オーストラリア国外の組織はEssential Eightを使うべきか？

オーストラリア国外では、Essential Eightの存在を知っているセキュリティチームは多いが、実際に使っているチームは少ない。オーストラリア信号局（Australian Signals Directorate）が公表し、オーストラリアの政府機関に義務付けられ、同国の規制当局や保険会社も参照しているため、地域限定の基準に見える。しかし8つの戦略の内容を読むと、オーストラリア固有のものは一つもない。アプリケーションとOSへのパッチ適用、多要素認証の利用、管理者権限の制限、実行可能なものの制御、Officeマクロの制限、ユーザー用アプリケーションの強化、定期的なバックアップ。これは普遍的な一覧である。

どの国でも検討する価値がある理由

• 優先順位が付けられている。 数百の管理策ではなく、8つの戦略である。何から手を付けるか決めようとしている小規模チームにとって、それ自体が価値を持つ。
• 具体的である。 ISO 27001が「技術的脆弱性を管理する」と述べている箇所で、Essential Eightは成熟度レベルごとにパッチ適用の期限を定めている。具体的な要件は実装しやすく、テストもしやすい。
• 実際の攻撃経路を狙っている。 現実の侵入の大きな割合の背後にある手口、すなわち悪意のある文書、未更新のインターネット公開システム、盗まれた認証情報、悪用された管理者権限、ランサムウェアを対象にしている。
• 無償で、継続的に保守されている。 ASDは成熟度モデルと基礎となるISM管理策を、オープンライセンスの下で定期的に更新している。

単独では不十分な理由

Essential Eightは技術的な基準であり、プログラムではない。ガバナンス、リスク管理、サプライヤー、インシデント対応計画、物理セキュリティには触れていない。当サイトのISO 27001との比較で示したとおり、これを実装しても、マネジメントシステム・フレームワークの大部分は手つかずのまま残る:

ISO 27001 の 123 件の附属書A の管理策およびISMSの箇条のうち、23 件（19%）は Essential Eight の何らかの項目にマッピングされ、39 件は緩やかに関連するのみで、61 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

他のフレームワークとの組み合わせ方

• ISO 27001と併用する場合: Essential Eightを、リスク対応を通じて選定した該当する附属書Aの管理策の実装基準として使う。
• NIST CSF 2.0と併用する場合: 関連する「防御する」成果について、ターゲットプロファイルで「達成」が何を意味するかを定義するために使う。
• CIS Controlsと併用する場合: どちらも技術的な基準である。CISはより広範であり、Essential Eightは8つのトピックについてより規範的である。多くのチームは、幅広さのためにCIS IG1を、パッチ適用、マクロ、アプリケーション制御の深さのためにEssential Eightを使っている。

実務での導入の進め方

オーストラリア国外の組織にとって、妥当な進め方は、Essential Eightを認証の目標ではなく、自己評価によるベンチマークとして扱うことである:

1. 8つの戦略すべてについて、成熟度レベル1で自己評価する。 短く具体的なリストであり、ギャップはすぐに見つかる。
2. 脅威プロファイルにとって最も重要なギャップを修正する。 通常は、インターネット公開システムのパッチ適用、MFA、マクロとアプリケーション制御である。
3. 既存のフレームワークに記録する。 ISO 27001の適用宣言書、NIST CSFのターゲットプロファイル、またはCIS Controlsの実装計画に記載する。
4. 脅威が正当化する場合は、レベル2に移行する。

これにあたって、ASDの関与やオーストラリアの評価者は必要ない。パッチ適用などの戦略ページには、各レベルの要件が記載されている。

要点

• Essential Eightの戦略は、その義務付けはオーストラリア国内のものであっても、普遍的である。
• 技術的な基準であり、プログラムではない。ガバナンスのフレームワークと組み合わせること。
• 成熟度レベル1での自己評価は、どこであっても迅速で有用な取り組みである。

私の見解

オーストラリア国外にいて、誰からも求められていないのであれば、Essential Eightに基づく評価を受ける必要はない。ただし、一読する価値はある。一般的な攻撃を実際に防ぐものが何かを、これほど明確に示す文書は少なく、「攻撃者を相手にしても脆弱性管理の管理策が機能するか」を試す、より良い基準もほとんどない。

Essential Eightガイドでは成熟度モデルを解説しており、アプリケーション制御などの各戦略ページでは、管理策をレベルごとに一覧で示している。

よくある質問

Essential Eightはオーストラリアの組織だけのものか？

ASDがオーストラリア向けに作成したもので、義務付けられるのはオーストラリア連邦政府の非法人コモンウェルス機関のみである。しかし、その指針は自由に入手でき、あらゆる組織に適用できる。

Essential EightはCIS Controlsとどう比較されるか？

どちらも優先順位付けされた技術的な基準である。CIS Controlsはより広範（18の管理策、153のセーフガード）である。Essential Eightはより狭いが、成熟度レベルごとに具体的な設定と期限を定めており、より規範的である。

Essential Eightの要件は変更されるか？

はい。ASDは成熟度モデルと基礎となるISM管理策を定期的に更新するため、評価の前に現行版を確認すること。