Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलना
दोनों छोटे, तकनीकी और सरकार-समर्थित हैं। एक पाँच नियंत्रणों को प्रमाणित करता है; दूसरा आठ रणनीतियों को परिपक्वता के आधार पर ग्रेड करता है। एक को पूरा करने से आप दूसरे की दिशा में काफ़ी आगे बढ़ जाते हैं।
UK और ऑस्ट्रेलिया, दोनों ने तकनीकी नियंत्रणों की एक छोटी सूची प्रकाशित की है जो ज़्यादातर आम हमलों को रोकती है। UK की सूची Cyber Essentials है, जिसे National Cyber Security Centre चलाता है और IASME लागू करता है; ऑस्ट्रेलिया की सूची Essential Eight है, जो Australian Signals Directorate की ओर से है। इन्हें अक्सर एक ही साँस में बताया जाता है, और दोनों देशों में काम करने वाले संगठन स्वाभाविक सवाल पूछते हैं: अगर हमारे पास एक है, तो वह हमें दूसरे की दिशा में कितना आगे ले जाता है?
ये कैसे बने हैं
Cyber Essentials पाँच तकनीकी नियंत्रणों को प्रमाणित करता है: फ़ायरवॉल, सुरक्षित कॉन्फ़िगरेशन, सुरक्षा अपडेट प्रबंधन, उपयोगकर्ता एक्सेस नियंत्रण और मैलवेयर सुरक्षा। मौजूदा आवश्यकताएँ, संस्करण 3.3, 27 April 2026 से लागू होती हैं। प्रमाणन के दो स्तर हैं: सत्यापित स्व-मूल्यांकन, और Cyber Essentials Plus, जिसमें व्यावहारिक तकनीकी परीक्षण भी शामिल है। प्रमाणपत्र एक वर्ष तक मान्य रहते हैं।
Essential Eight आठ शमन रणनीतियों का एक सेट है (एप्लिकेशन पैचिंग, ऑपरेटिंग सिस्टम पैचिंग, मल्टी-फ़ैक्टर प्रमाणीकरण, प्रशासनिक विशेषाधिकारों पर प्रतिबंध, एप्लिकेशन कंट्रोल, Office मैक्रो पर प्रतिबंध, उपयोगकर्ता एप्लिकेशन हार्डनिंग और नियमित बैकअप), जिनमें से हर एक तीन परिपक्वता स्तरों में से किसी एक पर लागू की जाती है। ControlMapping उन 126 ISM नियंत्रण को मैप करता है जिन्हें ASD उन स्तरों के साथ टैग करता है। कोई प्रमाणन नहीं होता: संगठन स्वयं मूल्यांकन करते हैं या स्वतंत्र मूल्यांकन करवाते हैं, और 1 July 2022 से Protective Security Policy Framework ऑस्ट्रेलियाई गैर-कॉर्पोरेट Commonwealth entities से अपेक्षा करता है कि वे सभी आठ रणनीतियाँ कम से कम मैच्योरिटी लेवल टू तक लागू करें।
Essential Eight से Cyber Essentials की ओर
5 Cyber Essentials तकनीकी नियंत्रण में से 4 (80%) Essential Eight में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
| Cyber Essentials | आवश्यकता | मिलान | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | हमारे डेटा में कोई मैपिंग नहीं | — |
| CE 2 | Secure Configuration | संपादकीय | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | संपादकीय | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | संपादकीय | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | संपादकीय | ISM-0843ISM-1488ISM-1490ISM-1544 |
ज़्यादातर Cyber Essentials का एक Essential Eight समकक्ष होता है। अपवाद फ़ायरवॉल है: कोई भी Essential Eight रणनीति बाउंड्री या होस्ट फ़ायरवॉल को संबोधित नहीं करती, इसलिए Essential Eight कार्यक्रम वह नियंत्रण आप पर छोड़ देता है।
Cyber Essentials से Essential Eight की ओर
126 Essential Eight ISM नियंत्रण में से 39 (31%) Cyber Essentials में किसी चीज़ से मैप होते हैं, 72 केवल ढीले तौर पर संबंधित हैं और 15 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
