Должны ли организации за пределами Австралии использовать Essential Eight?

За пределами Австралии большинство команд безопасности слышали об Essential Eight, но мало кто его использует. Он кажется локальным: его опубликовало Австралийское управление сигналов (ASD), он обязателен для государственных структур Австралии и упоминается австралийскими регуляторами и страховщиками. Но если прочитать восемь стратегий, в них нет ничего австралийского. Патчить приложения и операционные системы, использовать многофакторную аутентификацию, ограничивать административные привилегии, контролировать, что может запускаться, ограничивать макросы Office, усиливать пользовательские приложения, регулярно выполнять резервное копирование. Это универсальный список.

Почему его стоит изучить в любой стране

• Он приоритизирован. Восемь стратегий, а не сотни контролей. Для небольшой команды, которой нужно решить, с чего начать, это ценно само по себе.
• Он конкретен. Там, где ISO 27001 говорит «управлять техническими уязвимостями», Essential Eight задаёт сроки устранения уязвимостей по уровням зрелости. Конкретные требования легче внедрить и проверить.
• Он нацелен на реальные пути атак. Его стратегии направлены на техники, стоящие за большой долей реальных вторжений: вредоносные документы, непропатченные системы, доступные из интернета, украденные учётные данные, злоупотребление административными правами, программы-вымогатели.
• Он бесплатный и поддерживается. ASD регулярно обновляет Модель зрелости и лежащие в её основе контроли ISM, распространяемые по открытой лицензии.

Почему одного его недостаточно

Essential Eight — это технический базовый набор, а не программа. Он ничего не говорит об управлении, управлении рисками, поставщиках, планировании реагирования на инциденты или физической безопасности. Как показывает наше сравнение с ISO 27001, внедрение только Essential Eight оставляет без изменений большую часть системы менеджмента:

Из 123 Контроли приложения A и разделы ISMS ISO 27001 23 (19%) сопоставлены с чем-либо в Essential Eight, 39 связаны лишь косвенно, а для 61 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Как он сочетается с другими стандартами

• С ISO 27001: используйте Essential Eight как стандарт внедрения для соответствующих контролей Приложения A, которые выбираются в рамках обработки рисков.
• С NIST CSF 2.0: используйте его, чтобы определить, что значит «достигнуто» для соответствующих результатов функции «Защитить» в вашем целевом профиле.
• С CIS Controls: оба являются техническими базовыми наборами; CIS шире, а Essential Eight более предписывающий по своим восьми темам. Многие команды используют CIS IG1 для широты охвата и Essential Eight для глубины в вопросах патчинга, макросов и контроля приложений.

Как выглядит внедрение на практике

Для организации за пределами Австралии разумный подход — рассматривать Essential Eight как эталон для самооценки, а не как цель сертификации:

1. Проведите самооценку на уровне Maturity Level One для всех восьми стратегий. Это короткий и конкретный список, и пробелы быстро становятся видны.
2. Закройте наиболее важные пробелы с учётом вашего профиля угроз, обычно это патчинг систем, доступных из интернета, MFA, а также контроль макросов и приложений.
3. Зафиксируйте результаты в вашем существующем стандарте: в Заявлении о применимости ISO 27001, в целевом профиле NIST CSF или в плане внедрения CIS Controls.
4. Перейдите на уровень Two, если это оправдано угрозами.

Ничего из этого не требует участия ASD или австралийского аудитора. Страницы стратегий, например патчинг приложений, перечисляют требования для каждого уровня.

Ключевые выводы

• Стратегии Essential Eight универсальны, даже если его мандат австралийский.
• Это технический базовый набор, а не программа; сочетайте его с управленческим стандартом.
• Самооценка на уровне Maturity Level One — быстрое и полезное упражнение в любой стране.

Моё мнение

Если вы находитесь за пределами Австралии и никто не требует этого, проходить аудит на соответствие Essential Eight не нужно. Но прочитать его стоит. Немного документов дают более ясную картину того, что реально останавливает распространённые атаки, или лучшую проверку того, выдержит ли ваш контроль «управлять уязвимостями» встречу с нападающим.

Руководство по Essential Eight объясняет модель зрелости, а страницы стратегий, например контроль приложений, перечисляют их контроли по уровням.

Вопросы

Essential Eight предназначен только для австралийских организаций?

Его написало ASD для Австралии, и он обязателен только для некорпоративных структур Содружества правительства Австралии, но его рекомендации находятся в свободном доступе и применимы к любой организации.

Как Essential Eight соотносится с CIS Controls?

Оба являются приоритизированными техническими базовыми наборами. CIS Controls шире (18 контролей, 153 меры защиты); Essential Eight уже, но более предписывающий, с конкретными настройками и сроками на каждом уровне зрелости.

Меняются ли требования Essential Eight?

Да. ASD периодически обновляет Модель зрелости и лежащие в её основе контроли ISM, поэтому перед проведением оценки проверьте актуальную версию.