Cyber Essentials vs Essential Eight: duas bases nacionais
Ambos são curtos, técnicos e respaldados por governos. Um certifica cinco controles; o outro avalia oito estratégias por nível de maturidade. Implementar um já leva você parte do caminho até o outro.
O Reino Unido e a Austrália publicam cada um uma lista curta de controles técnicos que bloqueiam a maioria dos ataques comuns. O do Reino Unido é o Cyber Essentials, administrado pelo National Cyber Security Centre e executado pela IASME; o da Austrália é o Essential Eight, do Australian Signals Directorate. Os dois são frequentemente citados juntos, e organizações que atuam nos dois países fazem a pergunta óbvia: se já temos um, quanto ele nos aproxima do outro?
Como são estruturados
O Cyber Essentials certifica cinco controles técnicos: firewalls, configuração segura, gestão de atualizações de segurança, controle de acesso de usuários e proteção contra malware. Os requisitos atuais, versão 3.3, valem a partir de 27 de abril de 2026. A certificação tem dois níveis: uma autoavaliação verificada e o Cyber Essentials Plus, que acrescenta testes técnicos práticos. Os certificados têm validade de um ano.
O Essential Eight é um conjunto de oito estratégias de mitigação (aplicação de patches em aplicativos, aplicação de patches em sistemas operacionais, autenticação multifator, restrição de privilégios administrativos, controle de aplicações, restrição de macros do Office, endurecimento de aplicações de usuário e backups regulares), cada uma implementada em um de três níveis de maturidade. O ControlMapping mapeia os 126 Controles ISM que a ASD marca com esses níveis. Não há certificação: as organizações se autoavaliam ou contratam uma avaliação, e desde 1º de julho de 2022 o Protective Security Policy Framework exige que entidades australianas do Commonwealth que não sejam corporativas implementem todas as oito estratégias em pelo menos o Nível de Maturidade Dois.
Do Essential Eight ao Cyber Essentials
Dos 5 controlos técnicos de Cyber Essentials, 4 (80%) mapeiam para algo em Essential Eight, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →
| Cyber Essentials | Requisito | Correspondência | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Sem mapeamento em nossos dados | — |
| CE 2 | Secure Configuration | Editorial | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Editorial | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Editorial | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Editorial | ISM-0843ISM-1488ISM-1490ISM-1544 |
A maior parte do Cyber Essentials tem um equivalente no Essential Eight. A exceção são os firewalls: nenhuma estratégia do Essential Eight trata de firewalls de perímetro ou de host, então um programa baseado no Essential Eight deixa esse controle por sua conta.
Do Cyber Essentials ao Essential Eight
Dos 126 Controles ISM de Essential Eight, 39 (31%) mapeiam para algo em Cyber Essentials, 72 são apenas vagamente relacionados e 15 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →
No sentido inverso, o Cyber Essentials cobre apenas parte do Essential Eight, o que não surpreende: ele tem cinco controles contra uma lista muito maior de requisitos graduados. As maiores lacunas são:
- Backups regulares. A versão 3.3 do Cyber Essentials enfatiza a importância de fazer backup dos dados, mas não o exige. Os backups são uma das oito estratégias, com restauração testada em todos os níveis de maturidade.
- Macros do Office e endurecimento de aplicações de usuário. O controle de configuração segura do Cyber Essentials remove software desnecessário e desativa a execução automática; ele não trata de macros nem do endurecimento de navegadores e PDFs.
- Níveis de maturidade e prazos. Quando ambos exigem a mesma coisa, o Essential Eight costuma ser mais específico nos níveis superiores, por exemplo quanto ao prazo para corrigir vulnerabilidades em serviços expostos à internet, e quanto a logs e à proteção de acessos privilegiados.
- Notificação de incidentes. Alguns controles do Essential Eight exigem a notificação de incidentes de segurança cibernética; o Cyber Essentials não tem nenhum requisito de incidentes.
