Essential Eight: एक व्यावहारिक गाइड

Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17

Essential Eight ऑस्ट्रेलियाई सिग्नल्स डायरेक्टोरेट (ASD) की आठ शमन रणनीतियों की आधारभूत सूची है, जो सबसे आम साइबर हमलों के विरुद्ध है। ASD इसे एक परिपक्वता मॉडल के साथ प्रकाशित करता है, जो बताता है कि परिपक्वता स्तर एक, दो और तीन पर हर रणनीति से क्या अपेक्षित है, और ये आवश्यकताएँ स्वयं ASD के Information Security Manual (ISM) में दिए गए नियंत्रण हैं।

आठ रणनीतियाँ

• एप्लिकेशन पैच करें: एप्लिकेशन में कमजोरियाँ खोजें और उन्हें पैच करें, और समर्थन-रहित एप्लिकेशन हटाएँ।
• ऑपरेटिंग सिस्टम पैच करें: यही बात ऑपरेटिंग सिस्टम, ड्राइवर और फ़र्मवेयर पर लागू होती है।
• मल्टी-फ़ैक्टर प्रमाणीकरण: ऑनलाइन सेवाओं, रिमोट एक्सेस, विशेषाधिकार प्राप्त उपयोगकर्ताओं और उच्च स्तरों पर डेटा रिपॉज़िटरी के लिए, और स्तर बढ़ने के साथ अधिक सुदृढ़ (फ़िशिंग-प्रतिरोधी) तरीके।
• प्रशासनिक विशेषाधिकार सीमित करें: विशेषाधिकार प्राप्त पहुँच प्रदान करें, उसकी समीक्षा करें और उसे लॉग करें, तथा विशेषाधिकार वाले वातावरण को अलग रखें।
• एप्लिकेशन नियंत्रण: केवल अनुमोदित प्रोग्राम, स्क्रिप्ट, इंस्टॉलर और लाइब्रेरी ही चल सकें।
• Microsoft Office मैक्रो सीमित करें: इंटरनेट से आने वाले मैक्रो ब्लॉक करें और केवल भरोसेमंद मैक्रो की अनुमति दें।
• उपयोगकर्ता एप्लिकेशन हार्डनिंग: ब्राउज़र, Office और PDF सॉफ़्टवेयर को हार्डन करें, और PowerShell को सीमित करें।
• नियमित बैकअप: महत्वपूर्ण डेटा, सॉफ़्टवेयर और सेटिंग्स का बैकअप लें, पुनर्स्थापना का परीक्षण करें, और बैकअप को बदलाव और मिटाने से सुरक्षित रखें।

परिपक्वता स्तर

हर स्तर एक अधिक सक्षम प्रतिद्वंद्वी को लक्ष्य बनाता है। स्तर एक सामान्य उपकरणों का उपयोग करने वाले अवसरवादी हमलावरों को रोकता है। स्तर दो उन प्रतिद्वंद्वियों को रोकता है जो अधिक समय और प्रयास लगाने को तैयार हैं। स्तर तीन उन अनुकूली प्रतिद्वंद्वियों को रोकता है जो सार्वजनिक उपकरणों पर कम निर्भर हैं। ASD सुझाव देता है कि किसी एक रणनीति को ऊँचे स्तर पर ले जाने से पहले सभी आठों रणनीतियों में एक ही स्तर तक पहुँचा जाए, और लक्ष्य स्तर अपने खतरे के परिवेश के आधार पर चुना जाए।

इसे कौन लागू करे

ऑस्ट्रेलियाई सरकार की गैर-कॉर्पोरेट कॉमनवेल्थ संस्थाओं को Protective Security Policy Framework के तहत Essential Eight लागू करना होगा, जिसका लक्ष्य परिपक्वता स्तर दो है। ऑस्ट्रेलिया में कई राज्य सरकारें, विनियमित व्यवसाय और साइबर बीमा कंपनियाँ भी इसकी माँग करती हैं। बाकी सभी के लिए यह एक सुपरीक्षित और प्राथमिकता-आधारित तकनीकी आधारभूत ढाँचा है।

मूल्यांकन कैसे होता है

Essential Eight का कोई प्रमाणपत्र नहीं होता। मूल्यांकन ASD की Essential Eight Assessment Process Guide का पालन करते हैं और इन्हें आंतरिक रूप से या किसी तृतीय-पक्ष मूल्यांकनकर्ता द्वारा किया जा सकता है। हर रणनीति का अलग से मूल्यांकन होता है, और कोई रणनीति तभी किसी स्तर तक पहुँचती है जब उस स्तर की और उससे नीचे के हर स्तर की सभी आवश्यकताएँ पूरी हों। साक्ष्य की गुणवत्ता मायने रखती है: किसी नियंत्रण का सीधे परीक्षण सबसे मजबूत साक्ष्य है, कॉन्फ़िगरेशन की समीक्षा अच्छी है, दस्तावेज़ीकरण कमजोर है, और केवल साक्षात्कार सबसे कमजोर है।