दूसरी दिशा में, Cyber Essentials Essential Eight का केवल एक हिस्सा कवर करता है, जो आश्चर्यजनक नहीं है: इसमें पाँच नियंत्रण हैं, जबकि Essential Eight में कहीं लंबी, स्तरीय आवश्यकताओं की सूची है। सबसे बड़े अंतर ये हैं:
- नियमित बैकअप। Cyber Essentials संस्करण 3.3 डेटा बैकअप के महत्व पर ज़ोर देता है, लेकिन इसे अनिवार्य नहीं करता। बैकअप आठ रणनीतियों में से एक है, जिसमें हर परिपक्वता स्तर पर परीक्षित रीस्टोरेशन शामिल है।
- Office मैक्रो और उपयोगकर्ता एप्लिकेशन हार्डनिंग। Cyber Essentials का सुरक्षित कॉन्फ़िगरेशन नियंत्रण अनावश्यक सॉफ़्टवेयर हटाता है और auto-run बंद करता है; यह मैक्रो या ब्राउज़र और PDF हार्डनिंग को संबोधित नहीं करता।
- परिपक्वता स्तर और समय-सीमाएँ। जहाँ दोनों एक ही चीज़ की माँग करते हैं, वहाँ Essential Eight अपने उच्च स्तरों पर आम तौर पर अधिक विशिष्ट होता है, उदाहरण के लिए इंटरनेट-फ़ेसिंग सेवाओं की कमज़ोरियों को कितनी जल्दी पैच करना है, और विशेषाधिकार प्राप्त एक्सेस की लॉगिंग और सुरक्षा पर।
- घटना रिपोर्टिंग। कुछ Essential Eight नियंत्रण साइबर सुरक्षा घटनाओं की रिपोर्टिंग की माँग करते हैं; Cyber Essentials में घटना से जुड़ी कोई आवश्यकता नहीं है।
हमारे डेटा में जिन आवश्यकताओं का कोई Cyber Essentials लिंक नहीं है:
| Essential Eight | आवश्यकता | मिलान | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | हमारे डेटा में कोई मैपिंग नहीं | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | हमारे डेटा में कोई मैपिंग नहीं | — |
जहाँ वे सहमत हैं, विषय-दर-विषय
| फ़्रेमवर्क | पैच प्रबंधन | लिंक |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | विषय परिभाषा |
| ISO 27001 | A.8.8 | क्रॉसवॉक |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | क्रॉसवॉक |
| SOC 2 | CC7.1 | संपादकीय |
| PCI DSS | 6.3.16.3.3 | क्रॉसवॉक |
| CMMC | SI.L2-3.14.1 | क्रॉसवॉक |
| 800-53 | SI-2 | क्रॉसवॉक |
| HIPAA | — | |
| GDPR | — | हमारे डेटा में कोई मैपिंग नहीं |
| NIS2 | 6.6 | क्रॉसवॉक |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | संपादकीय |
| DORA | Art.9(4)(f) | संपादकीय |
| CPS 234 | — | हमारे डेटा में कोई मैपिंग नहीं |
| Cyber Essentials | CE 3 | संपादकीय |
पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में पैच प्रबंधन →
| फ़्रेमवर्क | मल्टी-फ़ैक्टर ऑथेंटिकेशन | लिंक |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | विषय परिभाषा |
| ISO 27001 | A.8.5 | क्रॉसवॉक |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | संपादकीय |
| SOC 2 | CC6.1 | संपादकीय |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | संपादकीय |
| CMMC | IA.L2-3.5.3 | क्रॉसवॉक |
| 800-53 | IA-2(1)IA-2(2) | क्रॉसवॉक |
| HIPAA | — | |
| GDPR | — | हमारे डेटा में कोई मैपिंग नहीं |
| NIS2 | 11.611.7 | क्रॉसवॉक |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | संपादकीय |
| DORA | Art.9(4)(d) | संपादकीय |
| CPS 234 | — | हमारे डेटा में कोई मैपिंग नहीं |
| Cyber Essentials | CE 4 | संपादकीय |
पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में मल्टी-फ़ैक्टर ऑथेंटिकेशन →
पैचिंग और मल्टी-फ़ैक्टर प्रमाणीकरण सबसे स्पष्ट साझा आधार हैं। Cyber Essentials अपडेट के लिए एक ही नियम तय करता है (महत्वपूर्ण और उच्च-जोखिम वाले फ़िक्स 14 दिनों के भीतर) और जहाँ भी उपलब्ध हो MFA अनिवार्य करता है, और क्लाउड सेवाओं के लिए हमेशा; Essential Eight हर परिपक्वता स्तर पर अलग समय-सीमाएँ और MFA का दायरा तय करता है।
किसे इस्तेमाल करें
अगर आपको किसी अनुबंध के लिए एक की ज़रूरत है, तो अनुबंध ही तय करता है: UK सरकारी खरीदार Cyber Essentials माँगते हैं, और ऑस्ट्रेलियाई सरकारी संस्थाएँ Essential Eight पर काम करती हैं। अगर आप स्वतंत्र रूप से चुन रहे हैं, तो दोनों अच्छी तरह मिलते हैं। Cyber Essentials एक ठोस न्यूनतम स्तर के लिए बाहरी प्रमाणपत्र देता है; Essential Eight आगे बढ़ने का रास्ता देता है, जिसमें बैकअप और एप्लिकेशन हार्डनिंग शामिल हैं जिन्हें Cyber Essentials छोड़ देता है। दोनों के लिए तैयार रहने के लिए, Essential Eight के अनुसार निर्माण करें, फ़ायरवॉल नियम जोड़ें, और अपनी पैच समय-सीमाएँ जाँचें: Cyber Essentials का 14-दिन वाला नियम हर महत्वपूर्ण या उच्च-जोखिम अपडेट पर लागू होता है, जो कुछ सॉफ़्टवेयर के लिए निचले परिपक्वता स्तरों से भी सख्त हो सकता है।
मुख्य बातें
- अधिकांश Cyber Essentials Essential Eight से मैप होता है; फ़ायरवॉल ही अंतर है।
- Cyber Essentials Essential Eight का केवल एक हिस्सा कवर करता है: बैकअप, मैक्रो और एप्लिकेशन हार्डनिंग, और परिपक्वता-स्तर का विवरण अतिरिक्त हैं।
- दोनों में से कोई भी संस्था मैपिंग प्रकाशित नहीं करती, इसलिए इन लिंक्स को शुरुआती बिंदु मानें और विवरण जाँचें।
आगे कहाँ जाएँ
Cyber Essentials और Essential Eight फ़्रेमवर्क पेज देखें, तुलना को ट्रैकर के रूप में एक्सपोर्ट करने के लिए गैप विश्लेषण चलाएँ, या हमारी Essential Eight गाइड पढ़ें।
प्रश्न
क्या Cyber Essentials प्रमाणन Essential Eight की आवश्यकताएँ पूरी करता है?
नहीं। दोनों पैचिंग, मल्टी-फ़ैक्टर प्रमाणीकरण, प्रशासनिक विशेषाधिकारों और एप्लिकेशन कंट्रोल पर ओवरलैप करते हैं, लेकिन Essential Eight नियमित बैकअप, Office मैक्रो और एप्लिकेशन हार्डनिंग भी माँगता है, और परिपक्वता स्तर अपनी समय-सीमाओं के साथ तय करता है। Cyber Essentials फ़ायरवॉल को भी प्रमाणित करता है, जिसे कोई Essential Eight रणनीति कवर नहीं करती।
क्या Essential Eight के लिए कोई प्रमाणन है?
Cyber Essentials जैसी कोई प्रमाणन योजना नहीं है। संगठन स्वयं मूल्यांकन करते हैं, या ASD के परिपक्वता मॉडल के आधार पर स्वतंत्र मूल्यांकन करवाते हैं। Cyber Essentials दो स्तरों वाला प्रमाणन है: Cyber Essentials और Cyber Essentials Plus।
क्या दोनों के बीच कोई आधिकारिक मैपिंग है?
न NCSC और न ASD कोई मैपिंग प्रकाशित करते हैं। ControlMapping पर दिए गए लिंक संपादकीय हैं, और हर लिंक अपना कारण दिखाता है।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।
विश्लेषण · 2026-10-1311 सुरक्षा फ़्रेमवर्क में MFA आवश्यकताओं की तुलनाकौन-से फ़्रेमवर्क MFA की आवश्यकता रखते हैं, किन उपयोगकर्ताओं के लिए और कितनी सख़्ती से: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 और HIPAA की साथ-साथ तुलना।