Cyber Essentials vs Essential Eight: confronto tra due baseline
Entrambi sono brevi, tecnici e sostenuti dal governo. Uno certifica cinque controlli; l'altro valuta otto strategie per livello di maturità. Ottenerne uno ti porta già in parte verso l'altro.
Regno Unito e Australia pubblicano ciascuno un breve elenco di controlli tecnici che bloccano la maggior parte degli attacchi comuni. Quello britannico è Cyber Essentials, gestito dal National Cyber Security Centre ed erogato da IASME; quello australiano è l'Essential Eight, dell'Australian Signals Directorate. Vengono spesso citati insieme, e le organizzazioni che operano in entrambi i Paesi si pongono la domanda ovvia: se ne abbiamo uno, quanto ci avvicina all'altro?
Come sono strutturati
Cyber Essentials certifica cinque controlli tecnici: firewall, configurazione sicura, gestione degli aggiornamenti di sicurezza, controllo degli accessi degli utenti e protezione dal malware. I requisiti attuali, versione 3.3, si applicano dal 27 aprile 2026. La certificazione prevede due livelli: un'autovalutazione verificata e Cyber Essentials Plus, che aggiunge test tecnici diretti. I certificati hanno validità di un anno.
L'Essential Eight è un insieme di otto strategie di mitigazione (patching delle applicazioni, patching dei sistemi operativi, autenticazione a più fattori, limitazione dei privilegi amministrativi, controllo delle applicazioni, limitazione delle macro di Office, hardening delle applicazioni utente e backup regolari), ciascuna implementata a uno dei tre livelli di maturità. ControlMapping mappa le 126 Controlli ISM che ASD associa a tali livelli. Non esiste una certificazione: le organizzazioni si autovalutano oppure commissionano una valutazione, e dal 1° luglio 2022 il Protective Security Policy Framework impone alle entità del Commonwealth australiano non societarie di implementare tutte e otto le strategie almeno al Livello di maturità 2.
Dall'Essential Eight a Cyber Essentials
Dei 5 controlli tecnici di Cyber Essentials, 4 (80%) corrispondono a qualcosa in Essential Eight, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →
| Cyber Essentials | Requisito | Corrispondenza | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Nessuna mappatura nei nostri dati | — |
| CE 2 | Secure Configuration | Redazione | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Redazione | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Redazione | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Redazione | ISM-0843ISM-1488ISM-1490ISM-1544 |
Gran parte di Cyber Essentials ha un corrispettivo nell'Essential Eight. L'eccezione è il firewall: nessuna strategia dell'Essential Eight riguarda firewall di perimetro o di host, quindi un programma basato sull'Essential Eight lascia questo controllo a carico dell'organizzazione.
Da Cyber Essentials all'Essential Eight
Dei 126 Controlli ISM di Essential Eight, 39 (31%) corrispondono a qualcosa in Cyber Essentials, 72 sono solo debolmente correlati e 15 non hanno mappature nei nostri dati. Apri il report sui gap →
Nel senso opposto, Cyber Essentials copre solo una parte dell'Essential Eight, il che non sorprende: ha cinque controlli contro un elenco molto più lungo di requisiti graduati. I divari maggiori sono:
- Backup regolari. Cyber Essentials versione 3.3 sottolinea l'importanza del backup dei dati ma non lo impone. I backup sono una delle otto strategie, con ripristino testato a ogni livello di maturità.
- Macro di Office e hardening delle applicazioni utente. Il controllo di configurazione sicura di Cyber Essentials rimuove il software non necessario e disattiva l'esecuzione automatica; non affronta le macro né l'hardening di browser e PDF.
- Livelli di maturità e tempistiche. Dove entrambi richiedono la stessa cosa, l'Essential Eight è di norma più specifico ai livelli superiori, ad esempio sui tempi entro cui le vulnerabilità dei servizi esposti su internet devono essere corrette, e sulla registrazione e protezione degli accessi privilegiati.
- Segnalazione degli incidenti. Alcuni controlli dell'Essential Eight richiedono la segnalazione degli incidenti di cybersicurezza; Cyber Essentials non prevede alcun requisito in materia.
