O Essential Eight: um guia prático

Por Paul Gillet · Atualizado em 2026-10-17

O Essential Eight é a linha de base australiana da Australian Signals Directorate (ASD) com oito estratégias de mitigação contra os ataques cibernéticos mais comuns. A ASD o publica com um Modelo de Maturidade que define o que cada estratégia exige nos Níveis de Maturidade Um, Dois e Três, e os próprios requisitos são controles do Information Security Manual (ISM) da ASD.

As oito estratégias

• Aplicar patches em aplicações: identificar e corrigir vulnerabilidades em aplicações e remover as que não têm mais suporte.
• Aplicar patches em sistemas operacionais: o mesmo para sistemas operacionais, drivers e firmware.
• Autenticação multifator: para serviços online, acesso remoto, usuários privilegiados e, em níveis mais altos, repositórios de dados, com métodos mais robustos (resistentes a phishing) à medida que os níveis aumentam.
• Restringir privilégios administrativos: conceder, revisar e registrar o acesso privilegiado, e separar os ambientes privilegiados.
• Controle de aplicações: somente programas, scripts, instaladores e bibliotecas aprovados podem ser executados.
• Restringir macros do Microsoft Office: bloquear macros provenientes da internet e permitir apenas as confiáveis.
• Reforço de segurança de aplicações do usuário: reforçar navegadores, o Office e softwares de PDF, e restringir o PowerShell.
• Backups regulares: fazer backup de dados, softwares e configurações importantes, testar a restauração e proteger os backups contra alterações e exclusões.

Níveis de maturidade

Cada nível tem como alvo um adversário com maior capacidade. O Nível Um impede atacantes oportunistas que usam ferramentas comuns. O Nível Dois impede adversários dispostos a investir mais tempo e esforço. O Nível Três impede adversários adaptativos que dependem menos de ferramentas públicas. A ASD recomenda atingir o mesmo nível em todas as oito estratégias antes de elevar qualquer uma delas, e escolher um nível-alvo com base no seu ambiente de ameaças.

Quem deve implementá-lo

As entidades não corporativas do Commonwealth do Governo australiano devem implementar o Essential Eight no âmbito do Protective Security Policy Framework, tendo o Nível de Maturidade Dois como meta. Muitos governos estaduais, empresas reguladas e seguradoras cibernéticas na Austrália também o exigem. Para os demais, trata-se de uma linha de base técnica priorizada e bem testada.

Como funciona a avaliação

Não existe certificado do Essential Eight. As avaliações seguem o Essential Eight Assessment Process Guide da ASD e podem ser feitas internamente ou por um avaliador terceirizado. Cada estratégia é avaliada separadamente, e uma estratégia só alcança um nível quando todos os requisitos desse nível, e de todos os níveis abaixo dele, são atendidos. A qualidade das evidências importa: testar um controle diretamente é a evidência mais forte, revisar uma configuração é bom, a documentação é mais fraca, e uma entrevista isolada é a mais fraca.

As etapas

1. Escolher um nível de maturidade-alvo para a organização, normalmente o Nível Dois para começar.
2. Avaliar o nível atual de cada estratégia, usando testes em nível de sistema sempre que possível.
3. Priorizar as lacunas, elevando primeiro todas as estratégias ao mesmo nível.
4. Implementar e evidenciar os controles, registrando eventuais exceções com controles compensatórios e um responsável.
5. Reavaliar regularmente: os controles de patches e de privilégios se desatualizam rapidamente.

O Essential Eight e outros frameworks

A ISO 27001 e o NIST CSF descrevem resultados; o Essential Eight prescreve configurações técnicas específicas e prazos. Por isso, a maioria dos controles do Essential Eight é apenas vagamente relacionada aos requisitos da ISO ou do NIST: esses frameworks pedem que você gerencie vulnerabilidades ou controle o acesso, mas não determinam que você bloqueie macros da internet ou aplique patches dentro de um prazo definido. A ASD não publica correspondência, portanto cada vínculo do Essential Eight neste site é uma decisão editorial da ControlMapping, com a respectiva justificativa.

Como este site ajuda

A ControlMapping lista os controles do ISM que a ASD associa ao Essential Eight, agrupados por estratégia com seus níveis de maturidade, a partir de uma versão fixada do ISM (CC BY 4.0). A tabela abaixo mostra quanto do Essential Eight os seus frameworks atuais já cobrem; é provável que a cobertura seja modesta, e isso é justamente o objetivo do Essential Eight.

Já tem outro framework?

Quantos requisitos de Essential Eight que já pode seguir correspondem a cada framework. Abra um relatório de lacunas para a lista requisito a requisito.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. As contagens provêm dos mesmos dados que o análise de lacunas; um mapeamento significa requisitos relacionados, não prova que um satisfaz o outro.

Perguntas

O Essential Eight é obrigatório?

Para as entidades não corporativas do Commonwealth do Governo australiano, sim, no âmbito do Protective Security Policy Framework. Para as demais organizações, é voluntário, embora clientes, reguladores e seguradoras possam exigi-lo.

Que nível de maturidade devemos buscar?

A ASD sugere escolher um nível com base no seu ambiente de ameaças e atingi-lo em todas as oito estratégias antes de avançar. O Nível Dois é o primeiro alvo mais comum.

Existe certificação do Essential Eight?

Não. As organizações são avaliadas com base no Essential Eight Assessment Process Guide da ASD, internamente ou por avaliadores terceirizados, mas nenhum certificado é emitido.

Não é aconselhamento jurídico ou de conformidade. Verifique o texto oficial e seu auditor, avaliador ou regulador antes de se basear nele.