Essential Eight: panduan praktis

Menurut Paul Gillet · Diperbarui 2026-10-17

Essential Eight adalah baseline dari Australian Signals Directorate (ASD) yang terdiri atas delapan strategi mitigasi terhadap serangan siber paling umum. ASD menerbitkannya bersama Model Kematangan yang menjelaskan apa yang diperlukan setiap strategi pada Tingkat Kematangan Satu, Dua, dan Tiga. Persyaratan tersebut merupakan kontrol dalam Information Security Manual (ISM) milik ASD.

Delapan strategi

• Patch aplikasi: temukan dan perbaiki kerentanan pada aplikasi, serta hapus aplikasi yang sudah tidak didukung.
• Patch sistem operasi: hal yang sama untuk sistem operasi, driver, dan firmware.
• Autentikasi multi-faktor: untuk layanan daring, akses jarak jauh, pengguna dengan hak istimewa, dan pada tingkat yang lebih tinggi, repositori data, dengan metode yang lebih kuat (tahan phishing) seiring naiknya tingkat.
• Batasi hak akses administratif: berikan, tinjau, dan catat akses istimewa, serta pisahkan lingkungan istimewa.
• Kontrol aplikasi: hanya program, skrip, installer, dan library yang disetujui yang boleh dijalankan.
• Batasi makro Microsoft Office: blokir makro dari internet dan izinkan hanya makro tepercaya.
• Penguatan aplikasi pengguna: perkuat browser, perangkat lunak Office dan PDF, serta batasi PowerShell.
• Cadangan rutin: cadangkan data, perangkat lunak, dan pengaturan penting, uji pemulihan, serta lindungi cadangan dari perubahan dan penghapusan.

Tingkat kematangan

Setiap tingkat menargetkan pelaku ancaman yang lebih mampu. Tingkat Satu menghentikan penyerang oportunistik yang menggunakan alat umum. Tingkat Dua menghentikan pelaku yang bersedia menginvestasikan lebih banyak waktu dan usaha. Tingkat Tiga menghentikan pelaku adaptif yang kurang bergantung pada alat publik. ASD menyarankan agar Anda mencapai tingkat yang sama di seluruh delapan strategi sebelum menaikkan salah satunya, dan memilih tingkat target berdasarkan lingkungan ancaman Anda.

Pihak yang wajib menerapkannya

Entitas Commonwealth non-korporasi Pemerintah Australia wajib menerapkan Essential Eight berdasarkan Protective Security Policy Framework, dengan Tingkat Kematangan Dua sebagai target. Banyak pemerintah negara bagian, bisnis yang diatur regulasi, dan penyedia asuransi siber di Australia juga memintanya. Bagi pihak lain, ini adalah baseline teknis yang telah teruji dan diprioritaskan.

Cara kerja penilaian

Tidak ada sertifikat Essential Eight. Penilaian mengikuti Essential Eight Assessment Process Guide milik ASD dan dapat dilakukan secara internal atau oleh assessor pihak ketiga. Setiap strategi dinilai secara terpisah, dan suatu strategi hanya mencapai suatu tingkat jika setiap persyaratan pada tingkat tersebut, dan pada seluruh tingkat di bawahnya, telah terpenuhi. Kualitas bukti penting: menguji kontrol secara langsung adalah bukti terkuat, meninjau konfigurasi adalah bukti yang baik, dokumentasi lebih lemah, dan wawancara saja adalah yang paling lemah.

Langkah-langkah

1. Pilih tingkat kematangan target untuk organisasi, biasanya Tingkat Dua sebagai awal.
2. Nilai tingkat Anda saat ini untuk setiap strategi, dengan menggunakan pengujian tingkat sistem bila memungkinkan.
3. Prioritaskan kesenjangan, dengan menaikkan semua strategi ke tingkat yang sama terlebih dahulu.
4. Terapkan dan dokumentasikan bukti untuk kontrol, dengan mencatat setiap pengecualian beserta kontrol kompensasi dan pemiliknya.
5. Nilai ulang secara berkala: kontrol patch dan hak istimewa cepat menurun efektivitasnya.

Essential Eight dan kerangka kerja lainnya

ISO 27001 dan NIST CSF menjelaskan hasil yang diharapkan; Essential Eight menetapkan pengaturan teknis dan tenggat waktu yang spesifik. Karena itu, sebagian besar kontrol Essential Eight hanya terkait secara longgar dengan persyaratan ISO atau NIST: kerangka kerja tersebut meminta Anda mengelola kerentanan atau mengendalikan akses, tetapi tidak memerintahkan untuk memblokir makro dari internet atau melakukan patch dalam jangka waktu tertentu. ASD tidak menerbitkan crosswalk, sehingga setiap tautan Essential Eight di situs ini merupakan penilaian editorial ControlMapping, beserta alasannya.

Cara situs ini membantu

ControlMapping mencantumkan kontrol ISM yang ditandai ASD untuk Essential Eight, dikelompokkan berdasarkan strategi beserta tingkat kematangannya, dari rilis ISM yang telah ditetapkan (CC BY 4.0). Tabel di bawah menunjukkan seberapa besar Essential Eight yang sudah tercakup oleh kerangka kerja Anda saat ini; cakupannya diperkirakan terbatas, dan itulah tujuan Essential Eight.

Sudah memiliki kerangka kerja lain?

Berapa banyak persyaratan Essential Eight yang terpetakan dari setiap kerangka kerja yang mungkin sudah Anda patuhi. Buka laporan kesenjangan untuk daftar per persyaratan.

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Jumlah berasal dari data yang sama dengan analisis celah; pemetaan berarti persyaratan yang terkait, bukan bukti bahwa satu persyaratan memenuhi yang lain.

Pertanyaan

Apakah Essential Eight wajib?

Bagi entitas Commonwealth non-korporasi Pemerintah Australia, ya, berdasarkan Protective Security Policy Framework. Bagi organisasi lain, penerapannya bersifat sukarela, meskipun pelanggan, regulator, dan penyedia asuransi dapat mewajibkannya.

Tingkat kematangan apa yang sebaiknya kami targetkan?

ASD menyarankan untuk memilih tingkat berdasarkan lingkungan ancaman Anda dan mencapainya di seluruh delapan strategi sebelum melangkah lebih jauh. Tingkat Dua biasanya menjadi target pertama.

Apakah ada sertifikasi Essential Eight?

Tidak. Organisasi dinilai berdasarkan Essential Eight Assessment Process Guide milik ASD, baik secara internal maupun oleh assessor pihak ketiga, tetapi tidak ada sertifikat yang diterbitkan.

Bukan saran hukum atau kepatuhan. Periksa teks resmi dan auditor, asesor, atau regulator Anda sebelum mengandalkannya.