Haruskah organisasi di luar Australia menggunakan Essential Eight?

Di luar Australia, sebagian besar tim keamanan pernah mendengar tentang Essential Eight, tetapi sedikit yang menggunakannya. Kesannya terasa lokal: dipublikasikan oleh Australian Signals Directorate, wajib bagi entitas pemerintah Australia, dan dirujuk oleh regulator serta perusahaan asuransi Australia. Namun begitu delapan strateginya dibaca, tidak ada satu pun yang bersifat khas Australia. Tambal aplikasi dan sistem operasi, gunakan autentikasi multi-faktor, batasi hak istimewa administratif, kendalikan apa yang boleh dijalankan, batasi makro Office, perkuat aplikasi pengguna, cadangkan data secara rutin. Itu adalah daftar yang bersifat universal.

Mengapa layak dicermati di mana pun

• Strateginya diprioritaskan. Delapan strategi, bukan ratusan kontrol. Bagi tim kecil yang memutuskan apa yang dikerjakan lebih dulu, hal ini sudah sangat bernilai.
• Strateginya spesifik. Jika ISO 27001 menyatakan "kelola kerentanan teknis", Essential Eight menetapkan tenggat patching berdasarkan tingkat kematangan. Persyaratan yang spesifik lebih mudah diimplementasikan dan diuji.
• Menargetkan jalur serangan nyata. Strateginya membidik teknik di balik sebagian besar intrusi di dunia nyata: dokumen berbahaya, sistem yang menghadap internet dan belum di-patch, kredensial yang dicuri, hak admin yang disalahgunakan, dan ransomware.
• Gratis dan terus dipelihara. ASD memperbarui Maturity Model dan kontrol ISM yang mendasarinya secara berkala, di bawah lisensi terbuka.

Mengapa tidak cukup jika berdiri sendiri

Essential Eight adalah baseline teknis, bukan program. Ia tidak mengatur tata kelola, manajemen risiko, pemasok, perencanaan respons insiden, atau keamanan fisik. Seperti ditunjukkan perbandingan kami dengan ISO 27001, mengimplementasikannya membuat sebagian besar kerangka kerja sistem manajemen tidak tersentuh:

Dari 123 Kontrol Lampiran A dan klausul SMKI ISO 27001, 23 (19%) dipetakan ke sesuatu dalam Essential Eight, 39 hanya terkait secara longgar, dan 61 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Bagaimana ia cocok dengan kerangka kerja lain

• Dengan ISO 27001: gunakan Essential Eight sebagai standar implementasi untuk kontrol Lampiran A yang sesuai, dipilih melalui perlakuan risiko.
• Dengan NIST CSF 2.0: gunakan untuk mendefinisikan apa arti "tercapai" bagi hasil Protect yang terkait dalam Target Profile Anda.
• Dengan CIS Controls: keduanya adalah baseline teknis; CIS lebih luas, sedangkan Essential Eight lebih preskriptif pada delapan topiknya. Banyak tim menggunakan CIS IG1 untuk cakupan yang luas dan Essential Eight untuk kedalaman pada patching, makro, dan application control.

Seperti apa penerapannya dalam praktik

Bagi organisasi di luar Australia, pendekatan yang masuk akal adalah memperlakukan Essential Eight sebagai benchmark yang dinilai sendiri, bukan sebagai target sertifikasi:

1. Nilai diri Anda pada Maturity Level One untuk kedelapan strategi. Ini daftar yang singkat dan konkret, dan kesenjangan akan cepat terlihat.
2. Perbaiki kesenjangan yang paling penting bagi profil ancaman Anda, biasanya patching sistem yang menghadap internet, MFA, serta kontrol makro dan application control.
3. Catat dalam kerangka kerja yang sudah ada: dalam Statement of Applicability ISO 27001, Target Profile NIST CSF, atau rencana implementasi CIS Controls.
4. Naik ke Level Two jika ancaman membenarkannya.

Tidak ada yang mengharuskan keterlibatan ASD atau asesor Australia. Halaman strategi, misalnya patch applications, mencantumkan persyaratan pada setiap level.

Poin utama

• Strategi Essential Eight bersifat universal, meskipun mandatnya bersifat Australia.
• Ini adalah baseline teknis, bukan program; padukan dengan kerangka kerja tata kelola.
• Menilai diri sendiri pada Maturity Level One adalah latihan yang cepat dan berguna di mana pun.

Pandangan saya

Jika Anda berada di luar Australia dan tidak ada pihak yang mewajibkannya, Anda tidak perlu diaudit terhadap Essential Eight. Namun Anda sebaiknya membacanya. Sedikit dokumen yang memberikan gambaran lebih jelas tentang apa yang benar-benar menghentikan serangan umum, atau ujian yang lebih baik untuk menilai apakah kontrol "kelola kerentanan" Anda akan bertahan saat berhadapan dengan penyerang.

Panduan Essential Eight menjelaskan maturity model, dan setiap halaman strategi, misalnya application control, mencantumkan kontrolnya per level.

Pertanyaan

Apakah Essential Eight hanya untuk organisasi Australia?

Essential Eight ditulis oleh ASD untuk Australia dan hanya wajib bagi entitas Commonwealth non-korporasi Pemerintah Australia, tetapi panduannya tersedia secara bebas dan berlaku bagi organisasi mana pun.

Bagaimana Essential Eight dibandingkan dengan CIS Controls?

Keduanya adalah baseline teknis yang diprioritaskan. CIS Controls lebih luas (18 kontrol, 153 safeguard); Essential Eight lebih sempit tetapi lebih preskriptif, dengan pengaturan dan tenggat waktu yang spesifik pada setiap tingkat kematangan.

Apakah persyaratan Essential Eight berubah?

Ya. ASD memperbarui Maturity Model dan kontrol ISM yang mendasarinya secara berkala, jadi periksa versi terkini sebelum asesmen.