Os requisitos sem vínculo com o Cyber Essentials em nossos dados:
| Essential Eight | Requisito | Correspondência | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Sem mapeamento em nossos dados | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Sem mapeamento em nossos dados | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Sem mapeamento em nossos dados | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Sem mapeamento em nossos dados | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Sem mapeamento em nossos dados | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Sem mapeamento em nossos dados | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Sem mapeamento em nossos dados | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Sem mapeamento em nossos dados | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Sem mapeamento em nossos dados | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Sem mapeamento em nossos dados | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Sem mapeamento em nossos dados | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Sem mapeamento em nossos dados | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Sem mapeamento em nossos dados | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Sem mapeamento em nossos dados | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Sem mapeamento em nossos dados | — |
Onde concordam, tópico por tópico
| Framework | Gestão de Patches | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Definição do tópico |
| ISO 27001 | A.8.8 | Correspondência |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Correspondência |
| SOC 2 | CC7.1 | Editorial |
| PCI DSS | 6.3.16.3.3 | Correspondência |
| CMMC | SI.L2-3.14.1 | Correspondência |
| 800-53 | SI-2 | Correspondência |
| HIPAA | — | |
| GDPR | — | Sem mapeamento em nossos dados |
| NIS2 | 6.6 | Correspondência |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Editorial |
| DORA | Art.9(4)(f) | Editorial |
| CPS 234 | — | Sem mapeamento em nossos dados |
| Cyber Essentials | CE 3 | Editorial |
Detalhe completo e o motivo de cada ligação: Gestão de Patches em todos os frameworks →
| Framework | Autenticação multifator | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definição do tópico |
| ISO 27001 | A.8.5 | Correspondência |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Editorial |
| SOC 2 | CC6.1 | Editorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Editorial |
| CMMC | IA.L2-3.5.3 | Correspondência |
| 800-53 | IA-2(1)IA-2(2) | Correspondência |
| HIPAA | — | |
| GDPR | — | Sem mapeamento em nossos dados |
| NIS2 | 11.611.7 | Correspondência |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Editorial |
| DORA | Art.9(4)(d) | Editorial |
| CPS 234 | — | Sem mapeamento em nossos dados |
| Cyber Essentials | CE 4 | Editorial |
Detalhe completo e o motivo de cada ligação: Autenticação multifator em todos os frameworks →
Aplicação de patches e autenticação multifator são o terreno comum mais claro. O Cyber Essentials define uma regra única para atualizações (correções críticas e de alto risco em até 14 dias) e exige MFA sempre que disponível, e sempre para serviços em nuvem; o Essential Eight define prazos e escopo de MFA diferentes em cada nível de maturidade.
Qual usar
Se você precisa de um para um contrato, o contrato decide: compradores do governo britânico pedem o Cyber Essentials, e entidades do governo australiano trabalham com o Essential Eight. Se você escolhe livremente, os dois combinam bem. O Cyber Essentials oferece um certificado externo para um mínimo sólido; o Essential Eight oferece um caminho para ir além, com backups e endurecimento de aplicações que o Cyber Essentials deixa de fora. Para estar preparado para ambos, construa a partir do Essential Eight, acrescente regras de firewall e verifique seus prazos de patches: a regra de 14 dias do Cyber Essentials se aplica a toda atualização crítica ou de alto risco, o que pode ser mais rígido do que os níveis de maturidade mais baixos para alguns softwares.
Principais conclusões
- A maior parte do Cyber Essentials se mapeia ao Essential Eight; os firewalls são a lacuna.
- O Cyber Essentials cobre apenas parte do Essential Eight: backups, endurecimento de macros e aplicações e o detalhe dos níveis de maturidade são itens adicionais.
- Nenhum dos órgãos publica um mapeamento, então trate estes vínculos como ponto de partida e verifique os detalhes.
Próximos passos
Consulte as páginas dos frameworks Cyber Essentials e Essential Eight, execute a análise de lacunas para exportar a comparação como um rastreador, ou leia nosso guia do Essential Eight.
Perguntas
A certificação Cyber Essentials atende ao Essential Eight?
Não. Os dois se sobrepõem em aplicação de patches, autenticação multifator, privilégios administrativos e controle de aplicações, mas o Essential Eight também exige backups regulares, endurecimento de macros do Office e de aplicações, e define níveis de maturidade com prazos próprios. O Cyber Essentials também certifica firewalls, que nenhuma estratégia do Essential Eight cobre.
Existe certificação para o Essential Eight?
Não existe um esquema de certificação como o Cyber Essentials. As organizações se autoavaliam ou contratam uma avaliação independente, com base no modelo de maturidade da ASD. O Cyber Essentials é uma certificação com dois níveis, Cyber Essentials e Cyber Essentials Plus.
Existe um mapeamento oficial entre os dois?
Nem o NCSC nem a ASD publica um. Os vínculos no ControlMapping são editoriais, e cada um mostra o seu motivo.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.
Análise · 2026-10-13Requisitos de MFA comparados em 11 frameworks de segurançaQuais frameworks exigem MFA, para quem e com que rigor: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA, comparados lado a lado.