Cyber Essentials 대 Essential Eight: 두 국가 기준선 비교
두 기준 모두 짧고 기술적이며 정부가 뒷받침합니다. 하나는 다섯 가지 통제를 인증하고, 다른 하나는 여덟 가지 전략을 성숙도 기준으로 평가합니다. 한쪽을 갖추면 다른 쪽에도 일정 부분 가까워집니다.
영국과 호주는 각각 흔한 공격의 대부분을 막는 기술 통제의 짧은 목록을 발행합니다. 영국의 기준은 Cyber Essentials이며, National Cyber Security Centre가 운영하고 IASME가 제공합니다. 호주의 기준은 Australian Signals Directorate가 발행한 Essential Eight입니다. 두 기준은 종종 함께 언급되며, 두 국가에서 사업을 하는 조직들은 자연스럽게 묻습니다. 한쪽을 갖추었다면 다른 쪽에 얼마나 가까워지는가?
기준의 구성 방식
Cyber Essentials는 방화벽, 보안 구성, 보안 업데이트 관리, 사용자 접근 통제, 악성코드 방어라는 다섯 가지 기술 통제를 인증합니다. 현재 요구사항인 버전 3.3은 2026년 4월 27일부터 적용됩니다. 인증에는 두 가지 수준이 있습니다. 검증된 자가 평가와, 직접 기술 테스트를 추가한 Cyber Essentials Plus입니다. 인증서의 유효 기간은 1년입니다.
Essential Eight는 여덟 가지 완화 전략(애플리케이션 패치, 운영체제 패치, 다요소 인증, 관리 권한 제한, 애플리케이션 통제, Office 매크로 제한, 사용자 애플리케이션 강화, 정기 백업)의 집합이며, 각 전략은 세 가지 성숙도 수준 중 하나로 구현됩니다. ControlMapping은 ASD가 해당 수준으로 태그한 126 ISM 통제항목를 매핑합니다. 인증 제도는 없습니다. 조직은 스스로 평가하거나 평가를 의뢰합니다. 또한 2022년 7월 1일부터 Protective Security Policy Framework는 호주의 비법인 Commonwealth 기관이 여덟 가지 전략을 최소 Maturity Level Two까지 구현하도록 요구하고 있습니다.
Essential Eight에서 Cyber Essentials로
Cyber Essentials의 기술적 통제 5개 중 4개(80%)는 Essential Eight의 항목에 대응되고, 0개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →
| Cyber Essentials | 요구사항 | 일치 | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | 보유 데이터에 매핑 없음 | — |
| CE 2 | Secure Configuration | 편집 콘텐츠 | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | 편집 콘텐츠 | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | 편집 콘텐츠 | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | 편집 콘텐츠 | ISM-0843ISM-1488ISM-1490ISM-1544 |
대부분의 Cyber Essentials 통제에는 Essential Eight의 대응 항목이 있습니다. 예외는 방화벽입니다. Essential Eight 전략 중 경계 또는 호스트 방화벽을 다루는 것은 없으므로, Essential Eight 프로그램만으로는 이 통제를 직접 챙겨야 합니다.
Cyber Essentials에서 Essential Eight로
Essential Eight의 ISM 통제항목 126개 중 39개(31%)는 Cyber Essentials의 항목에 대응되고, 72개는 느슨하게만 관련되며, 15개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →
반대 방향으로 보면, Cyber Essentials는 Essential Eight의 일부만 다룹니다. 다섯 가지 통제에 비해 요구사항이 훨씬 많고 성숙도별로 나뉘어 있으니 놀라운 일은 아닙니다. 가장 큰 격차는 다음과 같습니다.
- 정기 백업. Cyber Essentials 버전 3.3은 데이터 백업의 중요성을 강조하지만 이를 요구하지는 않습니다. 백업은 여덟 가지 전략 중 하나이며, 모든 성숙도 수준에서 복원 테스트가 필요합니다.
- Office 매크로와 사용자 애플리케이션 강화. Cyber Essentials의 보안 구성 통제는 불필요한 소프트웨어를 제거하고 자동 실행을 비활성화하지만, 매크로나 브라우저 및 PDF 강화는 다루지 않습니다.
- 성숙도 수준과 기한. 두 기준이 같은 내용을 요구할 때, Essential Eight는 대개 상위 수준에서 더 구체적입니다. 예를 들어 인터넷에 노출된 서비스의 취약점을 얼마나 빨리 패치해야 하는지, 그리고 특권 접근에 대한 로깅과 보호 방식이 그렇습니다.
- 사고 보고. 일부 Essential Eight 통제는 사이버 보안 사고 보고를 요구하지만, Cyber Essentials에는 사고 관련 요구사항이 전혀 없습니다.
