क्या ऑस्ट्रेलिया के बाहर के संगठनों को Essential Eight अपनाना चाहिए?

ऑस्ट्रेलिया के बाहर, अधिकांश सुरक्षा टीमों ने Essential Eight के बारे में सुना है, पर उनमें से बहुत कम इसका उपयोग करती हैं। यह स्थानीय लगता है: इसे ऑस्ट्रेलियाई सिग्नल्स डायरेक्टोरेट ने प्रकाशित किया है, यह ऑस्ट्रेलियाई सरकारी इकाइयों के लिए अनिवार्य है, और ऑस्ट्रेलियाई नियामक तथा बीमाकर्ता इसका संदर्भ देते हैं। लेकिन आठों रणनीतियाँ पढ़ें तो उनमें कुछ भी ऑस्ट्रेलिया-विशिष्ट नहीं है। एप्लिकेशन और ऑपरेटिंग सिस्टम को पैच करें, मल्टी-फ़ैक्टर ऑथेंटिकेशन का उपयोग करें, प्रशासनिक विशेषाधिकारों को सीमित करें, नियंत्रित करें कि क्या चल सकता है, Office मैक्रो को प्रतिबंधित करें, उपयोगकर्ता एप्लिकेशन को सुदृढ़ करें, और नियमित रूप से बैकअप लें। यह एक सार्वभौमिक सूची है।

यह कहीं भी देखने लायक क्यों है

• इसकी प्राथमिकता तय है। सैकड़ों नियंत्रणों के बजाय आठ रणनीतियाँ। किसी छोटी टीम के लिए, जिसे यह तय करना है कि पहले क्या करना है, यही अपने आप में मूल्यवान है।
• यह विशिष्ट है। जहाँ ISO 27001 कहता है "तकनीकी कमज़ोरियों का प्रबंधन करें", वहीं Essential Eight परिपक्वता स्तर के अनुसार पैचिंग की समय-सीमा तय करता है। विशिष्ट आवश्यकताओं को लागू करना और जाँचना आसान होता है।
• यह वास्तविक हमले के रास्तों को लक्षित करता है। इसकी रणनीतियाँ उन तकनीकों पर केंद्रित हैं जो वास्तविक दुनिया के अधिकांश घुसपैठों के पीछे होती हैं: दुर्भावनापूर्ण दस्तावेज़, इंटरनेट से जुड़े बिना पैच किए सिस्टम, चुराए गए क्रेडेंशियल, दुरुपयोग किए गए एडमिन अधिकार और रैनसमवेयर।
• यह मुफ़्त है और इसका रखरखाव होता है। ASD खुले लाइसेंस के तहत Maturity Model और उसके आधार पर मौजूद ISM नियंत्रणों को नियमित रूप से अपडेट करता है।

यह अकेले पर्याप्त क्यों नहीं है

Essential Eight एक तकनीकी बेसलाइन है, कोई पूर्ण कार्यक्रम नहीं। यह शासन, जोखिम प्रबंधन, आपूर्तिकर्ताओं, घटना प्रतिक्रिया योजना या भौतिक सुरक्षा के बारे में कुछ नहीं कहता। जैसा कि ISO 27001 के साथ तुलना दिखाती है, इसे लागू करने से प्रबंधन-प्रणाली फ़्रेमवर्क का अधिकांश हिस्सा अछूता रह जाता है:

123 ISO 27001 Annex A नियंत्रण और ISMS खंड में से 23 (19%) Essential Eight में किसी चीज़ से मैप होते हैं, 39 केवल ढीले तौर पर संबंधित हैं और 61 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

अन्य फ़्रेमवर्क के साथ यह कैसे मेल खाता है

• ISO 27001 के साथ: Essential Eight को मेल खाने वाले Annex A नियंत्रणों के लिए कार्यान्वयन मानक के रूप में उपयोग करें, जिन्हें जोखिम उपचार के माध्यम से चुना गया हो।
• NIST CSF 2.0 के साथ: अपनी Target Profile में संबंधित Protect परिणामों के लिए "प्राप्त" का अर्थ तय करने में इसका उपयोग करें।
• CIS Controls के साथ: दोनों तकनीकी बेसलाइन हैं; CIS अधिक व्यापक है, जबकि Essential Eight अपने आठ विषयों पर अधिक निर्देशात्मक है। कई टीमें व्यापकता के लिए CIS IG1 और पैचिंग, मैक्रो तथा एप्लिकेशन कंट्रोल में गहराई के लिए Essential Eight का उपयोग करती हैं।

