Essential Eight 실무 가이드

Paul Gillet 기준 · 2026-10-17 업데이트

Essential Eight는 호주 신호국(ASD)이 가장 흔한 사이버 공격에 대응하기 위해 제시한 8가지 완화 전략의 기준선입니다. ASD는 이를 성숙도 모델과 함께 공개하며, 이 모델은 각 전략이 성숙도 수준 1, 2, 3에서 무엇을 요구하는지 규정합니다. 이 요구사항 자체는 ASD의 정보보안 매뉴얼(ISM)에 포함된 통제 항목입니다.

8가지 전략

• 애플리케이션 패치: 애플리케이션의 취약점을 찾아 패치하고, 지원이 종료된 애플리케이션은 제거합니다.
• 운영체제 패치: 운영체제, 드라이버, 펌웨어에 대해서도 같은 방식으로 적용합니다.
• 다중 요소 인증: 온라인 서비스, 원격 접속, 특권 사용자, 그리고 상위 수준에서는 데이터 저장소에 적용하며, 수준이 올라갈수록 더 강력한(피싱에 강한) 방식을 요구합니다.
• 관리자 권한 제한: 특권 접근을 부여, 검토, 기록하고 특권 환경을 분리합니다.
• 애플리케이션 통제: 승인된 프로그램, 스크립트, 설치 파일, 라이브러리만 실행되도록 합니다.
• Microsoft Office 매크로 제한: 인터넷에서 내려받은 매크로를 차단하고 신뢰할 수 있는 매크로만 허용합니다.
• 사용자 애플리케이션 강화: 브라우저, Office, PDF 소프트웨어를 강화하고 PowerShell을 제한합니다.
• 정기 백업: 중요한 데이터, 소프트웨어, 설정을 백업하고 복원을 테스트하며, 백업본이 변경되거나 삭제되지 않도록 보호합니다.

성숙도 수준

각 수준은 더 높은 역량을 가진 공격자를 대상으로 합니다. 수준 1은 일반적인 도구를 사용하는 기회형 공격자를 막습니다. 수준 2는 더 많은 시간과 노력을 들일 의향이 있는 공격자를 막습니다. 수준 3은 공개 도구에 덜 의존하는 적응형 공격자를 막습니다. ASD는 어느 한 전략을 더 높은 수준으로 올리기 전에 8가지 전략 모두를 같은 수준에 먼저 도달시키고, 위협 환경을 바탕으로 목표 수준을 정할 것을 권장합니다.

적용 대상

호주 정부의 비기업 영연방 기관은 보호 보안 정책 프레임워크(Protective Security Policy Framework)에 따라 Essential Eight을 이행해야 하며, 목표 수준은 성숙도 수준 2입니다. 호주의 많은 주정부, 규제 대상 기업, 사이버 보험사도 이를 요구합니다. 그 밖의 조직에게 Essential Eight은 충분히 검증되고 우선순위가 정해진 기술적 기준선입니다.

평가 방식

Essential Eight 인증서는 없습니다. 평가는 ASD의 Essential Eight 평가 프로세스 가이드를 따르며, 내부 또는 제3자 평가자가 수행할 수 있습니다. 각 전략은 별도로 평가되며, 전략은 해당 수준과 그 이하 수준의 모든 요구사항을 충족할 때에만 해당 수준에 도달합니다. 증거의 품질이 중요합니다. 통제를 직접 테스트하는 것이 가장 강력한 증거이며, 구성 검토는 양호한 증거, 문서는 약한 증거, 인터뷰만으로는 가장 약한 증거입니다.

단계

1. 조직의 목표 성숙도 수준 선택: 보통 수준 2부터 시작합니다.
2. 전략별 현재 수준 평가: 가능한 경우 시스템 수준 테스트를 활용합니다.
3. 격차 우선순위 지정: 먼저 모든 전략을 같은 수준까지 끌어올립니다.
4. 통제 구현 및 증거 확보: 예외 사항은 보완 통제와 담당자를 함께 기록합니다.
5. 정기 재평가: 패치와 권한 통제는 빠르게 기준에서 벗어나므로 주기적으로 재평가합니다.

Essential Eight과 다른 프레임워크

ISO 27001과 NIST CSF는 달성해야 할 결과를 기술하는 반면, Essential Eight은 구체적인 기술 설정과 기한을 규정합니다. 따라서 대부분의 Essential Eight 통제는 ISO 또는 NIST 요구사항과 느슨하게 관련됨에 그칩니다. 해당 프레임워크는 취약점 관리나 접근 통제를 요구하지만, 인터넷 매크로 차단이나 정해진 기한 내 패치를 요구하지는 않습니다. ASD는 대응표를 공개하지 않으므로, 이 사이트의 모든 Essential Eight 연결은 ControlMapping의 편집 콘텐츠로서 판단 근거와 함께 제시됩니다.

이 사이트의 활용 방법

ControlMapping은 고정된 ISM 버전(CC BY 4.0)에서 ASD가 Essential Eight에 연결한 ISM 통제를 전략별로 성숙도 수준과 함께 정리합니다. 아래 표는 기존 프레임워크가 Essential Eight을 얼마나 다루고 있는지 보여줍니다. 그 비중은 대체로 적을 것입니다. Essential Eight의 취지가 바로 그것입니다.

이미 다른 프레임워크를 사용 중이신가요?

이미 준수하고 있을 수 있는 각 프레임워크의 요구사항 중 Essential Eight의 요구사항에 몇 개가 매핑되는지 보여줍니다. 요구사항별 전체 목록은 격차 보고서를 열어 확인하세요.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 집계는 격차 분석와 동일한 데이터에서 나오며, 매핑은 관련 요구사항을 의미할 뿐 한쪽이 다른 쪽을 충족한다는 증거가 아닙니다.

질문

Essential Eight은 의무 사항인가요?

호주 정부의 비기업 영연방 기관의 경우 보호 보안 정책 프레임워크에 따라 의무입니다. 그 밖의 조직에게는 자율 사항이지만, 고객, 규제기관, 보험사가 요구할 수 있습니다.

목표 성숙도 수준은 어떻게 정해야 하나요?

ASD는 위협 환경에 따라 수준을 선택하고, 더 나아가기 전에 8가지 전략 모두에서 그 수준에 도달할 것을 제안합니다. 일반적인 첫 목표는 수준 2입니다.

Essential Eight 인증이 있나요?

아니요. 조직은 내부 또는 제3자 평가자를 통해 ASD의 Essential Eight 평가 프로세스 가이드에 따라 평가받지만, 인증서는 발급되지 않습니다.

법률 또는 컴플라이언스 자문이 아닙니다. 의존하기 전에 공식 원문과 감사인, 평가자 또는 규제기관에 확인하세요.