Cyber Essentials и Essential Eight: сравнение базовых наборов мер
Оба набора короткие, технические и поддержаны государством. Один сертифицирует пять мер, другой оценивает восемь стратегий по уровню зрелости. Внедрение одного даёт часть пути к другому.
Великобритания и Австралия публикуют каждая короткий перечень технических мер, которые предотвращают большинство распространённых атак. Британский перечень — Cyber Essentials, его ведёт National Cyber Security Centre, а проводит IASME. Австралийский — Essential Eight, его публикует Australian Signals Directorate. Их часто упоминают вместе, и организации, работающие в обеих странах, задают очевидный вопрос: если у нас есть один из них, насколько он приближает нас к другому?
Как они устроены
Cyber Essentials сертифицирует пять технических мер: межсетевые экраны, безопасную конфигурацию, управление обновлениями безопасности, контроль доступа пользователей и защиту от вредоносного ПО. Действующие требования, версия 3.3, применяются с 27 апреля 2026 года. Сертификация имеет два уровня: проверенную самооценку и Cyber Essentials Plus, который добавляет практическое техническое тестирование. Сертификаты действуют один год.
Essential Eight — это набор из восьми стратегий смягчения рисков (патчирование приложений, патчирование операционных систем, многофакторная аутентификация, ограничение административных привилегий, контроль приложений, ограничение макросов Office, усиление пользовательских приложений и регулярное резервное копирование), каждая из которых внедряется на одном из трёх уровней зрелости. ControlMapping сопоставляет 126 Меры контроля ISM, которым ASD присвоил эти уровни. Сертификации нет: организации проводят самооценку или заказывают оценку у независимой стороны. С 1 июля 2022 года Protective Security Policy Framework требует, чтобы австралийские некорпоративные структуры Содружества внедрили все восемь стратегий как минимум на Maturity Level Two.
От Essential Eight к Cyber Essentials
Из 5 технических мер контроля Cyber Essentials 4 (80%) сопоставлены с чем-либо в Essential Eight, 0 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →
| Cyber Essentials | Требование | Совпадение | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | Нет сопоставления в наших данных | — |
| CE 2 | Secure Configuration | Редакционные материалы | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | Редакционные материалы | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | Редакционные материалы | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | Редакционные материалы | ISM-0843ISM-1488ISM-1490ISM-1544 |
У большинства мер Cyber Essentials есть аналог в Essential Eight. Исключение — межсетевые экраны: ни одна стратегия Essential Eight не касается периметровых или хостовых экранов, поэтому программа Essential Eight оставляет эту меру на вашей стороне.
От Cyber Essentials к Essential Eight
Из 126 Меры контроля ISM Essential Eight 39 (31%) сопоставлены с чем-либо в Cyber Essentials, 72 связаны лишь косвенно, а для 15 в наших данных нет сопоставления. Открыть отчёт о разрывах →
В обратном направлении Cyber Essentials покрывает лишь часть Essential Eight, и это неудивительно: в нём пять мер против значительно более длинного списка градуированных требований. Самые большие разрывы таковы:
- Регулярное резервное копирование. Cyber Essentials версии 3.3 подчёркивает важность резервного копирования данных, но не требует его. Резервное копирование — одна из восьми стратегий, и на каждом уровне зрелости требуется проверенное восстановление.
- Макросы Office и усиление пользовательских приложений. Мера безопасной конфигурации в Cyber Essentials удаляет ненужное ПО и отключает автозапуск; макросы и усиление браузеров и PDF-приложений она не затрагивает.
- Уровни зрелости и сроки. Там, где оба стандарта требуют одного и того же, Essential Eight обычно конкретнее на высших уровнях, например в вопросах того, как быстро должны устраняться уязвимости в сервисах, доступных из интернета, и в ведении журналов и защите привилегированного доступа.
- Сообщение об инцидентах. Некоторые меры Essential Eight требуют сообщать о киберинцидентах; в Cyber Essentials нет никаких требований к инцидентам.
