Choisir le niveau de maturité cible d'Essential Eight

Le modèle de maturité Essential Eight de l'ASD définit trois niveaux pour chacune des huit stratégies d'atténuation. Une erreur courante consiste à les traiter comme des notes, avec le niveau 3 comme objectif pour tout le monde. Ce ne sont pas des notes. Chaque niveau est conçu pour contrer un type d'adversaire différent, et la cible adéquate dépend de votre environnement de menace.

À quoi sert chaque niveau

• Le niveau 1 contre les adversaires qui utilisent des techniques courantes de manière opportuniste : exploits largement disponibles, identifiants volés, documents malveillants envoyés à n'importe qui.
• Le niveau 2 contre les adversaires prêts à investir davantage de temps et d'efforts, et à cibler une organisation précise, mais qui reposent encore largement sur des techniques connues.
• Le niveau 3 contre les adversaires adaptatifs, moins dépendants des outils publics, qui exploitent rapidement les nouvelles vulnérabilités et cherchent à échapper à la détection.

Les exigences se resserrent à chaque niveau : délais de correction plus courts, MFA pour davantage d'utilisateurs et de systèmes, avec des méthodes résistantes au hameçonnage, contrôle des applications sur davantage de systèmes et de types de fichiers, restrictions plus strictes sur les privilèges administrateur et les sauvegardes.

Comment choisir

1. Partez de la menace. Qui aurait intérêt à obtenir ce que vous détenez ? Les données gouvernementales, les infrastructures critiques, les services financiers et la propriété intellectuelle à forte valeur attirent des adversaires plus capables.
2. Vérifiez vos obligations. Les entités du Commonwealth australien non commerciales sont censées atteindre le niveau de maturité 2. Clients, régulateurs et assureurs peuvent fixer leurs propres attentes.
3. Soyez réaliste sur vos capacités. Le niveau 3 exige un effort d'ingénierie et une rigueur opérationnelle qu'une petite équipe informatique peut ne pas être en mesure de maintenir.
4. Choisissez une cible unique pour les huit stratégies. L'ASD recommande d'atteindre le même niveau pour chaque stratégie avant d'en relever une seule. Un programme de correction de niveau 3 avec un contrôle des applications au niveau 0 laisse toujours la porte ouverte.

Parcours types

• La plupart des organisations : niveau 1 sur les huit stratégies, puis niveau 2.
• Les organisations traitant des données gouvernementales ou critiques sensibles : niveau 2 comme base, avec certaines exigences du niveau 3 sur les systèmes les plus à risque.
• Environnements à forte menace : niveau 3, généralement atteint système par système.

Consigner la décision

Si vous exploitez un SMSI ISO 27001, consignez le niveau retenu et son raisonnement dans votre appréciation des risques et dans votre Déclaration d'applicabilité. Cela fournit aux auditeurs et aux évaluateurs la justification, et fait de l'Essential Eight la norme de mise en œuvre des contrôles correspondants de l'Annexe A, comme l'explique notre analyse Essential Eight vs ISO 27001.

Erreurs courantes lors de la définition d'une cible

• Viser le niveau 3 sur une seule stratégie alors que les autres restent au niveau 0. Les attaquants exploitent la stratégie la plus faible, et non la plus forte.
• Compter la couverture plutôt que l'efficacité. Un contrôle des applications déployé sur la moitié des postes de travail ne correspond pas au niveau 1 ; chaque exigence doit être satisfaite sur l'ensemble des systèmes concernés.
• Ignorer les exceptions. Chaque exception (un système hérité non corrigé, un utilisateur exempté du blocage des macros) doit avoir un responsable, des mesures compensatoires et une date de fin, faute de quoi le niveau de maturité n'est que fiction.
• Évaluer par entretien. Le guide d'évaluation de l'ASD classe les preuves : tester directement un contrôle est le plus fiable, la documentation et les entretiens le sont le moins. Les auto-évaluations fondées sur ce que disent les personnes surestiment la maturité.
• Définir une cible une fois pour toutes. Les menaces évoluent, tout comme le modèle de maturité, que l'ASD met à jour périodiquement. Revoyez la cible chaque année avec votre appréciation des risques.

Points clés

• Chaque niveau de maturité vise un adversaire différent ; choisissez selon la menace et les obligations.
• Atteignez le même niveau sur les huit stratégies avant d'en relever une seule.
• Le niveau 2 est généralement la première cible.

Mesurer les progrès

Évaluez chaque stratégie selon l'Essential Eight Assessment Process Guide de l'ASD, en recourant aux tests sur les systèmes lorsque c'est possible ; une stratégie n'atteint un niveau que si chaque exigence de ce niveau et des niveaux inférieurs est satisfaite. Suivez le niveau le plus bas atteint parmi les huit comme indicateur principal.

La page de chaque stratégie répertorie ses contrôles ISM par niveau de maturité, par exemple Application des correctifs et Authentification multifacteur. Le guide Essential Eight détaille davantage l'évaluation.

Questions

Quel niveau de maturité Essential Eight devons-nous viser ?

Choisissez selon la menace : niveau 1 pour les attaquants opportunistes utilisant des outils courants, niveau 2 pour les adversaires prêts à investir davantage d'efforts, niveau 3 pour les adversaires adaptatifs. Le niveau 2 est la première cible habituelle et l'attente pour les entités du Commonwealth australien non commerciales.

Différentes stratégies peuvent-elles se trouver à des niveaux de maturité différents ?

Elles peuvent être évaluées séparément, mais l'ASD recommande d'atteindre le même niveau sur les huit avant de relever l'une d'entre elles.

Combien de temps faut-il pour atteindre le niveau de maturité 2 ?

Cela dépend du point de départ et de la taille de l'environnement. Les organisations déjà au niveau 1 sur les huit stratégies atteignent souvent le niveau 2 en quelques mois ; celles qui partent de zéro doivent prévoir plus de temps, stratégie par stratégie.