보유 데이터에서 Cyber Essentials와 연결되지 않은 요구사항은 다음과 같습니다.
| Essential Eight | 요구사항 | 일치 | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | 보유 데이터에 매핑 없음 | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | 보유 데이터에 매핑 없음 | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | 보유 데이터에 매핑 없음 | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | 보유 데이터에 매핑 없음 | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | 보유 데이터에 매핑 없음 | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | 보유 데이터에 매핑 없음 | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | 보유 데이터에 매핑 없음 | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | 보유 데이터에 매핑 없음 | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | 보유 데이터에 매핑 없음 | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | 보유 데이터에 매핑 없음 | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | 보유 데이터에 매핑 없음 | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | 보유 데이터에 매핑 없음 | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | 보유 데이터에 매핑 없음 | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | 보유 데이터에 매핑 없음 | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | 보유 데이터에 매핑 없음 | — |
주제별로 본 공통 영역
| 프레임워크 | 패치 관리 | 링크 |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | 주제 정의 |
| ISO 27001 | A.8.8 | 대응표 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | 대응표 |
| SOC 2 | CC7.1 | 편집 콘텐츠 |
| PCI DSS | 6.3.16.3.3 | 대응표 |
| CMMC | SI.L2-3.14.1 | 대응표 |
| 800-53 | SI-2 | 대응표 |
| HIPAA | — | |
| GDPR | — | 보유 데이터에 매핑 없음 |
| NIS2 | 6.6 | 대응표 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | 편집 콘텐츠 |
| DORA | Art.9(4)(f) | 편집 콘텐츠 |
| CPS 234 | — | 보유 데이터에 매핑 없음 |
| Cyber Essentials | CE 3 | 편집 콘텐츠 |
모든 연결의 상세 내용과 근거: 프레임워크별 패치 관리 →
| 프레임워크 | 다단계 인증 | 링크 |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | 주제 정의 |
| ISO 27001 | A.8.5 | 대응표 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | 편집 콘텐츠 |
| SOC 2 | CC6.1 | 편집 콘텐츠 |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | 편집 콘텐츠 |
| CMMC | IA.L2-3.5.3 | 대응표 |
| 800-53 | IA-2(1)IA-2(2) | 대응표 |
| HIPAA | — | |
| GDPR | — | 보유 데이터에 매핑 없음 |
| NIS2 | 11.611.7 | 대응표 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | 편집 콘텐츠 |
| DORA | Art.9(4)(d) | 편집 콘텐츠 |
| CPS 234 | — | 보유 데이터에 매핑 없음 |
| Cyber Essentials | CE 4 | 편집 콘텐츠 |
모든 연결의 상세 내용과 근거: 프레임워크별 다단계 인증 →
패치와 다요소 인증이 가장 분명한 공통 영역입니다. Cyber Essentials는 업데이트에 대해 단일 규칙(중요 및 고위험 수정 사항은 14일 이내)을 설정하고, 가능한 모든 곳에서 MFA를 요구하며 클라우드 서비스에는 항상 요구합니다. Essential Eight는 성숙도 수준마다 서로 다른 기한과 MFA 적용 범위를 설정합니다.
어떤 기준을 사용할까
계약에서 특정 기준을 요구한다면 계약이 결정합니다. 영국 정부 구매 기관은 Cyber Essentials를 요구하고, 호주 정부 기관은 Essential Eight을 따릅니다. 자유롭게 선택할 수 있다면 두 기준은 잘 결합됩니다. Cyber Essentials는 탄탄한 최소 기준에 대한 외부 인증서를 제공하고, Essential Eight는 Cyber Essentials에서 빠진 백업과 애플리케이션 강화를 포함해 더 나아갈 경로를 제공합니다. 두 기준을 모두 충족하려면 Essential Eight 기준으로 구축하고, 방화벽 규칙을 추가하며, 패치 기한을 점검하십시오. Cyber Essentials의 14일 규칙은 모든 중요 또는 고위험 업데이트에 적용되며, 일부 소프트웨어에서는 하위 성숙도 수준보다 더 엄격할 수 있습니다.
핵심 요약
- Cyber Essentials의 대부분은 Essential Eight에 대응됩니다. 방화벽이 격차입니다.
- Cyber Essentials는 Essential Eight의 일부만 다룹니다. 백업, 매크로 및 애플리케이션 강화, 성숙도 수준별 세부 사항은 추가로 필요합니다.
- 두 기관 모두 대응표를 발행하지 않으므로, 이 링크들은 출발점으로 삼고 세부 내용을 직접 확인하십시오.
다음으로 볼 자료
Cyber Essentials 및 Essential Eight 프레임워크 페이지를 보거나, 격차 분석을 실행해 비교 결과를 트래커로 내보내거나, Essential Eight 가이드를 읽어 보십시오.
질문
Cyber Essentials 인증은 Essential Eight을 충족하나요?
아니요. 두 기준은 패치, 다요소 인증, 관리 권한, 애플리케이션 통제에서 겹치지만, Essential Eight는 정기 백업, Office 매크로 및 애플리케이션 강화도 요구하고, 자체 기한이 있는 성숙도 수준을 설정합니다. Cyber Essentials는 방화벽도 인증하는데, 이는 Essential Eight 전략 중 어떤 것도 다루지 않습니다.
Essential Eight에 대한 인증이 있나요?
Cyber Essentials와 같은 인증 제도는 없습니다. 조직은 ASD의 성숙도 모델에 따라 스스로 평가하거나 독립적인 평가를 의뢰합니다. Cyber Essentials는 Cyber Essentials와 Cyber Essentials Plus, 두 수준으로 이루어진 인증입니다.
두 기준 사이에 공식 대응표가 있나요?
NCSC와 ASD 모두 발행하지 않습니다. ControlMapping의 링크는 편집 콘텐츠이며, 각 링크는 그 근거를 함께 보여 줍니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-27DORA vs NIS2: 기존 NIS2 프로그램이 이미 다루는 범위DORA와 NIS2는 보안 내용의 대부분을 공유하지만, DORA는 등록부, 계약 조건, 위협 기반 테스트를 추가합니다. 조항별로 이어지는 내용을 정리했습니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.