Требования, для которых в наших данных нет связи с Cyber Essentials:
| Essential Eight | Требование | Совпадение | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | Нет сопоставления в наших данных | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | Нет сопоставления в наших данных | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | Нет сопоставления в наших данных | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | Нет сопоставления в наших данных | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | Нет сопоставления в наших данных | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | Нет сопоставления в наших данных | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | Нет сопоставления в наших данных | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | Нет сопоставления в наших данных | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | Нет сопоставления в наших данных | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | Нет сопоставления в наших данных | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | Нет сопоставления в наших данных | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | Нет сопоставления в наших данных | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | Нет сопоставления в наших данных | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | Нет сопоставления в наших данных | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | Нет сопоставления в наших данных | — |
Где они совпадают, тема за темой
| Стандарт | Управление исправлениями | Связь |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | Определение темы |
| ISO 27001 | A.8.8 | Соответствия |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | Соответствия |
| SOC 2 | CC7.1 | Редакционные материалы |
| PCI DSS | 6.3.16.3.3 | Соответствия |
| CMMC | SI.L2-3.14.1 | Соответствия |
| 800-53 | SI-2 | Соответствия |
| HIPAA | — | |
| GDPR | — | Нет сопоставления в наших данных |
| NIS2 | 6.6 | Соответствия |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | Редакционные материалы |
| DORA | Art.9(4)(f) | Редакционные материалы |
| CPS 234 | — | Нет сопоставления в наших данных |
| Cyber Essentials | CE 3 | Редакционные материалы |
Полные подробности и обоснование каждой связи: Управление исправлениями по фреймворкам →
| Стандарт | Многофакторная аутентификация | Связь |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Определение темы |
| ISO 27001 | A.8.5 | Соответствия |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Редакционные материалы |
| SOC 2 | CC6.1 | Редакционные материалы |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Редакционные материалы |
| CMMC | IA.L2-3.5.3 | Соответствия |
| 800-53 | IA-2(1)IA-2(2) | Соответствия |
| HIPAA | — | |
| GDPR | — | Нет сопоставления в наших данных |
| NIS2 | 11.611.7 | Соответствия |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Редакционные материалы |
| DORA | Art.9(4)(d) | Редакционные материалы |
| CPS 234 | — | Нет сопоставления в наших данных |
| Cyber Essentials | CE 4 | Редакционные материалы |
Полные подробности и обоснование каждой связи: Многофакторная аутентификация по фреймворкам →
Патчирование и многофакторная аутентификация — самая очевидная общая территория. Cyber Essentials задаёт одно правило для обновлений (критические и высокорисковые исправления в течение 14 дней) и требует MFA везде, где она доступна, и всегда для облачных сервисов; Essential Eight задаёт разные сроки и область применения MFA на каждом уровне зрелости.
Что выбрать
Если нужен один из них для контракта, решает контракт: британские государственные заказчики запрашивают Cyber Essentials, а австралийские государственные структуры работают по Essential Eight. Если выбираете свободно, они хорошо сочетаются. Cyber Essentials даёт внешний сертификат на надёжный минимум; Essential Eight даёт путь к более глубокой защите, с резервным копированием и усилением приложений, которых Cyber Essentials не касается. Чтобы соответствовать обоим, выстраивайте систему под Essential Eight, добавьте правила межсетевого экрана и проверьте сроки патчирования: правило Cyber Essentials о 14 днях применяется к каждому критическому или высокорисковому обновлению, и для некоторого ПО оно может быть строже, чем требования низших уровней зрелости.
Ключевые выводы
- Большая часть Cyber Essentials соотносится с Essential Eight; разрыв — межсетевые экраны.
- Cyber Essentials покрывает лишь часть Essential Eight: резервное копирование, усиление макросов и приложений и детали уровней зрелости — это дополнительные задачи.
- Ни один орган не публикует сопоставление, поэтому воспринимайте эти связи как отправную точку и проверяйте детали.
Куда перейти дальше
См. страницы стандартов Cyber Essentials и Essential Eight, запустите анализ разрывов, чтобы выгрузить сравнение в трекер, или прочитайте наше руководство по Essential Eight.
Вопросы
Соответствует ли сертификация Cyber Essentials требованиям Essential Eight?
Нет. Оба охватывают патчирование, многофакторную аутентификацию, административные привилегии и контроль приложений, но Essential Eight также требует регулярного резервного копирования, усиления макросов Office и приложений и задаёт уровни зрелости со своими сроками. Cyber Essentials также сертифицирует межсетевые экраны, которые не охватывает ни одна стратегия Essential Eight.
Существует ли сертификация для Essential Eight?
Схемы сертификации, подобной Cyber Essentials, для Essential Eight нет. Организации проводят самооценку или заказывают независимую оценку по модели зрелости ASD. Cyber Essentials — это сертификация с двумя уровнями: Cyber Essentials и Cyber Essentials Plus.
Есть ли официальное сопоставление между ними?
Ни NCSC, ни ASD его не публикуют. Связи на ControlMapping — редакционные, и для каждой из них указано обоснование.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.
Аналитика · 2026-10-13Требования к MFA в 11 стандартах безопасности: сравнениеКакие стандарты требуют MFA, для кого и насколько строго: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 и HIPAA в сравнении бок о бок.