Essential Eight बनाम ISO 27001: तुलना कैसे होती है

ASD के Essential Eight को ISO 27001 से मैप करें तो एक पैटर्न उभरता है: हर नियंत्रण Annex A की किसी चीज़ को छूता है, पर बहुत कम उससे सटीक मेल खाते हैं। यह मैपिंग से ज़्यादा दोनों फ़्रेमवर्क के बारे में बताता है।

Paul Gillet के अनुसार · 2024-10-22 · 3 मिनट पढ़ने का समय

ऑस्ट्रेलियाई संगठनों को बढ़ते स्तर पर दोनों का सामना करना पड़ रहा है: ग्राहकों और निविदाओं के लिए ISO 27001, और सरकारी कार्य, नियामकों और बीमाकर्ताओं के लिए ASD का Essential Eight। एक को दूसरे से मैप करने पर एक असामान्य परिणाम आता है, और इसे समझने से गलत जगह पर बने बहुत सारे भरोसे से बचा जा सकता है।

दो दिशाएँ

दिशा	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
ISO 27001 है → Essential Eight चाहिए	126 में से 57 (45%)	69	0	रिपोर्ट →
Essential Eight है → ISO 27001 चाहिए	123 में से 23 (19%)	39	61	रिपोर्ट →

ISO 27001 से Essential Eight की ओर देखें तो हर Essential Eight नियंत्रण ISO की किसी चीज़ से मैप होता है या ढीले तौर पर संबंधित होता है; कोई भी Essential Eight नियंत्रण बिना किसी मिलान के नहीं है। फिर भी लगभग आधे ही करीब से मैप होते हैं। Essential Eight से ISO 27001 की ओर तस्वीर पलट जाती है: ISO का अधिकांश भाग अछूता रहता है, क्योंकि आठ शमन रणनीतियाँ कभी पूरे कार्यक्रम के रूप में बनाई ही नहीं गई थीं।

रणनीति के अनुसार

Essential Eight अनुभाग	मैप किया गया	ढीले तौर पर संबंधित
Patch applications	12 में से 6	6
Patch applications & Patch operating systems	2 में से 2	0
Patch operating systems	15 में से 5	10
Multi-factor authentication	16 में से 7	9
Restrict administrative privileges	20 में से 9	11
Application control	11 में से 6	5
Restrict Microsoft Office macros	11 में से 1	10
User application hardening	20 में से 7	13
Regular backups	11 में से 6	5
Logging and incident response (all strategies)	8 में से 8	0

ISO 27001 है, Essential Eight चाहिए। आवश्यकता-दर-आवश्यकता: गैप रिपोर्ट खोलें →

“ढीले तौर पर संबंधित” क्यों हावी है

Essential Eight और ISO 27001 एक स्पेक्ट्रम के दो विपरीत छोरों पर स्थित हैं।

ISO 27001 बताता है कि क्या प्रबंधित करना है। A.8.8 तकनीकी कमज़ोरियों के प्रबंधन की माँग करता है; A.8.2 विशेषाधिकार प्राप्त पहुँच को सीमित करने की; A.8.7 मैलवेयर से सुरक्षा की; A.8.13 सूचना के बैकअप की। यह कैसे और कितनी अच्छी तरह किया जाए, यह आपके जोखिम मूल्यांकन से तय होता है।

Essential Eight बताता है कि ठीक-ठीक क्या करना है और कब। इंटरनेट-फेसिंग सेवाओं को हर परिपक्वता स्तर पर कसे जाने वाली तय समय-सीमाओं के भीतर पैच करें। इंटरनेट से आने वाले Office मैक्रो ब्लॉक करें। केवल स्वीकृत प्रोग्राम, स्क्रिप्ट और लाइब्रेरी को चलने दें। उच्च स्तरों पर फ़िशिंग-प्रतिरोधी MFA का उपयोग करें। बैकअप की पुनर्स्थापना का परीक्षण करें। हर आवश्यकता एक परिपक्वता स्तर वाला ISM नियंत्रण है।

