Essential Eight実践ガイド

Paul Gillet 別 · 更新日 2026-10-17

Essential Eightは、オーストラリア信号局（ASD）が、最も一般的なサイバー攻撃への対策として定めた8つの緩和戦略の基準です。ASDは、各戦略が成熟度レベル1、2、3でそれぞれ何を求めるかを示した成熟度モデルを公表しており、その要件自体は、ASDの情報セキュリティマニュアル（ISM）における管理策となっています。

8つの戦略

• アプリケーションのパッチ適用：アプリケーションの脆弱性を発見して修正し、サポートが終了したものは削除します。
• オペレーティングシステムのパッチ適用：オペレーティングシステム、ドライバー、ファームウェアについても同様に行います。
• 多要素認証：オンラインサービス、リモートアクセス、特権ユーザー、さらに上位レベルではデータリポジトリを対象とし、レベルが上がるにつれて、より強固な（フィッシング耐性のある）方式を求めます。
• 管理者権限の制限：特権アクセスの付与、レビュー、ログ記録を行い、特権環境を分離します。
• アプリケーション制御：承認されたプログラム、スクリプト、インストーラー、ライブラリのみ実行できるようにします。
• Microsoft Officeマクロの制限：インターネット由来のマクロをブロックし、信頼されたマクロのみを許可します。
• ユーザーアプリケーションの強化：ブラウザ、Office、PDFソフトウェアを強化し、PowerShellを制限します。
• 定期的なバックアップ：重要なデータ、ソフトウェア、設定をバックアップし、復元をテストするとともに、バックアップを変更や削除から保護します。

成熟度レベル

各レベルは、より高度な攻撃者を想定しています。レベル1は、汎用ツールを使う日和見的な攻撃者を阻止します。レベル2は、より多くの時間と労力をかける意思のある攻撃者を阻止します。レベル3は、公開ツールへの依存度が低い適応型の攻撃者を阻止します。ASDは、いずれかの戦略をより高いレベルに引き上げる前に、8つすべての戦略で同じレベルに到達することを推奨しており、目標レベルは脅威環境に応じて選ぶよう勧めています。

実装が必要な対象

オーストラリア政府の非法人連邦機関は、保護セキュリティポリシーフレームワークに基づき、レベル2を目標としてEssential Eightを実装する必要があります。オーストラリアの多くの州政府、規制対象の事業者、サイバー保険会社も、これを求めています。それ以外の組織にとっては、十分に検証された優先度の高い技術的基準です。

評価の進め方

Essential Eightの認証制度はありません。評価は、ASDのEssential Eight評価プロセスガイドに従って、社内または第三者の評価者によって実施できます。各戦略は個別に評価され、その戦略は、そのレベルおよびそれ以下のすべての要件を満たした場合にのみ、そのレベルに到達したとみなされます。証拠の質が重要であり、管理策を直接テストすることが最も強力な証拠であり、構成の確認は有効、文書は弱く、インタビューのみは最も弱い証拠となります。

手順

1. 組織の目標成熟度レベルを選定します。通常は、レベル2から始めます。
2. 各戦略の現在のレベルを評価します。可能な場合はシステムレベルのテストを用います。
3. ギャップの優先順位を付けます。まず、すべての戦略を同じレベルまで引き上げます。
4. 管理策を実装し、証跡を残します。例外が生じた場合は、代替管理策と責任者を記録します。
5. 定期的に再評価します。パッチ適用と特権管理は、急速に状態が劣化しやすいためです。

Essential Eightとその他のフレームワーク

ISO 27001とNIST CSFは成果を記述するのに対し、Essential Eightは具体的な技術設定と期限を規定します。そのため、Essential Eightの管理策の多くは、ISOまたはNISTの要件に緩やかに関連するにとどまります。これらのフレームワークは脆弱性の管理やアクセス制御を求めますが、インターネット由来のマクロをブロックすることや、一定期間内にパッチを適用することまでは求めていません。ASDは対応表を公表していないため、当サイトにあるEssential Eightのリンクはすべて、その理由を付したうえでControlMappingの編集上の判断によるものです。

当サイトの活用方法

ControlMappingは、ASDがEssential Eightに対応するものとしてタグ付けしたISM管理策を、戦略ごとに成熟度レベルとともに一覧化しています。これは固定されたISMのリリース（CC BY 4.0）に基づきます。以下の表は、既存のフレームワークがEssential Eightのどの程度をすでにカバーしているかを示しています。その範囲は限定的であることが多いですが、それがEssential Eightの狙いです。

別のフレームワークもお持ちですか？

すでに従っている可能性のあるフレームワークの要求事項が、Essential Eight の要求事項にいくつ対応するかを示しています。要求事項ごとの一覧は、ギャップレポートを開いてご確認ください。

対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 件数は ギャップ分析 と同じデータに基づきます。マッピングとは関連する要求事項があることを意味し、一方が他方を満たしていることを証明するものではありません。

よくある質問

Essential Eightは必須ですか？

オーストラリア政府の非法人連邦機関については、保護セキュリティポリシーフレームワークに基づき必須です。それ以外の組織にとっては任意ですが、顧客、規制当局、保険会社が要求する場合があります。

どの成熟度レベルを目指すべきですか？

ASDは、脅威環境に応じてレベルを選び、さらに進む前に8つのすべての戦略でそのレベルに到達することを推奨しています。通常の最初の目標はレベル2です。

Essential Eightの認証制度はありますか？

いいえ。組織はASDのEssential Eight評価プロセスガイドに基づき、社内または第三者の評価者によって評価されますが、認証書は発行されません。

法律または準拠に関する助言ではありません。利用に先立ち、正式な原文と、監査人、評価者、規制当局にご確認ください。