L'Essential Eight : guide pratique

Par Paul Gillet · Mis à jour le 2026-10-17

L'Essential Eight est le socle de référence de l'Australian Signals Directorate (ASD) comprenant huit stratégies d'atténuation contre les cyberattaques les plus courantes. L'ASD le publie avec un modèle de maturité qui précise ce qu'exige chaque stratégie aux niveaux de maturité Un, Deux et Trois, et les exigences elles-mêmes sont des contrôles de l'Information Security Manual (ISM) de l'ASD.

Les huit stratégies

• Corriger les applications : repérer et corriger les vulnérabilités des applications, et supprimer celles qui ne sont plus prises en charge.
• Corriger les systèmes d'exploitation : même démarche pour les systèmes d'exploitation, pilotes et micrologiciels.
• Authentification multifacteur : pour les services en ligne, l'accès à distance, les utilisateurs privilégiés et, aux niveaux supérieurs, les référentiels de données, avec des méthodes plus robustes (résistantes au hameçonnage) à mesure que les niveaux augmentent.
• Restreindre les privilèges d'administration : accorder, revoir et journaliser les accès privilégiés, et séparer les environnements privilégiés.
• Contrôle des applications : seuls les programmes, scripts, programmes d'installation et bibliothèques approuvés peuvent s'exécuter.
• Restreindre les macros Microsoft Office : bloquer les macros provenant d'Internet et n'autoriser que celles de confiance.
• Durcissement des applications utilisateur : durcir les navigateurs, Office et les logiciels PDF, et restreindre PowerShell.
• Sauvegardes régulières : sauvegarder les données, logiciels et paramètres importants, tester la restauration et protéger les sauvegardes contre les modifications et les suppressions.

Niveaux de maturité

Chaque niveau vise un adversaire plus capable. Le niveau Un arrête les attaquants opportunistes utilisant des outils courants. Le niveau Deux arrête les adversaires prêts à investir davantage de temps et d'efforts. Le niveau Trois arrête les adversaires adaptatifs, moins dépendants des outils publics. L'ASD recommande d'atteindre le même niveau sur les huit stratégies avant de relever l'une d'entre elles, et de choisir un niveau cible en fonction de votre environnement de menaces.

Qui doit le mettre en œuvre

Les entités du Commonwealth non commerciales du gouvernement australien doivent mettre en œuvre l'Essential Eight dans le cadre du Protective Security Policy Framework, avec le niveau de maturité Deux comme objectif. De nombreux gouvernements d'États, entreprises réglementées et assureurs cyber en Australie l'exigent également. Pour les autres, c'est un socle technique éprouvé et priorisé.

Fonctionnement de l'évaluation

Il n'existe pas de certificat Essential Eight. Les évaluations suivent le Essential Eight Assessment Process Guide de l'ASD et peuvent être réalisées en interne ou par un évaluateur tiers. Chaque stratégie est évaluée séparément, et une stratégie n'atteint un niveau que si toutes les exigences de ce niveau, et de tous les niveaux inférieurs, sont satisfaites. La qualité des preuves compte : tester directement un contrôle est la preuve la plus solide, examiner une configuration est un bon indice, la documentation est plus faible, et un entretien seul est le plus faible.

Les étapes

1. Choisir un niveau de maturité cible pour l'organisation, généralement le niveau Deux pour commencer.
2. Évaluer votre niveau actuel pour chaque stratégie, en utilisant des tests au niveau système lorsque c'est possible.
3. Prioriser les écarts, en amenant d'abord toutes les stratégies au même niveau.
4. Mettre en œuvre les contrôles et en documenter les preuves, en consignant toute exception avec des mesures compensatoires et un responsable.
5. Réévaluer régulièrement : les contrôles de correctifs et de privilèges se dégradent rapidement.

L'Essential Eight et les autres référentiels

L'ISO 27001 et le NIST CSF décrivent des résultats ; l'Essential Eight prescrit des paramètres techniques précis et des délais. La plupart des contrôles de l'Essential Eight ne sont donc que faiblement liés aux exigences ISO ou NIST : ces référentiels demandent de gérer les vulnérabilités ou de contrôler les accès, mais ne vous demandent pas de bloquer les macros venant d'Internet ni de corriger dans un délai défini. L'ASD ne publie aucune correspondance ; chaque lien Essential Eight sur ce site relève donc du jugement éditorial de ControlMapping, accompagné de sa justification.

Comment ce site vous aide

ControlMapping répertorie les contrôles ISM que l'ASD associe à l'Essential Eight, regroupés par stratégie avec leurs niveaux de maturité, à partir d'une version figée de l'ISM (CC BY 4.0). Le tableau ci-dessous montre la part de l'Essential Eight déjà couverte par vos référentiels existants ; attendez-vous à ce qu'elle soit modeste, ce qui est le propre de l'Essential Eight.

Vous avez déjà un autre référentiel ?

Nombre d'exigences Essential Eight auxquelles chaque référentiel que vous suivez peut-être déjà correspond. Ouvrez un rapport d'écarts pour la liste exigence par exigence.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Les décomptes proviennent des mêmes données que le analyse des écarts ; une correspondance signifie que les exigences sont liées, et non qu'une exigence en satisfait une autre.

Questions

L'Essential Eight est-il obligatoire ?

Pour les entités du Commonwealth non commerciales du gouvernement australien, oui, dans le cadre du Protective Security Policy Framework. Pour les autres organisations, il est facultatif, même si les clients, régulateurs et assureurs peuvent l'exiger.

Quel niveau de maturité viser ?

L'ASD suggère de choisir un niveau en fonction de votre environnement de menaces et de l'atteindre sur les huit stratégies avant d'aller plus loin. Le niveau Deux est généralement la première cible.

Existe-t-il une certification Essential Eight ?

Non. Les organisations sont évaluées selon le Essential Eight Assessment Process Guide de l'ASD, en interne ou par des évaluateurs tiers, mais aucun certificat n'est délivré.

Ceci ne constitue pas un conseil juridique ou en conformité. Consultez le texte officiel ainsi que votre auditeur, évaluateur ou régulateur avant de vous y fier.