Confronto
Essential Eight vs ISO 27001: una baseline tecnica vs un intero programma di sicurezza
ISO/IEC 27001:2022 · ASD Essential Eight · dati al 2026-10-27
L'Essential Eight dell'Australian Signals Directorate è un insieme prioritizzato di otto strategie di mitigazione (applicazione di patch ad applicazioni e sistemi operativi, autenticazione a più fattori, limitazione dei privilegi amministrativi, controllo delle applicazioni, limitazione delle macro di Microsoft Office, hardening delle applicazioni utente e backup regolari), ciascuna definita ai Livelli di Maturità da Uno a Tre da controlli specifici del Information Security Manual (ISM). Le entità del Governo australiano devono implementarlo nell'ambito del Protective Security Policy Framework, e ci si aspetta ampiamente che lo richiedano ai propri fornitori.
ISO/IEC 27001 è un sistema di gestione completo, riconosciuto a livello internazionale e certificabile. I due non sono alternativi. L'Essential Eight è una baseline tecnica focalizzata sulla prevenzione delle intrusioni e sulla limitazione del loro impatto, mentre ISO 27001 è un framework per gestire l'intera sicurezza delle informazioni.
Passando da ISO all'Essential Eight, ogni controllo E8 risulta mappato o debolmente correlato. Però molti sono solo debolmente correlati, perché i controlli di ASD sono molto più specifici dell'Annex A. ISO prescrive di gestire le vulnerabilità tecniche; l'Essential Eight prescrive di applicare le patch ai servizi esposti su internet entro 48 ore quando esiste un exploit, e specifica come devono essere configurate le macro di Office, i browser e PowerShell a ciascun livello di maturità. Aspettatevi un lavoro tecnico concreto, soprattutto a ML2 e ML3.
Passando dall'Essential Eight a ISO, gran parte di ISO non trova corrispondenze: governance, gestione dei fornitori, controlli legali e di conformità, sicurezza fisica, controlli sulle persone e lo stesso ISMS sono al di fuori dell'ambito dell'Essential Eight. ASD non pubblica alcun crosswalk tra i due, quindi le corrispondenze Essential Eight indicate qui sono a cura della Redazione di ControlMapping.
Punti chiave
- Usate l'Essential Eight per definire obiettivi tecnici concreti all'interno di un ISMS ISO 27001.
- Scegliete un livello di maturità obiettivo per ciascuna strategia; ML2 è l'aspettativa comune per i lavori con la Pubblica Amministrazione.
- La conformità all'Essential Eight non è certificabile; le valutazioni seguono la guida al processo di valutazione dell'Essential Eight di ASD.
Hai ISO 27001 → ti serve Essential Eight
126 req. 57 mappati · · 0 senza mappatura Apri in vista dei gap →Dei 126 requisiti di ASD Essential Eight, 57 corrispondono a qualcosa in ISO 27001, 69 sono solo debolmente correlati e 0 non hanno mappature nei nostri dati.
Essential Eight qui indica i controlli ISM che ASD associa ai Maturity Level da Uno a Tre; ogni riga mostra i relativi livelli (ML1–ML3). ASD non pubblica alcun crosswalk verso altri framework, quindi ogni corrispondenza è una valutazione editoriale di ControlMapping.