चरण

1. संगठन के लिए लक्ष्य परिपक्वता स्तर चुनें, आमतौर पर शुरुआत में स्तर दो।
2. हर रणनीति के लिए अपना वर्तमान स्तर आँकें, जहाँ संभव हो वहाँ सिस्टम-स्तर परीक्षण का उपयोग करते हुए।
3. गैप को प्राथमिकता दें, और पहले हर रणनीति को एक ही स्तर तक लाएँ।
4. नियंत्रणों को लागू करें और उनके साक्ष्य रखें, किसी भी अपवाद को प्रतिपूरक नियंत्रणों और एक स्वामी के साथ दर्ज करें।
5. नियमित रूप से पुनः मूल्यांकन करें: पैचिंग और विशेषाधिकार नियंत्रण जल्दी बिगड़ते हैं।

Essential Eight और अन्य फ़्रेमवर्क

ISO 27001 और NIST CSF परिणाम बताते हैं; Essential Eight विशिष्ट तकनीकी सेटिंग्स और समय-सीमाएँ निर्धारित करता है। इसलिए Essential Eight के अधिकांश नियंत्रण ISO या NIST आवश्यकताओं से ढीले तौर पर संबंधित हैं: वे फ़्रेमवर्क कमजोरियों के प्रबंधन या पहुँच नियंत्रण की बात करते हैं, लेकिन इंटरनेट मैक्रो ब्लॉक करने या किसी निश्चित समय-सीमा में पैच करने को नहीं कहते। ASD कोई क्रॉसवॉक प्रकाशित नहीं करता, इसलिए इस साइट पर हर Essential Eight लिंक ControlMapping का संपादकीय निर्णय है, जिसके कारण के साथ।

यह साइट कैसे मदद करती है

ControlMapping उन ISM नियंत्रणों की सूची देता है जिन्हें ASD Essential Eight के लिए टैग करता है, जो रणनीति के अनुसार उनके परिपक्वता स्तरों के साथ समूहित हैं, और एक निश्चित ISM रिलीज़ से लिए गए हैं (CC BY 4.0)। नीचे दी गई तालिका दिखाती है कि आपके मौजूदा फ़्रेमवर्क Essential Eight का कितना हिस्सा पहले ही कवर करते हैं; अपेक्षा रखें कि यह हिस्सा सीमित होगा, और यही Essential Eight का उद्देश्य है।

क्या आपके पास पहले से कोई और फ़्रेमवर्क है?

Essential Eight की कितनी आवश्यकताएँ उन फ़्रेमवर्क से मैप होती हैं जिन्हें आप पहले से मानते हो सकते हैं। आवश्यकता-दर-आवश्यकता सूची के लिए गैप रिपोर्ट खोलें।

क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. गिनती उसी डेटा से आती है जिससे गैप विश्लेषण बनता है; मैपिंग का अर्थ है संबंधित आवश्यकताएँ, इस बात का प्रमाण नहीं कि एक दूसरे को संतुष्ट करती है।

प्रश्न

क्या Essential Eight अनिवार्य है?

Protective Security Policy Framework के तहत ऑस्ट्रेलियाई सरकार की गैर-कॉर्पोरेट कॉमनवेल्थ संस्थाओं के लिए, हाँ। अन्य संगठनों के लिए यह स्वैच्छिक है, हालाँकि ग्राहक, नियामक और बीमाकर्ता इसकी माँग कर सकते हैं।

हमें किस परिपक्वता स्तर का लक्ष्य रखना चाहिए?

ASD सुझाव देता है कि अपने खतरे के परिवेश से एक स्तर चुनें और आगे बढ़ने से पहले उसे सभी आठों रणनीतियों में प्राप्त करें। स्तर दो आमतौर पर पहला लक्ष्य होता है।

क्या Essential Eight का कोई प्रमाणन है?

नहीं। संगठनों का मूल्यांकन ASD की Essential Eight Assessment Process Guide के आधार पर आंतरिक रूप से या तृतीय-पक्ष मूल्यांकनकर्ताओं द्वारा होता है, लेकिन कोई प्रमाणपत्र जारी नहीं किया जाता।

यह कानूनी या अनुपालन सलाह नहीं है। इस पर भरोसा करने से पहले आधिकारिक पाठ और अपने ऑडिटर, मूल्यांकनकर्ता या नियामक से जाँच लें।