Escolhendo o nível-alvo de maturidade do Essential Eight

O Essential Eight Maturity Model da ASD define três níveis para cada uma das oito estratégias de mitigação. Um erro comum é tratá-los como notas, com o Nível Três como meta para todos. Eles não são notas. Cada nível foi concebido para barrar um tipo diferente de adversário, e o alvo certo depende do seu ambiente de ameaças.

Para que serve cada nível

• Nível Um barra adversários que usam técnicas de uso comum de forma oportunista: exploits amplamente disponíveis, credenciais roubadas, documentos maliciosos enviados a qualquer pessoa.
• Nível Dois barra adversários dispostos a investir mais tempo e esforço e a atacar uma organização específica, mas que ainda dependem em grande parte de técnicas conhecidas.
• Nível Três barra adversários adaptativos, menos dependentes de ferramentas públicas, que exploram rapidamente novas vulnerabilidades e trabalham para evitar a detecção.

Os requisitos ficam mais rigorosos a cada nível: prazos de correção mais curtos, MFA para mais usuários e sistemas, com métodos resistentes a phishing, controle de aplicações em mais sistemas e tipos de arquivo, e restrições mais fortes sobre privilégios administrativos e backups.

Como escolher

1. Parta da ameaça. Quem gostaria de ter o que você guarda? Dados governamentais, infraestrutura crítica, serviços financeiros e propriedade intelectual de alto valor atraem adversários mais capazes.
2. Verifique as obrigações. Entidades do Commonwealth australiano que não são corporações devem alcançar o Nível de Maturidade Dois. Clientes, reguladores e seguradoras podem definir suas próprias expectativas.
3. Seja realista quanto à capacidade. O Nível Três exige esforço de engenharia e disciplina operacional que uma pequena equipe de TI pode não conseguir sustentar.
4. Escolha um alvo único para as oito. A ASD recomenda alcançar o mesmo nível em todas as estratégias antes de elevar qualquer uma delas. Um programa de correção no Nível Três com controle de aplicações no Nível Zero ainda deixa a porta aberta.

Caminhos típicos

• A maioria das organizações: Nível Um em todas as oito, depois Nível Dois.
• Organizações que lidam com dados governamentais ou críticos sensíveis: Nível Dois como base, com requisitos selecionados do Nível Três nos sistemas de maior risco.
• Ambientes de alta ameaça: Nível Três, geralmente alcançado sistema por sistema.

Registrando a decisão

Se você opera um SGSI conforme a ISO 27001, registre o nível escolhido e sua justificativa na avaliação de riscos e na Declaração de Aplicabilidade. Isso oferece aos auditores e avaliadores a fundamentação e transforma o Essential Eight no padrão de implementação dos controles correspondentes do Anexo A, como explica a nossa análise comparativa Essential Eight vs. ISO 27001.

Erros comuns ao definir um alvo

• Buscar o Nível Três em uma estratégia enquanto as outras permanecem no Nível Zero. Atacantes exploram a estratégia mais fraca, não a mais forte.
• Contar a cobertura, não a eficácia. Controle de aplicações implantado em metade das estações de trabalho não equivale ao Nível Um; cada requisito deve ser atendido em todos os sistemas no escopo.
• Ignorar exceções. Cada exceção (um sistema legado sem correções, um usuário isento do bloqueio de macros) precisa de um responsável, de controles compensatórios e de uma data de término, caso contrário o nível de maturidade é ficção.
• Avaliar por entrevista. O guia de avaliação da ASD classifica as evidências: testar diretamente um controle é o mais forte, e documentação e entrevistas são as mais fracas. Autoavaliações baseadas no que as pessoas dizem superestimam a maturidade.
• Definir o alvo uma única vez. As ameaças mudam, e o mesmo ocorre com o modelo de maturidade, que a ASD atualiza periodicamente. Revise o alvo anualmente, junto com a avaliação de riscos.

Principais conclusões

• Cada nível de maturidade tem como alvo um adversário diferente; escolha de acordo com a ameaça e as obrigações.
• Alcance o mesmo nível nas oito estratégias antes de elevar qualquer uma delas.
• O Nível Dois é o primeiro alvo habitual.

Medindo o progresso

Avalie cada estratégia conforme o Guia de Processo de Avaliação do Essential Eight da ASD, usando testes em sistemas sempre que possível; uma estratégia só alcança um nível quando todos os requisitos desse nível e dos inferiores são atendidos. Acompanhe o menor nível alcançado entre as oito como seu indicador principal.

A página de cada estratégia lista seus controles ISM por nível de maturidade, por exemplo Correção de aplicações e Autenticação multifator. O guia do Essential Eight aborda a avaliação com mais detalhes.

Perguntas

Qual nível de maturidade do Essential Eight devemos adotar como alvo?

Escolha pela ameaça: Nível Um para atacantes oportunistas que usam ferramentas de uso comum, Nível Dois para adversários dispostos a investir mais esforço, Nível Três para adversários adaptativos. O Nível Dois é o primeiro alvo habitual e a expectativa para entidades do Commonwealth australiano que não são corporações.

As estratégias podem estar em níveis de maturidade diferentes?

Podem ser avaliadas separadamente, mas a ASD recomenda alcançar o mesmo nível em todas as oito antes de elevar qualquer uma delas.

Quanto tempo leva para alcançar o Nível de Maturidade Dois?

Depende do ponto de partida e do tamanho do ambiente. Organizações que já estão no Nível Um em todas as oito estratégias costumam alcançar o Nível Dois em meses; quem parte do zero deve planejar mais tempo, estratégia por estratégia.