Essential Eight et ISO 27001 : pourquoi la plupart des liens ne sont que « faiblement liés »
Mettez en correspondance l'Essential Eight de l'ASD avec ISO 27001 et un schéma apparaît : chaque contrôle touche à quelque chose de l'Annexe A, mais peu y correspondent étroitement. Cela en dit davantage sur les deux référentiels que sur la correspondance elle-même.
Les organisations australiennes doivent de plus en plus faire face aux deux : ISO 27001 pour les clients et les appels d'offres, et l'Essential Eight de l'ASD pour les travaux publics, les régulateurs et les assureurs. Mettre l'un en correspondance avec l'autre produit un résultat inhabituel, et en comprendre la raison évite de placer une confiance mal fondée.
Les deux sens
| Direction | Mis en correspondance | Aucune correspondance | ||
|---|---|---|---|---|
| Avoir ISO 27001 → viser Essential Eight | 57 sur 126 (45%) | 69 | 0 | rapport → |
| Avoir Essential Eight → viser ISO 27001 | 23 sur 123 (19%) | 39 | 61 | rapport → |
De l'ISO 27001 vers l'Essential Eight, chaque contrôle de l'Essential Eight correspond à quelque chose dans ISO ou lui est faiblement lié ; aucun n'est sans correspondance. Pourtant, seule environ la moitié correspond étroitement. De l'Essential Eight vers ISO 27001, la situation s'inverse : la majeure partie d'ISO reste non couverte, car huit stratégies d'atténuation n'ont jamais eu vocation à constituer un programme complet.
Par stratégie
| Section Essential Eight | Mis en correspondance | Aucune correspondance | |
|---|---|---|---|
| Patch applications | 6 sur 12 | 6 | 0 |
| Patch applications & Patch operating systems | 2 sur 2 | 0 | 0 |
| Patch operating systems | 5 sur 15 | 10 | 0 |
| Multi-factor authentication | 7 sur 16 | 9 | 0 |
| Restrict administrative privileges | 9 sur 20 | 11 | 0 |
| Application control | 6 sur 11 | 5 | 0 |
| Restrict Microsoft Office macros | 1 sur 11 | 10 | 0 |
| User application hardening | 7 sur 20 | 13 | 0 |
| Regular backups | 6 sur 11 | 5 | 0 |
| Logging and incident response (all strategies) | 8 sur 8 | 0 | 0 |
Avoir ISO 27001, viser Essential Eight. Exigence par exigence : ouvrir le rapport d'écarts →
Pourquoi « faiblement liés » domine
L'Essential Eight et ISO 27001 se situent aux deux extrémités d'un spectre.
ISO 27001 précise ce qu'il faut gérer. A.8.8 demande de gérer les vulnérabilités techniques ; A.8.2 de restreindre les accès privilégiés ; A.8.7 de se protéger contre les logiciels malveillants ; A.8.13 de sauvegarder les informations. Le comment, et le niveau de qualité, découlent de votre appréciation des risques.
L'Essential Eight dit exactement quoi faire, et quand. Appliquer les correctifs des services exposés sur Internet dans des délais fixés, qui se resserrent à chaque niveau de maturité. Bloquer les macros Office provenant d'Internet. N'autoriser l'exécution que des programmes, scripts et bibliothèques approuvés. Utiliser une MFA résistante au hameçonnage aux niveaux supérieurs. Tester la restauration des sauvegardes. Chaque exigence est un contrôle ISM assorti d'un niveau de maturité.
Ainsi, un contrôle ISO et un contrôle de l'Essential Eight visent généralement le même résultat sans que l'un satisfasse l'autre. Dans nos données, cela apparaît comme faiblement lié : ils partagent un résultat du NIST CSF 2.0, mais personne n'a publié de correspondance, et l'écart entre « gérer les vulnérabilités » et « appliquer les correctifs dans le délai fixé » représente un travail réel.
Ce que cela signifie en pratique
- Un certificat ISO ne dit rien de la maturité Essential Eight. Une organisation peut être certifiée tout en étant au niveau de maturité zéro pour le contrôle des applications.
- L'Essential Eight donne de la force à votre SMSI. Utiliser ses exigences comme norme de mise en œuvre pour les contrôles de l'Annexe A correspondants (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) transforme les contrôles fondés sur les risques d'ISO en paramètres précis et vérifiables.
- Le SMSI offre un cadre à l'Essential Eight. L'appréciation des risques choisit le niveau de maturité cible ; l'audit interne le vérifie ; la revue de direction suit les progrès.
Points clés
- La plupart des contrôles de l'Essential Eight ne sont que faiblement liés à ISO 27001.
- Utilisez l'Essential Eight comme norme de mise en œuvre au sein d'un SMSI.
Une démarche pratique
- Choisissez un niveau de maturité cible de l'Essential Eight via votre appréciation des risques ISO, et consignez-le dans la Déclaration d'applicabilité.
- Intégrez les exigences de l'Essential Eight pour ce niveau dans les descriptions de vos contrôles de l'Annexe A.
- Évaluez selon le processus de l'ASD, et traitez les échecs comme des non-conformités ISO assorties d'actions correctives.
- Consultez les pages des stratégies Essential Eight pour voir chaque contrôle par niveau de maturité, et le rapport d'écarts ISO 27001 → Essential Eight pour la liste complète.
L'ASD ne publie aucune correspondance entre l'Essential Eight et ISO 27001 ; chaque lien présenté ici relève donc de l'appréciation éditoriale de ControlMapping. Notre guide Essential Eight explique le modèle de maturité et l'évaluation.
Questions
Une certification ISO 27001 signifie-t-elle que nous satisfaisons à l'Essential Eight ?
Non. ISO 27001 exige les mêmes domaines (correctifs, accès, logiciels malveillants, sauvegardes), mais pas les paramètres précis, les délais et les niveaux de maturité de l'Essential Eight. Évaluez-vous selon le Guide de processus d'évaluation de l'Essential Eight de l'ASD.
Les organisations australiennes doivent-elles opter pour ISO 27001 ou pour l'Essential Eight ?
Souvent les deux : l'Essential Eight comme socle technique priorisé, au sein d'un SMSI ISO 27001 qui apporte la gouvernance, la gestion des risques et la certification.
Données au 2026-10-27 : les chiffres de cet article sont calculés à partir de la correspondance actuelle et sont mis à jour lorsqu'elle évolue. Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Pas un conseil en conformité.
Articles connexes
Analyse · 2026-10-27APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajouteUn SMSI ISO 27001 couvre presque chaque paragraphe de la norme CPS 234 de l'APRA, mais l'APRA ajoute des obligations pour le conseil d'administration, l'assurance des tiers et des délais de notification stricts.
Analyse · 2026-10-27Cyber Essentials face à l'Essential Eight : deux référentiels nationaux comparésLe Cyber Essentials britannique et l'Essential Eight australien visent tous deux les attaques courantes, mais ils ne couvrent pas les mêmes domaines. Ce qui se recoupe, ce qui ne se recoupe pas, et pourquoi.
Analyse · 2026-10-27DORA vs NIS2 : ce qu'un programme NIS2 couvre déjàDORA et NIS2 partagent l'essentiel de la sécurité, mais DORA ajoute registre, clauses et tests basés sur la menace. Article par article, ce qui se reporte.