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (69)
| Essential Eight | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | A.5.9A.8.7A.8.8 | Condivide solo le sottocategorie CSF PR.PS-02, ID.RA-01: correlato, non una mappatura | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | A.5.9A.8.1A.8.7+1 | Condivide solo le sottocategorie CSF PR.PS-02, PR.PS-03: correlato, non una mappatura | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | A.5.15A.5.16A.5.17+2 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | A.5.1A.5.3A.5.14+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | A.8.1A.8.7A.8.19 | Condivide solo le sottocategorie CSF PR.PS-05: correlato, non una mappatura | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | A.8.1A.8.7A.8.19 | Condivide solo le sottocategorie CSF PR.PS-05: correlato, non una mappatura | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | A.8.1A.8.7A.8.19 | Condivide solo le sottocategorie CSF PR.PS-05: correlato, non una mappatura | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | A.8.1A.8.7A.8.19 | Condivide solo le sottocategorie CSF PR.PS-05: correlato, non una mappatura | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | A.8.1A.8.7A.8.19 | Condivide solo le sottocategorie CSF PR.PS-05: correlato, non una mappatura | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | A.6.7A.8.1A.8.7+4 | Condivide solo le sottocategorie CSF PR.PS-01, PR.PS-05: correlato, non una mappatura | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | A.6.7A.8.8A.8.9+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | A.8.13 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03: correlato, non una mappatura | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | A.8.13 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03: correlato, non una mappatura | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | A.8.13 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03: correlato, non una mappatura | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | A.8.13 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03: correlato, non una mappatura | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | A.8.13 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03: correlato, non una mappatura | |
Mappato (57)
| Essential Eight | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | Redazione | A.8.8 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | Redazione | A.8.8 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | Redazione | A.5.9A.5.11A.7.14+1 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | Redazione | A.8.8 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | Redazione | A.8.8 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | Redazione | A.8.8 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | Redazione | A.8.8 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | Redazione | A.8.15A.8.17 | Stesso argomento: Logging e audit (selezione della redazione) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | Redazione | A.8.5 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | Redazione | A.8.15A.8.17 | Stesso argomento: Logging e audit (selezione della redazione) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | Redazione | A.8.2A.8.18 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | Redazione | A.8.15A.8.17 | Stesso argomento: Logging e audit (selezione della redazione) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | Redazione | A.8.1A.8.7A.8.19 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | Redazione | A.5.14A.8.1A.8.7+1 | Stesso argomento: Sicurezza della posta elettronica, Protezione degli endpoint (selezione della redazione) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | Redazione | A.8.15A.8.17 | Stesso argomento: Logging e audit (selezione della redazione) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | Redazione | A.8.9 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | Redazione | A.8.13 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | Redazione | A.5.30A.8.13A.8.14 | Stesso argomento: Disaster Recovery, Backup e ripristino (selezione della redazione) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | Redazione | A.8.13 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | Redazione | A.8.13 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | Redazione | A.8.13 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | Redazione | A.8.13 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | Redazione | A.8.16 | Stesso argomento: Monitoraggio continuo (selezione della redazione) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | Redazione | A.5.5A.6.8 | Stesso argomento: Segnalazione (selezione della redazione) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | Redazione | A.5.5A.6.8 | Stesso argomento: Segnalazione (selezione della redazione) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | Redazione | A.5.25A.8.16 | Stesso argomento: SIEM / SOC, Rilevamento delle anomalie (selezione della redazione) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | Redazione | A.8.15A.8.17 | Stesso argomento: Logging e audit (selezione della redazione) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | Redazione | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | Redazione | A.5.25A.8.16 | Stesso argomento: SIEM / SOC, Monitoraggio continuo (selezione della redazione) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | Redazione | A.8.16 | Stesso argomento: Monitoraggio continuo (selezione della redazione) |
Hai Essential Eight → ti serve ISO 27001
123 req. 23 mappati · · 61 senza mappatura Apri in vista dei gap →Dei 123 requisiti di ISO/IEC 27001:2022, 23 corrispondono a qualcosa in Essential Eight, 39 sono solo debolmente correlati e 61 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di ISO 27001 senza mappature verso Essential Eight (61)
