Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkan
Keduanya singkat, teknis, dan didukung pemerintah. Yang satu mensertifikasi lima kontrol; yang lain menilai delapan strategi berdasarkan tingkat kematangan. Melakukan salah satunya sudah membawa Anda sebagian jalan menuju yang lain.
Inggris dan Australia masing-masing menerbitkan daftar singkat kontrol teknis yang dapat menghentikan sebagian besar serangan umum. Inggris memiliki Cyber Essentials, yang dikelola oleh National Cyber Security Centre dan dijalankan oleh IASME; Australia memiliki Essential Eight, dari Australian Signals Directorate. Keduanya sering disebut bersamaan, dan organisasi yang beroperasi di kedua negara mengajukan pertanyaan yang jelas: jika kami sudah memiliki salah satunya, seberapa jauh itu membawa kami menuju yang lain?
Cara keduanya disusun
Cyber Essentials mensertifikasi lima kontrol teknis: firewall, konfigurasi aman, manajemen pembaruan keamanan, kontrol akses pengguna, dan perlindungan dari malware. Persyaratan saat ini, versi 3.3, berlaku mulai 27 April 2026. Sertifikasi memiliki dua tingkat: penilaian mandiri yang terverifikasi, dan Cyber Essentials Plus, yang menambahkan pengujian teknis langsung. Sertifikat berlaku selama setahun.
Essential Eight adalah sekumpulan delapan strategi mitigasi (patching aplikasi, patching sistem operasi, autentikasi multi-faktor, pembatasan hak administratif, kontrol aplikasi, pembatasan makro Office, pengerasan aplikasi pengguna, dan pencadangan rutin), masing-masing diimplementasikan pada salah satu dari tiga tingkat kematangan. ControlMapping memetakan 126 Kontrol ISM yang ditandai ASD dengan tingkat tersebut. Tidak ada sertifikasi: organisasi menilai diri sendiri atau meminta penilaian, dan sejak 1 Juli 2022 Protective Security Policy Framework mewajibkan entitas Commonwealth non-korporat Australia untuk menerapkan kedelapan strategi hingga setidaknya Tingkat Kematangan Dua.
Dari Essential Eight ke Cyber Essentials
Dari 5 kontrol teknis Cyber Essentials, 4 (80%) dipetakan ke sesuatu dalam Essential Eight, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →
| Cyber Essentials | Persyaratan | Kecocokan | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Tidak ada pemetaan dalam data kami | — |
| CE 2 | Secure Configuration | Editorial | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Editorial | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Editorial | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Editorial | ISM-0843ISM-1488ISM-1490ISM-1544 |
Sebagian besar Cyber Essentials memiliki padanan di Essential Eight. Pengecualiannya adalah firewall: tidak ada strategi Essential Eight yang membahas firewall batas atau firewall host, sehingga program Essential Eight membiarkan kontrol tersebut menjadi tanggung jawab Anda.
Dari Cyber Essentials ke Essential Eight
Dari 126 Kontrol ISM Essential Eight, 39 (31%) dipetakan ke sesuatu dalam Cyber Essentials, 72 hanya terkait secara longgar, dan 15 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →
Sebaliknya, Cyber Essentials hanya mencakup sebagian Essential Eight, yang tidak mengherankan: ia memiliki lima kontrol dibandingkan daftar persyaratan bertingkat yang jauh lebih panjang. Kesenjangan terbesar adalah:
- Pencadangan rutin. Cyber Essentials versi 3.3 menekankan pentingnya mencadangkan data tetapi tidak mewajibkannya. Pencadangan adalah salah satu dari delapan strategi, dengan pemulihan yang diuji pada setiap tingkat kematangan.
- Makro Office dan pengerasan aplikasi pengguna. Kontrol konfigurasi aman di Cyber Essentials menghapus perangkat lunak yang tidak diperlukan dan menonaktifkan auto-run; kontrol tersebut tidak membahas makro maupun pengerasan browser dan PDF.
- Tingkat kematangan dan jangka waktu. Jika keduanya mensyaratkan hal yang sama, Essential Eight biasanya lebih spesifik pada tingkat yang lebih tinggi, misalnya tentang seberapa cepat kerentanan pada layanan yang menghadap internet harus ditambal, serta tentang pencatatan log dan perlindungan akses istimewa.
- Pelaporan insiden. Beberapa kontrol Essential Eight mewajibkan pelaporan insiden keamanan siber; Cyber Essentials tidak memiliki persyaratan insiden sama sekali.
