Cyber Essentials と Essential Eight の比較：2つの国家ベースラインを対比
どちらも簡潔で技術的であり、政府が支援しています。一方は5つの管理策を認証し、もう一方は8つの戦略を成熟度で評価します。一方に取り組むと、もう一方へもある程度近づけます。
英国とオーストラリアは、それぞれ一般的な攻撃の大半を防ぐための技術的管理策の短いリストを公表しています。英国の制度はCyber Essentialsで、国家サイバーセキュリティセンター（NCSC）が運営し、IASMEが実施を担っています。オーストラリアの制度はEssential Eightで、オーストラリア信号局（ASD）が策定しています。両者はしばしば並べて語られ、両国で事業を行う組織は当然の疑問を抱きます。一方を満たしていれば、もう一方にはどれだけ近づけるのか、と。
両者の構成
Cyber Essentialsは5つの技術的管理策を認証対象とします。ファイアウォール、セキュアな構成、セキュリティアップデートの管理、ユーザーアクセス制御、マルウェア対策です。現行要件であるバージョン3.3は、2026年4月27日から適用されます。認証には2つのレベルがあります。検証付きの自己評価と、実機による技術テストを加えたCyber Essentials Plusです。認証の有効期間は1年です。
Essential Eightは8つの緩和戦略（アプリケーションへのパッチ適用、OSへのパッチ適用、多要素認証、管理者権限の制限、アプリケーション制御、Officeマクロの制限、ユーザーアプリケーションの強化、定期的なバックアップ）からなり、それぞれ3段階の成熟度レベルのいずれかで実装されます。ControlMappingでは、ASDがそれらのレベルでタグ付けしている126 ISM統制をマッピングしています。認証制度はありません。組織は自己評価するか、評価を外部に依頼します。また2022年7月1日以降、Protective Security Policy Frameworkにより、オーストラリアの非法人型Commonwealthエンティティは、8つの戦略すべてを少なくとも成熟度レベル2まで実装することが求められています。
Essential Eight から Cyber Essentials へ
Cyber Essentials の 5 件の技術的統制のうち、4 件（80%）は Essential Eight の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →
| Cyber Essentials | 要件 | 一致 | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | 当サイトのデータにはマッピングがありません | — |
| CE 2 | Secure Configuration | 編集 | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | 編集 | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | 編集 | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | 編集 | ISM-0843ISM-1488ISM-1490ISM-1544 |
ほとんどのCyber Essentialsには、Essential Eightの対応項目があります。例外はファイアウォールです。Essential Eightのどの戦略も境界型またはホスト型のファイアウォールを扱っていないため、Essential Eightの取り組みではこの管理策は別途ご自身で対応する必要があります。
Cyber Essentials から Essential Eight へ
Essential Eight の 126 件のISM統制のうち、39 件（31%）は Cyber Essentials の何らかの項目にマッピングされ、72 件は緩やかに関連するのみで、15 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →
逆方向では、Cyber Essentialsが対象とするのはEssential Eightの一部に限られます。管理策は5つで、段階的な要件の長いリストに比べれば当然です。主なギャップは次のとおりです。
- 定期的なバックアップ。 Cyber Essentials バージョン3.3ではデータのバックアップの重要性を強調していますが、義務付けてはいません。バックアップはEssential Eightの8つの戦略の1つで、すべての成熟度レベルでリストアの検証が求められます。
- Officeマクロとユーザーアプリケーションの強化。 Cyber Essentialsのセキュアな構成管理策は、不要なソフトウェアの削除と自動実行の無効化を扱いますが、マクロやブラウザおよびPDFの強化には触れていません。
- 成熟度レベルと期限。 両者が同じことを求める場合、Essential Eightは上位レベルでより具体的な傾向があります。例えば、インターネット公開サービスの脆弱性にどれだけ速くパッチを適用すべきか、特権アクセスのログ取得と保護などです。
- インシデント報告。 Essential Eightの一部の管理策はサイバーセキュリティインシデントの報告を求めていますが、Cyber Essentialsにはインシデントに関する要件が一切ありません。
当サイトのデータでCyber Essentialsへのリンクがない要件は次のとおりです。
| Essential Eight | 要件 | 一致 | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | 当サイトのデータにはマッピングがありません | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | 当サイトのデータにはマッピングがありません | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | 当サイトのデータにはマッピングがありません | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | 当サイトのデータにはマッピングがありません | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | 当サイトのデータにはマッピングがありません | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | 当サイトのデータにはマッピングがありません | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | 当サイトのデータにはマッピングがありません | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | 当サイトのデータにはマッピングがありません | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | 当サイトのデータにはマッピングがありません | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | 当サイトのデータにはマッピングがありません | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | 当サイトのデータにはマッピングがありません | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | 当サイトのデータにはマッピングがありません | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | 当サイトのデータにはマッピングがありません | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | 当サイトのデータにはマッピングがありません | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | 当サイトのデータにはマッピングがありません | — |