| ISO 27001 | Requisito | Corrispondenza | Essential Eight | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.2 | Information security roles and responsibilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.4 | Management responsibilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.6 | Contact with special interest groups | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.7 | Threat intelligence | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.20 | Addressing information security within supplier agreements | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.21 | Managing information security in the ICT supply chain | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.23 | Information security for use of cloud services | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.32 | Intellectual property rights | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.33 | Protection of records | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.34 | Privacy and protection of PII | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.35 | Independent review of information security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.36 | Compliance with policies, rules and standards for information security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.5.37 | Documented operating procedures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.6.4 | Disciplinary process | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.6.6 | Confidentiality or non-disclosure agreements | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.2 | Physical entry | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.3 | Securing offices, rooms and facilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.5 | Protecting against physical and environmental threats | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.6 | Working in secure areas | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.7 | Clear desk and clear screen | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.8 | Equipment siting and protection | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.9 | Security of assets off-premises | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.11 | Supporting utilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.7.12 | Cabling security | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8 Technological controls · 13 | ||||
| A.8.10 | Information deletion | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.11 | Data masking | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.12 | Data leakage prevention | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.21 | Security of network services | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.23 | Web filtering | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.25 | Secure development life cycle | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.28 | Secure coding | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.29 | Security testing in development and acceptance | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.30 | Outsourced development | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.31 | Separation of development, test and production environments | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.32 | Change management | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.33 | Test information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| A.8.34 | Protection of information systems during audit testing | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| ISMS clauses 4–10 · 21 | ||||
| Clause 4.1 | Understanding the organization and its context | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 4.3 | Determining the scope of the ISMS | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 4.4 | Information security management system | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 5.1 | Leadership and commitment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 6.1.3 | Information security risk treatment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 6.2 | Information security objectives and planning to achieve them | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 6.3 | Planning of changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.1 | Resources | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.2 | Competence | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.3 | Awareness | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.5.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.5.2 | Creating and updating | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 7.5.3 | Control of documented information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 8.1 | Operational planning and control | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 8.2 | Information security risk assessment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 8.3 | Information security risk treatment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 9.2.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 9.2.2 | Internal audit programme | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 10.1 | Continual improvement | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
| Clause 10.2 | Nonconformity and corrective action | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso Essential Eight nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (39)
| ISO 27001 | Requisito | Corrispondenza | Essential Eight | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 15 | ||||
| A.5.1 | Policies for information security | ISM-0445ISM-1175ISM-1380+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.5.3 | Segregation of duties | ISM-0445ISM-1175ISM-1380+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.5.8 | Information security in project management | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.5.10 | Acceptable use of information and other associated assets | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.5.12 | Classification of information | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.5.13 | Labelling of information | ISM-1488ISM-1807 | Condivide solo le sottocategorie CSF PR.DS-02, ID.AM-08: correlato, non una mappatura | |
| A.5.15 | Access control | ISM-0445ISM-0974ISM-1173+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.AA-03: correlato, non una mappatura | |
| A.5.16 | Identity management | ISM-0445ISM-0974ISM-1173+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.AA-03: correlato, non una mappatura | |
| A.5.17 | Authentication information | ISM-0445ISM-0974ISM-1173+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.AA-03: correlato, non una mappatura | |
| A.5.18 | Access rights | ISM-0445ISM-0974ISM-1173+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.AA-03: correlato, non una mappatura | |
| A.5.19 | Information security in supplier relationships | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.5.22 | Monitoring, review and change management of supplier services | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-04, ID.AM-08: correlato, non una mappatura | |
| A.5.27 | Learning from information security incidents | ISM-1819 | Condivide solo le sottocategorie CSF ID.IM-04, RS.MA-01, RS.MA-02: correlato, non una mappatura | |
| A.5.28 | Collection of evidence | ISM-1819 | Condivide solo le sottocategorie CSF RS.MA-01, RS.MA-02: correlato, non una mappatura | |
| A.5.29 | Information security during disruption | ISM-1515 | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.6.2 | Terms and conditions of employment | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.6.5 | Responsibilities after termination or change of employment | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.6.7 | Remote working | ISM-0445ISM-1175ISM-1380+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.7 Physical controls · 3 | ||||
