas para ver la lista requisito por requisito.

Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · Relación tangencial solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Los recuentos proceden de los mismos datos que análisis de brechas; una correspondencia significa requisitos relacionados, no prueba de que uno satisfaga al otro.

Preguntas

¿Es obligatorio el Essential Eight?

Para las entidades de la Commonwealth del Gobierno australiano que no son empresas, sí, en el marco de la Protective Security Policy Framework. Para otras organizaciones es voluntario, aunque clientes, reguladores y aseguradoras pueden exigirlo.

¿Qué nivel de madurez deberíamos aspirar a alcanzar?

La ASD sugiere elegir un nivel según su entorno de amenazas y alcanzarlo en las ocho estrategias antes de avanzar. El Nivel Dos es el primer objetivo habitual.

¿Existe una certificación del Essential Eight?

No. Las organizaciones se evalúan según la Essential Eight Assessment Process Guide de la ASD, de forma interna o mediante evaluadores externos, pero no se emite ningún certificado.

No es asesoramiento legal ni de cumplimiento. Consulte el texto oficial y a su auditor, evaluador o regulador antes de basarse en él.