व्यवहार में इसे अपनाने का तरीका

ऑस्ट्रेलिया के बाहर के किसी संगठन के लिए एक समझदारी भरा तरीका यह है कि Essential Eight को प्रमाणन लक्ष्य के बजाय स्व-मूल्यांकित बेंचमार्क मानें:

1. सभी आठ रणनीतियों के लिए स्वयं का मूल्यांकन Maturity Level One पर करें। यह एक छोटी और ठोस सूची है, और खामियाँ जल्दी दिख जाती हैं।
2. अपने खतरे के प्रोफ़ाइल के लिए सबसे अहम खामियाँ ठीक करें, आमतौर पर इंटरनेट से जुड़े सिस्टम की पैचिंग, MFA, और मैक्रो व एप्लिकेशन कंट्रोल।
3. इसे अपने मौजूदा फ़्रेमवर्क में दर्ज करें: ISO 27001 Statement of Applicability, NIST CSF Target Profile या CIS Controls कार्यान्वयन योजना में।
4. जहाँ खतरा इसे उचित ठहराए, वहाँ Level Two पर जाएँ।

इसके लिए ASD की भागीदारी या किसी ऑस्ट्रेलियाई मूल्यांकनकर्ता की आवश्यकता नहीं है। एप्लिकेशन पैच करें जैसे रणनीति पृष्ठ हर स्तर की आवश्यकताएँ सूचीबद्ध करते हैं।

मुख्य बातें

• Essential Eight की रणनीतियाँ सार्वभौमिक हैं, भले ही इसका जनादेश ऑस्ट्रेलियाई हो।
• यह एक तकनीकी बेसलाइन है, कोई कार्यक्रम नहीं; इसे किसी शासन फ़्रेमवर्क के साथ जोड़ें।
• Maturity Level One पर स्व-मूल्यांकन करना कहीं भी एक तेज़ और उपयोगी अभ्यास है।

मेरा दृष्टिकोण

यदि आप ऑस्ट्रेलिया के बाहर हैं और कोई इसकी माँग नहीं करता, तो आपको Essential Eight के आधार पर मूल्यांकन कराने की आवश्यकता नहीं है। लेकिन आपको इसे पढ़ना चाहिए। कुछ ही दस्तावेज़ यह स्पष्ट करते हैं कि वास्तव में कौन-सी चीज़ आम हमलों को रोकती है, या आपके "कमज़ोरियों का प्रबंधन" नियंत्रण के हमलावर के सामने टिकने की कितनी अच्छी परख हो सकती है।

Essential Eight गाइड परिपक्वता मॉडल समझाती है, और एप्लिकेशन कंट्रोल जैसे हर रणनीति पृष्ठ अपने नियंत्रण स्तर के अनुसार सूचीबद्ध करते हैं।

प्रश्न

क्या Essential Eight केवल ऑस्ट्रेलियाई संगठनों के लिए है?

इसे ASD ने ऑस्ट्रेलिया के लिए लिखा है और यह केवल ऑस्ट्रेलियाई सरकार की गैर-कॉर्पोरेट कॉमनवेल्थ इकाइयों के लिए अनिवार्य है, लेकिन इसका मार्गदर्शन निःशुल्क उपलब्ध है और यह किसी भी संगठन पर लागू होता है।

Essential Eight की तुलना CIS Controls से कैसे होती है?

दोनों प्राथमिकता-आधारित तकनीकी बेसलाइन हैं। CIS Controls अधिक व्यापक हैं (18 नियंत्रण, 153 सेफ़गार्ड); Essential Eight संकीर्ण है पर अधिक निर्देशात्मक है, जिसमें हर परिपक्वता स्तर पर विशिष्ट सेटिंग्स और समय-सीमाएँ हैं।

क्या Essential Eight की आवश्यकताएँ बदलती हैं?

हाँ। ASD समय-समय पर Maturity Model और उसके आधार पर मौजूद ISM नियंत्रणों को अपडेट करता है, इसलिए मूल्यांकन से पहले वर्तमान संस्करण की जाँच करें।