Essential Eight vs ISO 27001: perlopiù «correlazione debole»

Le organizzazioni australiane si trovano sempre più spesso davanti a entrambi: l'ISO 27001 per clienti e gare d'appalto, e l'Essential Eight di ASD per il lavoro nella pubblica amministrazione, con regolatori e assicuratori. Mappare l'uno sull'altro produce un risultato insolito, e capirlo evita di riporre una fiducia mal riposta.

Le due direzioni

Direzione	Mappato	Correlazione debole	Nessuna mappatura
Hai ISO 27001 → ti serve Essential Eight	57 di 126 (45%)	69	0	report →
Hai Essential Eight → ti serve ISO 27001	23 di 123 (19%)	39	61	report →

Dall'ISO 27001 all'Essential Eight, ogni controllo dell'Essential Eight si mappa o ha una correlazione debole con qualcosa dell'ISO; nessuno è privo di corrispondenza. Eppure solo circa la metà si mappa in modo stretto. Dall'Essential Eight all'ISO 27001 il quadro si ribalta: gran parte dell'ISO resta non coperta, perché otto strategie di mitigazione non sono mai state pensate come un intero programma.

Per strategia

Essential Eight sezione	Mappato	Correlazione debole	Nessuna mappatura
Patch applications	6 di 12	6	0
Patch applications & Patch operating systems	2 di 2	0	0
Patch operating systems	5 di 15	10	0
Multi-factor authentication	7 di 16	9	0
Restrict administrative privileges	9 di 20	11	0
Application control	6 di 11	5	0
Restrict Microsoft Office macros	1 di 11	10	0
User application hardening	7 di 20	13	0
Regular backups	6 di 11	5	0
Logging and incident response (all strategies)	8 di 8	0	0

Hai ISO 27001, ti serve Essential Eight. Requisito per requisito: apri il report sul gap →

Perché domina la «correlazione debole»

L'Essential Eight e l'ISO 27001 si collocano agli estremi opposti di uno spettro.

L'ISO 27001 dice cosa gestire. A.8.8 chiede di gestire le vulnerabilità tecniche; A.8.2 di limitare gli accessi privilegiati; A.8.7 di proteggersi dal malware; A.8.13 di eseguire il backup delle informazioni. Come farlo, e con quale efficacia, dipende dalla valutazione del rischio.

L'Essential Eight dice esattamente cosa fare, e quando. Applicare le patch ai servizi esposti su internet entro scadenze definite, che si stringono a ogni livello di maturità. Bloccare le macro di Office provenienti da internet. Consentire l'esecuzione solo di programmi, script e librerie approvati. Usare l'MFA resistente al phishing ai livelli più alti. Testare il ripristino dei backup. Ogni requisito è un controllo ISM con un livello di maturità.

Quindi un controllo ISO e un controllo dell'Essential Eight di solito perseguono lo stesso risultato senza che l'uno soddisfi l'altro. Nei nostri dati questo appare come correlazione debole: condividono un risultato del NIST CSF 2.0, ma nessuno ha pubblicato un crosswalk, e il divario tra «gestire le vulnerabilità» e «applicare le patch entro la scadenza prevista» richiede lavoro reale.

Cosa significa in pratica

• Una certificazione ISO non dice nulla sulla maturità dell'Essential Eight. Un'organizzazione può essere certificata e trovarsi al livello di maturità zero sul controllo delle applicazioni.
• L'Essential Eight dà concretezza al tuo ISMS. Usarne i requisiti come standard di implementazione per i controlli corrispondenti dell'Allegato A (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) trasforma i controlli basati sul rischio dell'ISO in impostazioni specifiche e verificabili.
• L'ISMS offre all'Essential Eight una collocazione. La valutazione del rischio sceglie il livello di maturità obiettivo; l'audit interno lo verifica; il riesame della direzione monitora i progressi.

Punti chiave

• La maggior parte dei controlli dell'Essential Eight è solo debolmente correlata all'ISO 27001.
• Usa l'Essential Eight come standard di implementazione all'interno di un ISMS.

Un approccio pratico

1. Scegli un livello di maturità obiettivo dell'Essential Eight attraverso la valutazione del rischio ISO e registralo nella Dichiarazione di applicabilità (Statement of Applicability).
2. Inserisci nelle descrizioni dei controlli dell'Allegato A i requisiti dell'Essential Eight per quel livello.
3. Valuta con il processo di ASD e tratta le carenze come non conformità ISO con azioni correttive.
4. Usa le pagine delle strategie dell'Essential Eight per vedere ogni controllo per livello di maturità, e il report di gap analysis ISO 27001 → Essential Eight per l'elenco completo.

ASD non pubblica un crosswalk dall'Essential Eight all'ISO 27001, quindi ogni collegamento qui è un giudizio della Redazione di ControlMapping. La nostra guida all'Essential Eight spiega il modello di maturità e la valutazione.

Domande

La certificazione ISO 27001 significa che rispettiamo l'Essential Eight?

No. L'ISO 27001 richiede le stesse aree (patch, accessi, malware, backup) ma non le impostazioni specifiche, le tempistiche e i livelli di maturità dell'Essential Eight. Valuta la conformità con l'Essential Eight Assessment Process Guide di ASD.

Le organizzazioni australiane dovrebbero adottare l'ISO 27001 o l'Essential Eight?

Spesso entrambi: l'Essential Eight come baseline tecnica prioritaria, all'interno di un ISMS ISO 27001 che fornisce governance, gestione del rischio e certificazione.