I requisiti senza alcun collegamento con Cyber Essentials nei nostri dati:
| Essential Eight | Requisito | Corrispondenza | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Nessuna mappatura nei nostri dati | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Nessuna mappatura nei nostri dati | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Nessuna mappatura nei nostri dati | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Nessuna mappatura nei nostri dati | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Nessuna mappatura nei nostri dati | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Nessuna mappatura nei nostri dati | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Nessuna mappatura nei nostri dati | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Nessuna mappatura nei nostri dati | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Nessuna mappatura nei nostri dati | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Nessuna mappatura nei nostri dati | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Nessuna mappatura nei nostri dati | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Nessuna mappatura nei nostri dati | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Nessuna mappatura nei nostri dati | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Nessuna mappatura nei nostri dati | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Nessuna mappatura nei nostri dati | — |
Dove concordano, argomento per argomento
| Framework | Gestione delle patch | Collegamento |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Definizione dell'argomento |
| ISO 27001 | A.8.8 | Crosswalk |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Crosswalk |
| SOC 2 | CC7.1 | Redazione |
| PCI DSS | 6.3.16.3.3 | Crosswalk |
| CMMC | SI.L2-3.14.1 | Crosswalk |
| 800-53 | SI-2 | Crosswalk |
| HIPAA | — | |
| GDPR | — | Nessuna mappatura nei nostri dati |
| NIS2 | 6.6 | Crosswalk |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Redazione |
| DORA | Art.9(4)(f) | Redazione |
| CPS 234 | — | Nessuna mappatura nei nostri dati |
| Cyber Essentials | CE 3 | Redazione |
Dettaglio completo e motivazione di ogni collegamento: Gestione delle patch nei framework →
| Framework | Autenticazione a più fattori | Collegamento |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definizione dell'argomento |
| ISO 27001 | A.8.5 | Crosswalk |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Redazione |
| SOC 2 | CC6.1 | Redazione |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Redazione |
| CMMC | IA.L2-3.5.3 | Crosswalk |
| 800-53 | IA-2(1)IA-2(2) | Crosswalk |
| HIPAA | — | |
| GDPR | — | Nessuna mappatura nei nostri dati |
| NIS2 | 11.611.7 | Crosswalk |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Redazione |
| DORA | Art.9(4)(d) | Redazione |
| CPS 234 | — | Nessuna mappatura nei nostri dati |
| Cyber Essentials | CE 4 | Redazione |
Dettaglio completo e motivazione di ogni collegamento: Autenticazione a più fattori nei framework →
Patching e autenticazione a più fattori sono il terreno comune più evidente. Cyber Essentials stabilisce un'unica regola per gli aggiornamenti (correzioni critiche e ad alto rischio entro 14 giorni) e richiede l'MFA ovunque sia disponibile, e sempre per i servizi cloud; l'Essential Eight fissa tempistiche e ambito dell'MFA diversi per ciascun livello di maturità.
Quale scegliere
Se ti serve per un contratto, decide il contratto: i committenti pubblici britannici chiedono Cyber Essentials, mentre le entità governative australiane lavorano secondo l'Essential Eight. Se puoi scegliere liberamente, i due si combinano bene. Cyber Essentials ti dà un certificato esterno per un minimo solido; l'Essential Eight ti offre una strada per andare oltre, con backup e hardening delle applicazioni che Cyber Essentials non copre. Per essere pronto per entrambi, adotta l'Essential Eight come base, aggiungi le regole del firewall e verifica le tempistiche di patching: la regola dei 14 giorni di Cyber Essentials si applica a ogni aggiornamento critico o ad alto rischio, e per alcuni software può essere più stringente dei livelli di maturità inferiori.
Punti chiave
- Gran parte di Cyber Essentials corrisponde all'Essential Eight; il firewall è l'unico divario.
- Cyber Essentials copre solo una parte dell'Essential Eight: backup, hardening delle macro e delle applicazioni e il dettaglio dei livelli di maturità sono elementi aggiuntivi.
- Nessuno dei due enti pubblica una mappatura, quindi considera questi collegamenti un punto di partenza e verifica i dettagli.
Prossimi passi
Consulta le pagine dei framework Cyber Essentials e Essential Eight, esegui la gap analysis per esportare il confronto come tracker, oppure leggi la nostra guida all'Essential Eight.
Domande
La certificazione Cyber Essentials soddisfa l'Essential Eight?
No. I due si sovrappongono su patching, autenticazione a più fattori, privilegi amministrativi e controllo delle applicazioni, ma l'Essential Eight richiede anche backup regolari, hardening delle macro di Office e delle applicazioni, e fissa livelli di maturità con tempistiche proprie. Cyber Essentials certifica anche i firewall, che nessuna strategia dell'Essential Eight copre.
Esiste una certificazione per l'Essential Eight?
Non esiste uno schema di certificazione simile a Cyber Essentials. Le organizzazioni si autovalutano, oppure commissionano una valutazione indipendente, rispetto al modello di maturità di ASD. Cyber Essentials è una certificazione a due livelli, Cyber Essentials e Cyber Essentials Plus.
Esiste una mappatura ufficiale tra i due?
Né NCSC né ASD ne pubblicano una. I collegamenti su ControlMapping sono curati dalla Redazione, e ciascuno riporta la sua motivazione.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27DORA vs NIS2: cosa copre già un programma NIS2DORA e NIS2 condividono gran parte dei controlli di sicurezza, ma DORA aggiunge registro, clausole contrattuali e test basati sulle minacce. Cosa si riporta, articolo per articolo.
Analisi · 2026-10-13Requisiti MFA confrontati tra 11 framework di sicurezzaQuali framework richiedono MFA, per chi e con quale rigore: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA a confronto diretto.