一致点をトピック別に見る
| フレームワーク | パッチ管理 | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | トピックの定義 |
| ISO 27001 | A.8.8 | 対応表 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | 対応表 |
| SOC 2 | CC7.1 | 編集 |
| PCI DSS | 6.3.16.3.3 | 対応表 |
| CMMC | SI.L2-3.14.1 | 対応表 |
| 800-53 | SI-2 | 対応表 |
| HIPAA | — | |
| GDPR | — | 当サイトのデータにはマッピングがありません |
| NIS2 | 6.6 | 対応表 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | 編集 |
| DORA | Art.9(4)(f) | 編集 |
| CPS 234 | — | 当サイトのデータにはマッピングがありません |
| Cyber Essentials | CE 3 | 編集 |
各リンクの詳細と根拠： パッチ管理 のフレームワーク横断 →
| フレームワーク | 多要素認証 | リンク |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | トピックの定義 |
| ISO 27001 | A.8.5 | 対応表 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | 編集 |
| SOC 2 | CC6.1 | 編集 |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | 編集 |
| CMMC | IA.L2-3.5.3 | 対応表 |
| 800-53 | IA-2(1)IA-2(2) | 対応表 |
| HIPAA | — | |
| GDPR | — | 当サイトのデータにはマッピングがありません |
| NIS2 | 11.611.7 | 対応表 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | 編集 |
| DORA | Art.9(4)(d) | 編集 |
| CPS 234 | — | 当サイトのデータにはマッピングがありません |
| Cyber Essentials | CE 4 | 編集 |
各リンクの詳細と根拠： 多要素認証 のフレームワーク横断 →
パッチ適用と多要素認証は、最も明確な共通部分です。Cyber Essentialsは更新について単一のルールを定めています。重要度が高いおよびリスクの高い修正は14日以内に適用し、利用可能な場合は多要素認証を、クラウドサービスでは常に求めます。Essential Eightは成熟度レベルごとに異なる期限と多要素認証の適用範囲を定めています。
どちらを使うか
契約上どちらかが必要な場合は、契約が決めます。英国の政府調達ではCyber Essentialsが求められ、オーストラリアの政府機関はEssential Eightに基づいて業務を行います。自由に選べるなら、両者は組み合わせると効果的です。Cyber Essentialsは確かな最低限の水準について外部認証を提供します。Essential Eightは、Cyber Essentialsが含まない、バックアップやアプリケーション強化を含めてさらに進む道筋を与えます。両方に備えるなら、Essential Eightに沿って構築し、ファイアウォールのルールを追加し、パッチの期限を確認してください。Cyber Essentialsの14日ルールは重要度が高いおよびリスクの高いすべての更新に適用されるため、一部のソフトウェアでは下位の成熟度レベルより厳しくなる場合があります。
主なポイント
- Cyber Essentialsの大半はEssential Eightに対応します。ファイアウォールがギャップです。
- Cyber Essentialsが対象とするのはEssential Eightの一部のみです。バックアップ、マクロおよびアプリケーションの強化、成熟度レベルの詳細は追加で必要です。
- どちらの機関もマッピングを公表していません。ここのリンクは出発点として扱い、詳細は確認してください。
次に読むページ
Cyber EssentialsとEssential Eightのフレームワークページをご覧ください。ギャップ分析を実行すると、比較結果をトラッカーとして書き出せます。またはEssential Eightガイドをお読みください。
よくある質問
Cyber Essentials の認証を取得していれば Essential Eight を満たしますか？
いいえ。両者は、パッチ適用、多要素認証、管理者権限、アプリケーション制御の点で重なりますが、Essential Eightはさらに定期的なバックアップ、Officeマクロおよびアプリケーションの強化を求め、独自の期限を持つ成熟度レベルを定めています。Cyber Essentialsはファイアウォールも認証対象としますが、これはどのEssential Eightの戦略も扱っていません。
Essential Eight に認証制度はありますか？
Cyber Essentialsのような認証制度はありません。組織は、ASDの成熟度モデルに照らして自己評価するか、独立した評価を依頼します。Cyber Essentialsは、Cyber EssentialsとCyber Essentials Plusという2つのレベルを持つ認証です。
両者の間に公式のマッピングはありますか？
NCSCもASDも公表していません。ControlMappingのリンクは編集によるもので、それぞれに理由を示しています。
データ基準日：2026-10-27。本記事の数値は現行の対応表から算出しており、対応表が更新されると数値も更新されます。 対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 準拠に関する助言ではありません。
関連記事
分析 · 2026-10-27APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件ISO 27001のISMSは、APRAのCPS 234のほぼすべての段落をカバーしています。しかしAPRAは、取締役会の責務、第三者による保証、厳格な通知期限を追加しています。
分析 · 2026-10-27DORA対NIS2：NIS2プログラムで既にカバーされている範囲DORAとNIS2はセキュリティ要件の大半を共有していますが、DORAは情報登録簿、契約条件、脅威ベースのテストを追加しています。条文ごとに、何を引き継げるかを示します。
分析 · 2026-10-1311のセキュリティフレームワークにおけるMFA要件の比較どのフレームワークがMFAを、誰に対して、どの程度厳格に求めているか。PCI DSS、CMMC、NIS2、Essential Eight、ISO 27001、SOC 2、HIPAAを並べて比較します。