इसलिए एक ISO नियंत्रण और एक Essential Eight नियंत्रण अक्सर एक ही परिणाम को संबोधित करते हैं, पर एक दूसरे को संतुष्ट नहीं करता। हमारे डेटा में यह ढीले तौर पर संबंधित के रूप में दिखता है: वे एक NIST CSF 2.0 परिणाम साझा करते हैं, पर किसी ने क्रॉसवॉक प्रकाशित नहीं किया है, और “कमज़ोरियों का प्रबंधन” तथा “तय समय-सीमा के भीतर पैच” के बीच का अंतर वास्तविक काम है।

एक पुराने नेटवर्क उपकरण पैनल पर टॉगल स्विचों की पंक्ति को समायोजित करता हाथ का फ़ोटो, कोई लेबल पढ़ा नहीं जा सकता — Essential Eight ठोस सेटिंग्स के बारे में है, और ठीक यही वह चीज़ है जिसे ISO 27001 आप पर छोड़ देता है।

व्यवहार में इसका क्या अर्थ है

ISO प्रमाणपत्र आपको Essential Eight की परिपक्वता के बारे में कुछ नहीं बताता। कोई संगठन प्रमाणित हो सकता है और फिर भी एप्लिकेशन कंट्रोल पर परिपक्वता स्तर शून्य पर हो सकता है।
Essential Eight आपके ISMS को दाँत देता है। मिलते-जुलते Annex A नियंत्रणों (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) के लिए इसकी आवश्यकताओं को कार्यान्वयन मानक के रूप में उपयोग करने से ISO के जोखिम-आधारित नियंत्रण ठोस, परखे जा सकने वाले सेटिंग्स में बदल जाते हैं।
ISMS को Essential Eight का घर मिलता है। जोखिम मूल्यांकन लक्ष्य परिपक्वता स्तर चुनता है; आंतरिक ऑडिट उसकी जाँच करता है; प्रबंधन समीक्षा प्रगति पर नज़र रखती है।

मुख्य बातें

अधिकांश Essential Eight नियंत्रण ISO 27001 से केवल ढीले तौर पर संबंधित हैं।
ISMS के भीतर Essential Eight को कार्यान्वयन मानक के रूप में उपयोग करें।

एक व्यावहारिक तरीका

अपने ISO जोखिम मूल्यांकन के माध्यम से एक Essential Eight लक्ष्य परिपक्वता स्तर चुनें, और उसे Statement of Applicability में दर्ज करें।
उस स्तर की Essential Eight आवश्यकताओं को अपने Annex A नियंत्रण विवरणों में लिखें।
ASD की प्रक्रिया से मूल्यांकन करें, और विफलताओं को सुधारात्मक कार्रवाइयों के साथ ISO गैर-अनुरूपताओं के रूप में लें।
हर नियंत्रण को परिपक्वता स्तर के अनुसार देखने के लिए Essential Eight रणनीति पृष्ठों का उपयोग करें, और पूरी सूची के लिए ISO 27001 → Essential Eight गैप रिपोर्ट देखें।

ASD Essential Eight से ISO 27001 तक का कोई क्रॉसवॉक प्रकाशित नहीं करता, इसलिए यहाँ का हर लिंक ControlMapping का संपादकीय निर्णय है। हमारी Essential Eight गाइड परिपक्वता मॉडल और मूल्यांकन की व्याख्या करती है।

प्रश्न

क्या ISO 27001 प्रमाणन का अर्थ है कि हम Essential Eight की आवश्यकताएँ पूरी करते हैं?

नहीं। ISO 27001 वही क्षेत्र (पैचिंग, पहुँच, मैलवेयर, बैकअप) माँगता है, पर Essential Eight की विशिष्ट सेटिंग्स, समय-सीमाएँ और परिपक्वता स्तर नहीं। ASD की Essential Eight Assessment Process Guide के विरुद्ध मूल्यांकन करें।

क्या ऑस्ट्रेलियाई संगठनों को ISO 27001 करना चाहिए या Essential Eight?

अक्सर दोनों: Essential Eight को प्राथमिकता वाले तकनीकी आधार के रूप में, ISO 27001 ISMS के भीतर, जो गवर्नेंस, जोखिम प्रबंधन और प्रमाणन प्रदान करता है।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।

Essential Eight बनाम ISO 27001: ज़्यादातर लिंक केवल “ढीले तौर पर संबंधित” क्यों हैं