Memilih target tingkat kematangan Essential Eight Anda

Essential Eight Maturity Model dari ASD menetapkan tiga tingkat untuk masing-masing dari delapan strategi mitigasi. Kesalahan yang umum adalah memperlakukannya sebagai nilai, dengan Level Three sebagai tujuan untuk semua orang. Padahal, tingkat-tingkat tersebut bukan nilai. Setiap tingkat dirancang untuk menghentikan jenis penyerang yang berbeda, dan target yang tepat bergantung pada lingkungan ancaman Anda.

Untuk apa setiap tingkat

• Level One menghentikan penyerang yang menggunakan taktik umum secara oportunistik: eksploit yang mudah didapat, kredensial yang dicuri, dan dokumen berbahaya yang dikirim ke siapa saja.
• Level Two menghentikan penyerang yang bersedia menginvestasikan lebih banyak waktu dan upaya, serta menargetkan suatu organisasi, tetapi masih sebagian besar mengandalkan teknik yang sudah dikenal.
• Level Three menghentikan penyerang adaptif yang kurang bergantung pada alat publik, cepat mengeksploitasi kerentanan baru, dan berupaya menghindari deteksi.

Persyaratan semakin ketat di setiap tingkat: tenggat waktu patching yang lebih singkat, MFA untuk lebih banyak pengguna dan sistem serta metode yang tahan phishing, application control pada lebih banyak sistem dan jenis file, serta pembatasan yang lebih ketat terhadap hak akses administratif dan backup.

Cara memilih

1. Mulai dari ancaman. Siapa yang ingin mendapatkan apa yang Anda miliki? Data pemerintah, infrastruktur kritis, layanan keuangan, dan kekayaan intelektual bernilai tinggi menarik penyerang yang lebih mampu.
2. Periksa kewajiban. Entitas Persemakmuran non-korporat Pemerintah Australia diharapkan mencapai Maturity Level Two. Pelanggan, regulator, dan perusahaan asuransi dapat menetapkan ekspektasi mereka sendiri.
3. Realistis terhadap kemampuan. Level Three membutuhkan upaya rekayasa dan disiplin operasional yang mungkin tidak dapat dipertahankan oleh tim TI kecil.
4. Pilih satu target untuk kedelapan strategi. ASD merekomendasikan untuk mencapai tingkat yang sama di setiap strategi sebelum menaikkan salah satunya. Program patching Level Three dengan application control di Level Zero tetap membiarkan celah terbuka.

Jalur umum

• Sebagian besar organisasi: Level One untuk kedelapan strategi, lalu Level Two.
• Organisasi yang menangani data pemerintah atau data kritis yang sensitif: Level Two sebagai baseline, dengan persyaratan Level Three terpilih pada sistem berisiko tertinggi.
• Lingkungan dengan ancaman tinggi: Level Three, biasanya dicapai sistem demi sistem.

Mendokumentasikan keputusan

Jika Anda menjalankan ISMS ISO 27001, catat tingkat yang dipilih beserta alasannya dalam penilaian risiko dan Statement of Applicability Anda. Hal ini memberikan justifikasi bagi auditor dan assessor, serta menjadikan Essential Eight sebagai standar implementasi untuk kontrol Annex A yang sesuai, sebagaimana dijelaskan dalam analisis Essential Eight vs ISO 27001 kami.

Kesalahan umum saat menetapkan target

• Mengejar Level Three pada satu strategi sementara yang lain berada di Level Zero. Penyerang memanfaatkan strategi yang paling lemah, bukan yang paling kuat.
• Menghitung cakupan, bukan efektivitas. Application control yang diterapkan pada setengah workstation tidak memenuhi Level One; setiap persyaratan harus dipenuhi di seluruh sistem dalam cakupan.
• Mengabaikan pengecualian. Setiap pengecualian (misalnya sistem lama yang belum di-patch, atau pengguna yang dikecualikan dari pemblokiran macro) memerlukan pemilik, kontrol kompensasi, dan tanggal berakhir, jika tidak, tingkat kematangan hanyalah fiksi.
• Menilai berdasarkan wawancara. Panduan penilaian ASD memberi peringkat pada bukti: menguji kontrol secara langsung adalah yang paling kuat, sedangkan dokumentasi dan wawancara paling lemah. Penilaian mandiri yang didasarkan pada apa yang dikatakan orang cenderung melebih-lebihkan tingkat kematangan.
• Menetapkan target sekali saja. Ancaman berubah, begitu pula model kematangan; ASD memperbaruinya secara berkala. Tinjau target setiap tahun bersama penilaian risiko Anda.

Poin utama

• Setiap tingkat kematangan menargetkan penyerang yang berbeda; pilih berdasarkan ancaman dan kewajiban.
• Capai tingkat yang sama di seluruh delapan strategi sebelum menaikkan salah satunya.
• Level Two adalah target pertama yang umum.

Mengukur kemajuan

Nilai setiap strategi menggunakan Essential Eight Assessment Process Guide dari ASD, dengan pengujian sistem jika memungkinkan; sebuah strategi mencapai suatu tingkat hanya ketika setiap persyaratan pada tingkat tersebut dan di bawahnya terpenuhi. Lacak tingkat terendah yang dicapai di antara kedelapan strategi sebagai angka utama Anda.

Halaman setiap strategi mencantumkan kontrol ISM menurut tingkat kematangan, misalnya Patch applications dan Multi-factor authentication. Panduan Essential Eight membahas penilaian secara lebih rinci.

Pertanyaan

Tingkat kematangan Essential Eight mana yang sebaiknya kami targetkan?

Pilih berdasarkan ancaman: Level One untuk penyerang oportunistik yang menggunakan alat umum, Level Two untuk penyerang yang bersedia menginvestasikan lebih banyak upaya, Level Three untuk penyerang adaptif. Level Two adalah target pertama yang umum dan merupakan ekspektasi bagi entitas Persemakmuran non-korporat Pemerintah Australia.

Bolehkah strategi yang berbeda berada pada tingkat kematangan yang berbeda?

Strategi dapat dinilai secara terpisah, tetapi ASD merekomendasikan untuk mencapai tingkat yang sama di seluruh kedelapan strategi sebelum menaikkan salah satunya.

Berapa lama waktu yang dibutuhkan untuk mencapai Maturity Level Two?

Hal ini bergantung pada titik awal dan ukuran lingkungan. Organisasi yang sudah berada di Level One pada kedelapan strategi sering mencapai Level Two dalam hitungan bulan; organisasi yang memulai dari nol sebaiknya merencanakan waktu yang lebih lama, strategi demi strategi.