Essential Eight vs ISO 27001: como se comparam

Ao mapear o Essential Eight da ASD contra a ISO 27001, surge um padrão: todo controle toca algo no Anexo A, mas poucos coincidem de perto. Isso diz mais sobre os dois frameworks do que sobre o próprio mapeamento.

Organizações australianas enfrentam cada vez mais ambos: a ISO 27001 para clientes e licitações, e o Essential Eight da ASD para trabalhos governamentais, reguladores e seguradoras. Mapear um para o outro produz um resultado incomum, e entendê-lo evita muita confiança mal direcionada.

As duas direções

Direção	Mapeado	Vagamente relacionado	Sem mapeamento
Tem ISO 27001 → precisa de Essential Eight	57 de 126 (45%)	69	0	relatório →
Tem Essential Eight → precisa de ISO 27001	23 de 123 (19%)	39	61	relatório →

Da ISO 27001 para o Essential Eight, cada controle do Essential Eight mapeia ou está vagamente relacionado a algo na ISO; nenhum fica sem correspondência. Ainda assim, apenas cerca de metade se mapeia de forma próxima. Do Essential Eight para a ISO 27001, o quadro se inverte: a maior parte da ISO não é tocada, pois oito estratégias de mitigação nunca pretenderam ser um programa completo.

Por estratégia

seção Essential Eight	Mapeado	Vagamente relacionado
Patch applications	6 de 12	6
Patch applications & Patch operating systems	2 de 2	0
Patch operating systems	5 de 15	10
Multi-factor authentication	7 de 16	9
Restrict administrative privileges	9 de 20	11
Application control	6 de 11	5
Restrict Microsoft Office macros	1 de 11	10
User application hardening	7 de 20	13
Regular backups	6 de 11	5
Logging and incident response (all strategies)	8 de 8	0

Tem ISO 27001, precisa de Essential Eight. Requisito a requisito: abrir o relatório de lacunas →

Por que "vagamente relacionado" predomina

O Essential Eight e a ISO 27001 ficam em extremos opostos de um espectro.

A ISO 27001 diz o que gerenciar. A.8.8 pede que você gerencie vulnerabilidades técnicas; A.8.2 restringe acessos privilegiados; A.8.7 protege contra malware; A.8.13 faz backup das informações. Como, e com que qualidade, isso é feito depende da sua avaliação de riscos.

O Essential Eight diz exatamente o que fazer, e quando. Aplique patches em serviços expostos à internet dentro de prazos definidos, que se tornam mais rigorosos em cada nível de maturidade. Bloqueie macros do Office vindas da internet. Permita apenas que programas, scripts e bibliotecas aprovados sejam executados. Use MFA resistente a phishing nos níveis mais altos. Teste a restauração de backups. Cada requisito é um controle do ISM com um nível de maturidade.

Assim, um controle da ISO e um controle do Essential Eight normalmente tratam do mesmo resultado, sem que um satisfaça o outro. Em nossos dados, isso aparece como vagamente relacionado: eles compartilham um resultado do NIST CSF 2.0, mas ninguém publicou uma correspondência, e a distância entre "gerenciar vulnerabilidades" e "aplicar patches dentro do prazo definido" é um trabalho real.

Fotografia de uma mão ajustando uma fileira de interruptores em um painel de equipamento de rede antigo, sem rótulos legíveis — O Essential Eight trata de configurações específicas, exatamente o que a ISO 27001 deixa para você definir.

O que isso significa na prática

Um certificado ISO não diz nada sobre a maturidade no Essential Eight. Uma organização pode ser certificada e estar no nível de maturidade zero em controle de aplicações.
O Essential Eight dá dentes ao seu ISMS. Usar seus requisitos como padrão de implementação para os controles correspondentes do Anexo A (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) transforma os controles baseados em risco da ISO em configurações específicas e testáveis.
O ISMS oferece um lar para o Essential Eight. A avaliação de riscos escolhe o nível de maturidade-alvo; a auditoria interna o verifica; a análise crítica pela direção acompanha o progresso.

Principais conclusões

A maioria dos controles do Essential Eight está apenas vagamente relacionada à ISO 27001.
Use o Essential Eight como padrão de implementação dentro de um ISMS.

Uma abordagem prática

Escolha um nível de maturidade-alvo do Essential Eight por meio da sua avaliação de riscos da ISO e registre-o na Declaração de Aplicabilidade.
Escreva os requisitos do Essential Eight para esse nível nas descrições dos seus controles do Anexo A.
Avalie com o processo da ASD e trate as falhas como não conformidades da ISO, com ações corretivas.
Use as páginas de estratégia do Essential Eight para ver cada controle por nível de maturidade, e o relatório de lacunas ISO 27001 → Essential Eight para a lista completa.

A ASD não publica uma correspondência do Essential Eight para a ISO 27001, portanto cada vínculo aqui é um julgamento editorial da ControlMapping. Nosso guia do Essential Eight explica o modelo de maturidade e a avaliação.

Perguntas

A certificação ISO 27001 significa que atendemos ao Essential Eight?

Não. A ISO 27001 exige as mesmas áreas (patches, acesso, malware, backups), mas não as configurações específicas, os prazos e os níveis de maturidade do Essential Eight. Avalie-se com o Essential Eight Assessment Process Guide da ASD.

As organizações australianas devem adotar a ISO 27001 ou o Essential Eight?

Muitas vezes, ambos: o Essential Eight como uma base técnica priorizada, dentro de um ISMS da ISO 27001 que oferece governança, gestão de riscos e certificação.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

Essential Eight vs ISO 27001: a maioria é apenas "vagamente relacionada"