Essential Eight vs ISO 27001: Perbandingan

Saat memetakan Essential Eight dari ASD terhadap ISO 27001, muncul sebuah pola: setiap kontrol menyentuh sesuatu di Annex A, tetapi hanya sedikit yang benar-benar sejalan. Hal itu lebih menggambarkan kedua kerangka kerja tersebut daripada pemetaannya sendiri.

Organisasi di Australia semakin sering menghadapi keduanya: ISO 27001 untuk pelanggan dan tender, serta Essential Eight dari ASD untuk pekerjaan pemerintah, regulator, dan perusahaan asuransi. Memetakan satu ke yang lain menghasilkan hasil yang tidak biasa, dan memahaminya menghemat banyak rasa percaya diri yang keliru.

Dua arah

Arah	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
Miliki ISO 27001 → butuhkan Essential Eight	57 dari 126 (45%)	69	0	laporan →
Miliki Essential Eight → butuhkan ISO 27001	23 dari 123 (19%)	39	61	laporan →

Dari ISO 27001 ke Essential Eight, setiap kontrol Essential Eight dipetakan atau terkait secara longgar dengan sesuatu dalam ISO; tidak ada yang sama sekali tanpa padanan. Namun hanya sekitar separuhnya yang dipetakan secara erat. Dari Essential Eight ke ISO 27001, gambarannya terbalik: sebagian besar ISO tidak tersentuh, karena delapan strategi mitigasi memang tidak pernah dimaksudkan sebagai program yang utuh.

Berdasarkan strategi

bagian Essential Eight	Dipetakan	Terkait secara longgar
Patch applications	6 dari 12	6
Patch applications & Patch operating systems	2 dari 2	0
Patch operating systems	5 dari 15	10
Multi-factor authentication	7 dari 16	9
Restrict administrative privileges	9 dari 20	11
Application control	6 dari 11	5
Restrict Microsoft Office macros	1 dari 11	10
User application hardening	7 dari 20	13
Regular backups	6 dari 11	5
Logging and incident response (all strategies)	8 dari 8	0

Miliki ISO 27001, butuhkan Essential Eight. Persyaratan demi persyaratan: buka laporan celah →

Mengapa "Terkait secara longgar" mendominasi

Essential Eight dan ISO 27001 berada di dua ujung spektrum yang berlawanan.

ISO 27001 menyatakan apa yang harus dikelola. A.8.8 meminta Anda mengelola kerentanan teknis; A.8.2 membatasi akses istimewa; A.8.7 melindungi dari malware; A.8.13 mencadangkan informasi. Cara dan seberapa baik pelaksanaannya bergantung pada penilaian risiko Anda.

Essential Eight menyatakan secara tepat apa yang harus dilakukan, dan kapan. Tambal layanan yang menghadap internet dalam tenggat yang ditetapkan, yang semakin ketat di setiap tingkat kematangan. Blokir makro Office dari internet. Izinkan hanya program, skrip, dan pustaka yang disetujui untuk dijalankan. Gunakan MFA tahan phishing pada tingkat yang lebih tinggi. Uji pemulihan cadangan. Setiap persyaratan adalah kontrol ISM dengan tingkat kematangan.

Jadi, kontrol ISO dan kontrol Essential Eight biasanya membahas hasil yang sama tanpa salah satunya memenuhi yang lain. Dalam data kami, hal ini tampil sebagai terkait secara longgar: keduanya berbagi hasil NIST CSF 2.0, tetapi belum ada yang menerbitkan crosswalk, dan jarak antara "mengelola kerentanan" dan "menambal dalam tenggat yang ditetapkan" adalah pekerjaan nyata.

Foto tangan yang menyesuaikan deretan sakelar toggle pada panel perangkat jaringan lama, tanpa label yang terbaca — Essential Eight berkaitan dengan pengaturan spesifik, yang justru dibiarkan ISO 27001 menjadi tanggung jawab Anda.

Apa artinya dalam praktik

Sertifikat ISO tidak memberi tahu Anda apa pun tentang tingkat kematangan Essential Eight. Suatu organisasi bisa tersertifikasi namun berada di tingkat kematangan nol untuk kontrol aplikasi.
Essential Eight memberi ISMS Anda ketajaman. Menggunakan persyaratannya sebagai standar implementasi untuk kontrol Annex A yang sesuai (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) mengubah kontrol berbasis risiko ISO menjadi pengaturan yang spesifik dan dapat diuji.
ISMS memberi Essential Eight sebuah rumah. Penilaian risiko memilih tingkat kematangan target; audit internal memeriksanya; tinjauan manajemen melacak kemajuannya.

Poin utama

Sebagian besar kontrol Essential Eight hanya terkait secara longgar dengan ISO 27001.
Gunakan Essential Eight sebagai standar implementasi di dalam ISMS.

Pendekatan praktis

Pilih tingkat kematangan target Essential Eight melalui penilaian risiko ISO Anda, dan catat dalam Pernyataan Penerapan (Statement of Applicability).
Tuliskan persyaratan Essential Eight untuk tingkat tersebut ke dalam deskripsi kontrol Annex A Anda.
Lakukan penilaian dengan proses ASD, dan perlakukan kegagalan sebagai ketidaksesuaian ISO dengan tindakan korektif.
Gunakan halaman strategi Essential Eight untuk melihat setiap kontrol berdasarkan tingkat kematangan, dan laporan kesenjangan ISO 27001 → Essential Eight untuk daftar lengkapnya.

ASD tidak menerbitkan crosswalk dari Essential Eight ke ISO 27001, sehingga setiap tautan di sini merupakan penilaian Editorial ControlMapping. Panduan Essential Eight kami menjelaskan model kematangan dan penilaiannya.

Pertanyaan

Apakah sertifikasi ISO 27001 berarti kami memenuhi Essential Eight?

Tidak. ISO 27001 mensyaratkan area yang sama (patching, akses, malware, cadangan) tetapi tidak mensyaratkan pengaturan spesifik, jangka waktu, dan tingkat kematangan Essential Eight. Lakukan penilaian terhadap Essential Eight Assessment Process Guide dari ASD.

Haruskah organisasi di Australia menerapkan ISO 27001 atau Essential Eight?

Seringkali keduanya: Essential Eight sebagai baseline teknis yang diprioritaskan, di dalam ISMS ISO 27001 yang menyediakan tata kelola, manajemen risiko, dan sertifikasi.

Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.

Essential Eight vs ISO 27001: Mengapa Sebagian Besar Hanya "Terkait secara longgar"