| A.7.4 | Physical security monitoring | ISM-0109ISM-1906ISM-1907 | Condivide solo le sottocategorie CSF DE.CM-03: correlato, non una mappatura | |
| A.7.10 | Storage media | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.7.13 | Equipment maintenance | ISM-1807 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| A.8 Technological controls · 8 | ||||
| A.8.3 | Information access restriction | ISM-0445ISM-1175ISM-1380+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.8.4 | Access to source code | ISM-0445ISM-1175ISM-1380+5 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| A.8.6 | Capacity management | ISM-0109ISM-0843ISM-1228+5 | Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura | |
| A.8.20 | Networks security | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.8.22 | Segregation of networks | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.8.24 | Use of cryptography | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.8.26 | Application security requirements | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| A.8.27 | Secure system architecture and engineering principles | ISM-1515 | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | ISM-1488ISM-1515 | Condivide solo le sottocategorie CSF PR.DS-02, PR.IR-03: correlato, non una mappatura | |
| Clause 5.2 | Policy | ISM-1488 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| Clause 6.1.1 | General | ISM-1515 | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| Clause 6.1.2 | Information security risk assessment | ISM-1698ISM-1699ISM-1701+3 | Condivide solo le sottocategorie CSF ID.RA-08: correlato, non una mappatura | |
| Clause 7.4 | Communication | ISM-0123ISM-0140 | Condivide solo le sottocategorie CSF RS.CO-02: correlato, non una mappatura | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | ISM-0109ISM-1906ISM-1907 | Condivide solo le sottocategorie CSF DE.CM-03: correlato, non una mappatura | |
| Clause 9.3.1 | General | ISM-1412ISM-1485ISM-1486+5 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.2 | Management review inputs | ISM-1412ISM-1485ISM-1486+5 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.3 | Management review results | ISM-1412ISM-1485ISM-1486+5 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
Mappato (23)
| ISO 27001 | Requisito | Corrispondenza | Essential Eight | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.5 | Contact with authorities | Redazione | ISM-0123ISM-0140 | Stesso argomento: Segnalazione (selezione della redazione) |
| A.5.9 | Inventory of information and other associated assets | Redazione | ISM-1807 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.5.11 | Return of assets | Redazione | ISM-1807 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.5.14 | Information transfer | Redazione | ISM-1488 | Stesso argomento: Sicurezza della posta elettronica (selezione della redazione) |
| A.5.24 | Information security incident management planning and preparation | Redazione | ISM-1819 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| A.5.25 | Assessment and decision on information security events | Redazione | ISM-1228ISM-1819ISM-1906 | Stesso argomento: SIEM / SOC, Gestione degli incidenti (selezione della redazione) |
| A.5.26 | Response to information security incidents | Redazione | ISM-1819 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| A.5.30 | ICT readiness for business continuity | Redazione | ISM-1515 | Stesso argomento: Disaster Recovery (selezione della redazione) |
| A.6 People controls · 1 | ||||
| A.6.8 | Information security event reporting | Redazione | ISM-0123ISM-0140 | Stesso argomento: Segnalazione (selezione della redazione) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | Redazione | ISM-1807 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | Redazione | ISM-0843ISM-1488ISM-1490+3 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| A.8.2 | Privileged access rights | Redazione | ISM-0445ISM-1175ISM-1380+5 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| A.8.5 | Secure authentication | Redazione | ISM-0974ISM-1173ISM-1401+3 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| A.8.7 | Protection against malware | Redazione | ISM-0843ISM-1488ISM-1490+3 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| A.8.8 | Management of technical vulnerabilities | Redazione | ISM-1501ISM-1691ISM-1693+10 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| A.8.9 | Configuration management | Redazione | ISM-1412ISM-1585ISM-1621+3 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| A.8.13 | Information backup | Redazione | ISM-1511ISM-1515ISM-1707+3 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| A.8.14 | Redundancy of information processing facilities | Redazione | ISM-1515 | Stesso argomento: Disaster Recovery (selezione della redazione) |
| A.8.15 | Logging | Redazione | ISM-1509ISM-1623ISM-1660+2 | Stesso argomento: Logging e audit (selezione della redazione) |
| A.8.16 | Monitoring activities | Redazione | ISM-0109ISM-1228ISM-1906+1 | Stesso argomento: Monitoraggio continuo, Rilevamento delle anomalie, SIEM / SOC (selezione della redazione) |
| A.8.17 | Clock synchronization | Redazione | ISM-1509ISM-1623ISM-1660+2 | Stesso argomento: Logging e audit (selezione della redazione) |
| A.8.18 | Use of privileged utility programs | Redazione | ISM-0445ISM-1175ISM-1380+5 | Stesso argomento: Accesso privilegiato (selezione della redazione) |
| A.8.19 | Installation of software on operational systems | Redazione | ISM-0843ISM-1488ISM-1490+3 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
Per tema
Coperti da entrambi (16):
Gestione degli assetGestione delle vulnerabilitàAutenticazione a più fattoriBackup e ripristinoAccesso privilegiatoProtezione degli endpointGestione delle patchConfigurazione sicuraSicurezza della posta elettronicaMonitoraggio continuoLogging e auditRilevamento delle anomalieSIEM / SOCGestione degli incidentiSegnalazioneDisaster Recovery
Solo ISO 27001 (34):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàRisk AssessmentContesto aziendaleClassificazione dei datiThreat IntelligenceControllo degli accessiCrittografiaProtezione dei datiFirewall / Segmentazione di reteSviluppo sicuroSicurezza webZero TrustSicurezza mobileSicurezza del cloudSicurezza DNSWAFDLPIntrusion DetectionAnalisi forenseComunicazioneMitigazionePianificazione del ripristinoContinuità operativaLezioni appreseComunicazioni e ripristinoSicurezza delle APIMinaccia internaGestione del rischio dei fornitoriSicurezza fisica
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.