Essential Eight: una guida pratica
Per Paul Gillet · Aggiornato il 2026-10-17
The Essential Eight è la baseline dell'Australian Signals Directorate (ASD) composta da otto strategie di mitigazione contro i attacchi informatici più comuni. ASD la pubblica insieme a un Modello di maturità che definisce cosa richiede ciascuna strategia ai Livelli di maturità Uno, Due e Tre; i requisiti stessi sono controlli contenuti nell'Information Security Manual (ISM) di ASD.
Le otto strategie
- Applicare le patch alle applicazioni: individuare e correggere le vulnerabilità delle applicazioni e rimuovere quelle non più supportate.
- Applicare le patch ai sistemi operativi: lo stesso per sistemi operativi, driver e firmware.
- Autenticazione a più fattori: per servizi online, accesso remoto, utenti privilegiati e, ai livelli più alti, repository di dati, con metodi più robusti (resistenti al phishing) man mano che aumentano i livelli.
- Limitare i privilegi amministrativi: concedere, verificare e registrare l'accesso privilegiato e separare gli ambienti privilegiati.
- Controllo delle applicazioni: possono essere eseguiti solo programmi, script, installer e librerie approvati.
- Limitare le macro di Microsoft Office: bloccare le macro provenienti da internet e consentire solo quelle attendibili.
- Irrobustimento delle applicazioni utente: irrobustire browser, software Office e PDF e limitare PowerShell.
- Backup regolari: eseguire il backup di dati importanti, software e impostazioni, testare il ripristino e proteggere i backup da modifiche e cancellazioni.
Livelli di maturità
Ogni livello è pensato per un avversario più capace. Il Livello Uno blocca gli attaccanti opportunistici che usano strumenti di uso comune. Il Livello Due blocca gli avversari disposti a investire più tempo e impegno. Il Livello Tre blocca gli avversari adattivi, meno dipendenti dagli strumenti pubblici. ASD raccomanda di raggiungere lo stesso livello in tutte e otto le strategie prima di portarne una più in alto e di scegliere un livello obiettivo in base al proprio contesto di minaccia.
Chi deve implementarlo
Le entità del Commonwealth non societarie del Governo australiano devono implementare l'Essential Eight nell'ambito del Protective Security Policy Framework, con il Livello di maturità Due come obiettivo. Molti governi statali, aziende regolamentate e assicuratori cyber in Australia lo richiedono anch'essi. Per tutti gli altri è una baseline tecnica prioritizzata e ampiamente collaudata.
Come funziona la valutazione
Non esiste un certificato Essential Eight. Le valutazioni seguono l'Essential Eight Assessment Process Guide di ASD e possono essere svolte internamente o da un valutatore di terze parti. Ogni strategia viene valutata separatamente e una strategia raggiunge un livello solo quando sono soddisfatti tutti i requisiti di quel livello e di quelli inferiori. La qualità delle evidenze conta: testare direttamente un controllo è la prova più forte, verificare una configurazione è buono, la documentazione è più debole e la sola intervista è la più debole.
I passaggi
- Scegliere un livello di maturità obiettivo per l'organizzazione, di solito il Livello Due come punto di partenza.
- Valutare il livello attuale per ciascuna strategia, usando test a livello di sistema dove possibile.
- Dare priorità alle lacune, portando prima tutte le strategie allo stesso livello.
- Implementare e documentare con evidenze i controlli, registrando le eccezioni con controlli compensativi e un responsabile.
- Rivalutare regolarmente: il patching e i controlli sui privilegi degradano rapidamente.
L'Essential Eight e gli altri framework
ISO 27001 e NIST CSF descrivono gli obiettivi; l'Essential Eight prescrive impostazioni tecniche specifiche e tempi precisi. Quindi la maggior parte dei controlli dell'Essential Eight è solo correlata debolmente ai requisiti ISO o NIST: questi framework chiedono di gestire le vulnerabilità o di controllare gli accessi, ma non di bloccare le macro provenienti da internet o di applicare le patch entro un termine stabilito. ASD non pubblica alcun crosswalk, quindi ogni collegamento all'Essential Eight su questo sito è un giudizio editoriale di ControlMapping, con la relativa motivazione.
Come questo sito aiuta
ControlMapping elenca i controlli ISM che ASD associa all'Essential Eight, raggruppati per strategia con i relativi livelli di maturità, a partire da una release ISM fissata (CC BY 4.0). La tabella seguente mostra quanta parte dell'Essential Eight è già coperta dai framework che si utilizzano; è probabile che la copertura sia modesta, ed è proprio questo il punto dell'Essential Eight.
Hai già un altro framework?
Quanti requisiti di Essential Eight corrispondono a ciascun framework che potresti già seguire. Apri un report dei gap per l'elenco requisito per requisito.
| Se hai già | Essential Eight requisiti mappati | Solo correlazione debole | Nessuna mappatura | |
|---|---|---|---|---|
| NIST CSF 2.0 | 57 di 126 | 69 | 0 | report sul gap → · confronto |
| ISO 27001 | 57 di 126 | 69 | 0 | report sul gap → · confronto |
| CIS v8.1 | 57 di 126 | 69 | 0 | report sul gap → |
| SOC 2 | 57 di 126 | 69 | 0 | report sul gap → |
| PCI DSS | 57 di 126 | 69 | 0 | report sul gap → |
| CMMC | 57 di 126 | 69 | 0 | report sul gap → |
| 800-53 | 57 di 126 | 69 | 0 | report sul gap → |
| NIS2 | 57 di 126 | 69 | 0 | report sul gap → |
| DORA | 45 di 126 | 76 | 5 | report sul gap → |
| Cyber Essentials | 39 di 126 | 72 | 15 | report sul gap → |
| HIPAA | 30 di 126 | 96 | 0 | report sul gap → |
| GDPR | 15 di 126 | 82 | 29 | report sul gap → |
| CPS 234 | 9 di 126 | 28 | 89 | report sul gap → |
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. I conteggi derivano dagli stessi dati di analisi del gap; una mappatura indica requisiti correlati, non la prova che l'uno soddisfi l'altro.
Domande
L'Essential Eight è obbligatorio?
Per le entità del Commonwealth non societarie del Governo australiano sì, nell'ambito del Protective Security Policy Framework. Per le altre organizzazioni è volontario, anche se clienti, autorità di regolamentazione e assicuratori possono richiederlo.
Quale livello di maturità dovremmo puntare a raggiungere?
ASD suggerisce di scegliere un livello in base al proprio contesto di minaccia e di raggiungerlo in tutte e otto le strategie prima di andare oltre. Il Livello Due è il primo obiettivo più comune.
Esiste una certificazione Essential Eight?
No. Le organizzazioni vengono valutate rispetto all'Essential Eight Assessment Process Guide di ASD, internamente o da valutatori di terze parti, ma non viene rilasciato alcun certificato.
Non costituisce consulenza legale o di conformità. Verifica il testo ufficiale e confrontati con il tuo auditor, valutatore o ente regolatore prima di farvi affidamento.