Persyaratan yang tidak memiliki tautan Cyber Essentials dalam data kami:
| Essential Eight | Persyaratan | Kecocokan | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Tidak ada pemetaan dalam data kami | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Tidak ada pemetaan dalam data kami | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Tidak ada pemetaan dalam data kami | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Tidak ada pemetaan dalam data kami | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Tidak ada pemetaan dalam data kami | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Tidak ada pemetaan dalam data kami | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Tidak ada pemetaan dalam data kami | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Tidak ada pemetaan dalam data kami | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Tidak ada pemetaan dalam data kami | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Tidak ada pemetaan dalam data kami | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Tidak ada pemetaan dalam data kami | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Tidak ada pemetaan dalam data kami | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Tidak ada pemetaan dalam data kami | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Tidak ada pemetaan dalam data kami | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Tidak ada pemetaan dalam data kami | — |
Di mana keduanya sepakat, topik demi topik
| Kerangka kerja | Manajemen Patch | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Definisi topik |
| ISO 27001 | A.8.8 | Crosswalk |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Crosswalk |
| SOC 2 | CC7.1 | Editorial |
| PCI DSS | 6.3.16.3.3 | Crosswalk |
| CMMC | SI.L2-3.14.1 | Crosswalk |
| 800-53 | SI-2 | Crosswalk |
| HIPAA | — | |
| GDPR | — | Tidak ada pemetaan dalam data kami |
| NIS2 | 6.6 | Crosswalk |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Editorial |
| DORA | Art.9(4)(f) | Editorial |
| CPS 234 | — | Tidak ada pemetaan dalam data kami |
| Cyber Essentials | CE 3 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Manajemen Patch di seluruh kerangka kerja →
| Kerangka kerja | Autentikasi Multi-Faktor | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definisi topik |
| ISO 27001 | A.8.5 | Crosswalk |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Editorial |
| SOC 2 | CC6.1 | Editorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Editorial |
| CMMC | IA.L2-3.5.3 | Crosswalk |
| 800-53 | IA-2(1)IA-2(2) | Crosswalk |
| HIPAA | — | |
| GDPR | — | Tidak ada pemetaan dalam data kami |
| NIS2 | 11.611.7 | Crosswalk |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Editorial |
| DORA | Art.9(4)(d) | Editorial |
| CPS 234 | — | Tidak ada pemetaan dalam data kami |
| Cyber Essentials | CE 4 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Autentikasi Multi-Faktor di seluruh kerangka kerja →
Patching dan autentikasi multi-faktor adalah titik temu yang paling jelas. Cyber Essentials menetapkan satu aturan untuk pembaruan (perbaikan kritis dan berisiko tinggi dalam 14 hari) dan mewajibkan MFA di mana pun tersedia, dan selalu untuk layanan cloud; Essential Eight menetapkan jangka waktu dan cakupan MFA yang berbeda pada setiap tingkat kematangan.
Mana yang harus digunakan
Jika Anda membutuhkan salah satunya untuk kontrak, kontraklah yang menentukan: pembeli pemerintah Inggris meminta Cyber Essentials, dan entitas pemerintah Australia bekerja berdasarkan Essential Eight. Jika Anda bebas memilih, keduanya dapat dikombinasikan dengan baik. Cyber Essentials memberi Anda sertifikat eksternal untuk standar minimum yang kuat; Essential Eight memberi Anda jalan untuk melangkah lebih jauh, dengan pencadangan dan pengerasan aplikasi yang tidak dicakup Cyber Essentials. Untuk siap menghadapi keduanya, bangun berdasarkan Essential Eight, tambahkan aturan firewall, dan periksa jangka waktu patch Anda: aturan 14 hari Cyber Essentials berlaku untuk setiap pembaruan kritis atau berisiko tinggi, yang bisa lebih ketat daripada tingkat kematangan yang lebih rendah untuk beberapa perangkat lunak.
Poin utama
- Sebagian besar Cyber Essentials dipetakan ke Essential Eight; firewall adalah kesenjangannya.
- Cyber Essentials hanya mencakup sebagian Essential Eight: pencadangan, pengerasan makro dan aplikasi, serta detail tingkat kematangan merupakan tambahan.
- Tidak satu pun badan yang menerbitkan pemetaan, jadi perlakukan tautan ini sebagai titik awal dan periksa detailnya.
Langkah selanjutnya
Lihat halaman kerangka kerja Cyber Essentials dan Essential Eight, jalankan analisis kesenjangan untuk mengekspor perbandingan sebagai pelacak, atau baca panduan Essential Eight kami.
Pertanyaan
Apakah sertifikasi Cyber Essentials memenuhi Essential Eight?
Tidak. Keduanya tumpang tindih pada patching, autentikasi multi-faktor, hak istimewa administratif, dan kontrol aplikasi, tetapi Essential Eight juga mewajibkan pencadangan rutin, pengerasan makro Office dan aplikasi, serta menetapkan tingkat kematangan dengan jangka waktunya sendiri. Cyber Essentials juga mensertifikasi firewall, yang tidak dicakup oleh strategi Essential Eight mana pun.
Apakah ada sertifikasi untuk Essential Eight?
Tidak ada skema sertifikasi seperti Cyber Essentials. Organisasi menilai diri sendiri, atau meminta penilaian independen, terhadap model kematangan ASD. Cyber Essentials adalah sertifikasi dengan dua tingkat, Cyber Essentials dan Cyber Essentials Plus.
Apakah ada pemetaan resmi antara keduanya?
Baik NCSC maupun ASD tidak menerbitkan satu pun. Tautan di ControlMapping bersifat editorial, dan setiap tautan menampilkan alasannya.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.
Analisis · 2026-10-13Persyaratan MFA dibandingkan di 11 kerangka kerja keamananKerangka kerja mana yang mewajibkan MFA, untuk siapa, dan seberapa ketat: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, dan HIPAA dibandingkan berdampingan.