Scegliere il livello di maturità target dell'Essential Eight

Il Modello di Maturità dell'Essential Eight di ASD definisce tre livelli per ciascuna delle otto strategie di mitigazione. Un errore comune è trattarli come voti, con il Livello Tre come obiettivo per tutti. Non sono voti. Ogni livello è progettato per fermare un diverso tipo di avversario, e il target giusto dipende dal tuo contesto di minaccia.

A cosa serve ciascun livello

• Livello Uno blocca gli avversari che usano tecniche di uso comune in modo opportunistico: exploit ampiamente disponibili, credenziali rubate, documenti malevoli inviati a chiunque.
• Livello Due blocca gli avversari disposti a investire più tempo e impegno e a prendere di mira un'organizzazione specifica, ma che si affidano ancora in gran parte a tecniche note.
• Livello Tre blocca gli avversari adattivi, meno dipendenti dagli strumenti pubblici, che sfruttano rapidamente le nuove vulnerabilità e cercano di eludere il rilevamento.

I requisiti si fanno più stringenti a ogni livello: scadenze di patching più brevi, MFA per più utenti e sistemi con metodi resistenti al phishing, application control su più sistemi e tipi di file, restrizioni più forti sui privilegi amministrativi e sui backup.

Come scegliere

1. Parti dalla minaccia. Chi vorrebbe ciò che detieni? Dati governativi, infrastrutture critiche, servizi finanziari e proprietà intellettuale di alto valore attirano avversari più capaci.
2. Verifica gli obblighi. Le entità del Commonwealth australiano non societarie devono raggiungere il Livello di maturità Due. Clienti, autorità di vigilanza e assicuratori possono fissare le proprie aspettative.
3. Sii realistico sulle capacità. Il Livello Tre richiede impegno ingegneristico e disciplina operativa che un piccolo team IT potrebbe non riuscire a sostenere.
4. Scegli un unico target per tutte e otto. ASD raccomanda di raggiungere lo stesso livello in ogni strategia prima di alzarne qualsiasi altra. Un programma di patching a Livello Tre con application control a Livello Zero lascia comunque la porta aperta.

Percorsi tipici

• La maggior parte delle organizzazioni: Livello Uno su tutte e otto, poi Livello Due.
• Organizzazioni che gestiscono dati governativi o critici sensibili: Livello Due come base, con requisiti selezionati del Livello Tre sui sistemi a rischio più alto.
• Contesti ad alta minaccia: Livello Tre, di solito raggiunto sistema per sistema.

Registrare la decisione

Se gestisci un ISMS ISO 27001, registra il livello scelto e la relativa motivazione nella valutazione del rischio e nella Dichiarazione di Applicabilità. Questo fornisce agli auditor e ai valutatori la giustificazione e trasforma l'Essential Eight nello standard di implementazione dei controlli dell'Allegato A corrispondenti, come spiega la nostra analisi Essential Eight vs ISO 27001.

Errori comuni nella definizione del target

• Puntare al Livello Tre su una sola strategia mentre le altre restano a Livello Zero. Gli attaccanti sfruttano la strategia più debole, non quella più forte.
• Contare la copertura anziché l'efficacia. Application control implementato su metà delle workstation non equivale al Livello Uno; ogni requisito deve essere soddisfatto su tutti i sistemi in ambito.
• Ignorare le eccezioni. Ogni eccezione (un sistema legacy non aggiornato, un utente esentato dal blocco delle macro) richiede un responsabile, controlli compensativi e una data di fine, altrimenti il livello di maturità è di fatto fittizio.
• Valutare tramite interviste. Le linee guida di valutazione di ASD classificano le evidenze: testare direttamente un controllo è la prova più forte, documentazione e interviste sono le più deboli. Le autovalutazioni basate su ciò che le persone dichiarano sovrastimano la maturità.
• Definire il target una sola volta. Le minacce cambiano, e cambia anche il modello di maturità; ASD lo aggiorna periodicamente. Rivedi il target ogni anno insieme alla valutazione del rischio.

Punti chiave

• Ogni livello di maturità è rivolto a un diverso avversario; scegli in base a minaccia e obblighi.
• Raggiungi lo stesso livello in tutte le otto strategie prima di alzarne una.
• Il Livello Due è il primo target abituale.

Misurare i progressi

Valuta ogni strategia secondo la Essential Eight Assessment Process Guide di ASD, usando test sui sistemi dove possibile; una strategia raggiunge un livello solo quando sono soddisfatti tutti i requisiti di quel livello e dei precedenti. Tieni traccia del livello più basso raggiunto tra le otto come indicatore principale.

La pagina di ciascuna strategia elenca i controlli ISM per livello di maturità, ad esempio Patch applications e Multi-factor authentication. La guida Essential Eight approfondisce l'assessment.

Domande

Quale livello di maturità dell'Essential Eight dovremmo puntare?

Scegli in base alla minaccia: Livello Uno per avversari opportunistici che usano strumenti di uso comune, Livello Due per avversari disposti a investire più impegno, Livello Tre per avversari adattivi. Il Livello Due è il primo target abituale e l'aspettativa per le entità del Commonwealth australiano non societarie.

Strategie diverse possono trovarsi a livelli di maturità diversi?

Possono essere valutate separatamente, ma ASD raccomanda di raggiungere lo stesso livello su tutte e otto prima di alzarne qualsiasi altra.

Quanto tempo serve per raggiungere il Livello di maturità Due?

Dipende dal punto di partenza e dalle dimensioni dell'ambiente. Le organizzazioni già al Livello Uno su tutte e otto le strategie spesso raggiungono il Livello Due in alcuni mesi; chi parte da zero dovrebbe pianificare tempi più lunghi, strategia per strategia.