Выбор целевого уровня зрелости Essential Eight

Модель зрелости Essential Eight от ASD задаёт три уровня для каждой из восьми стратегий смягчения. Распространённая ошибка — считать их оценками, где Уровень 3 является целью для всех. Это не оценки. Каждый уровень рассчитан на остановку определённого вида противника, а правильная цель зависит от вашей среды угроз.

Для чего нужен каждый уровень

• Уровень 1 останавливает противников, которые используют типовые приёмы оппортунистически: общедоступные эксплойты, украденные учётные данные, вредоносные документы, разосланные всем подряд.
• Уровень 2 останавливает противников, готовых вложить больше времени и усилий и целенаправленно атаковать организацию, но по-прежнему опирающихся в основном на известные методы.
• Уровень 3 останавливает адаптивных противников, которые меньше зависят от публичных инструментов, быстро эксплуатируют новые уязвимости и стараются уклониться от обнаружения.

Требования ужесточаются с каждым уровнем: более короткие сроки установки исправлений, MFA для большего числа пользователей и систем, включая устойчивые к фишингу методы, контроль приложений на большем числе систем и типов файлов, более строгие ограничения административных привилегий и резервного копирования.

Как выбрать

1. Начните с угрозы. Кому нужно то, что у вас есть? Государственные данные, критическая инфраструктура, финансовые услуги и высокоценная интеллектуальная собственность привлекают более способных противников.
2. Проверьте обязательства. От некорпоративных структур Содружества (Commonwealth) правительства Австралии ожидается достижение уровня зрелости 2. Клиенты, регуляторы и страховщики могут устанавливать собственные ожидания.
3. Трезво оцените возможности. Уровень 3 требует инженерных усилий и операционной дисциплины, которые небольшая ИТ-команда может не потянуть.
4. Выберите одну цель для всех восьми. ASD рекомендует довести до одного уровня все стратегии, прежде чем поднимать какую-либо из них. Программа установки исправлений уровня 3 при контроле приложений уровня 0 по-прежнему оставляет дверь открытой.

Типичные пути

• Большинство организаций: Уровень 1 по всем восьми, затем Уровень 2.
• Организации, работающие с чувствительными государственными или критическими данными: Уровень 2 в качестве базового, с выборочными требованиями Уровня 3 на самых рискованных системах.
• Среды с высоким уровнем угроз: Уровень 3, обычно достигаемый система за системой.

Фиксация решения

Если вы ведёте ISMS по ISO 27001, зафиксируйте выбранный уровень и его обоснование в оценке рисков и Заявлении о применимости. Это даёт аудиторам и оценщикам обоснование и превращает Essential Eight в стандарт реализации для соответствующих мер контроля Приложения A, как объясняет наш анализ Essential Eight и ISO 27001.

Распространённые ошибки при выборе цели

• Погоня за Уровнем 3 по одной стратегии, когда остальные находятся на уровне 0. Атакующие используют самую слабую стратегию, а не самую сильную.
• Подсчёт охвата, а не эффективности. Контроль приложений, развёрнутый на половине рабочих станций, не соответствует Уровню 1; каждое требование должно выполняться во всех системах в области применения.
• Игнорирование исключений. У каждого исключения (непропатченная устаревшая система, пользователь, освобождённый от блокировки макросов) должны быть владелец, компенсирующие меры и дата окончания, иначе уровень зрелости становится фикцией.
• Оценка по интервью. Руководство ASD по оценке ранжирует доказательства: прямое тестирование меры — самое сильное, документация и интервью — самые слабые. Самооценки, основанные на том, что говорят люди, завышают зрелость.
• Установка цели один раз. Угрозы меняются, и модель зрелости тоже; ASD обновляет её периодически. Пересматривайте цель ежегодно вместе с оценкой рисков.

Ключевые выводы

• Каждый уровень зрелости нацелен на своего противника; выбирайте по угрозе и обязательствам.
• Доведите все восемь стратегий до одного уровня, прежде чем поднимать какую-либо из них.
• Уровень 2 — обычная первая цель.

Измерение прогресса

Оценивайте каждую стратегию по Руководству по процессу оценки Essential Eight от ASD, используя тестирование систем там, где это возможно; стратегия достигает уровня, только когда выполнены все требования этого уровня и ниже. Отслеживайте самый низкий уровень, достигнутый по всем восьми, как ключевой показатель.

На странице каждой стратегии перечислены её меры ISM по уровням зрелости, например Установка исправлений для приложений и Многофакторная аутентификация. Руководство по Essential Eight подробнее описывает оценку.

Вопросы

Какой уровень зрелости Essential Eight нам стоит выбрать?

Выбирайте по угрозе: Уровень 1 — для оппортунистических атакующих, использующих типовые инструменты, Уровень 2 — для противников, готовых вложить больше усилий, Уровень 3 — для адаптивных противников. Уровень 2 — обычная первая цель и ожидаемый уровень для некорпоративных структур Содружества правительства Австралии.

Могут ли разные стратегии находиться на разных уровнях зрелости?

Их можно оценивать отдельно, но ASD рекомендует довести все восемь до одного уровня, прежде чем поднимать какую-либо из них выше.

Сколько времени занимает достижение Уровня 2 зрелости?

Всё зависит от исходной точки и размера среды. Организации, которые уже находятся на Уровне 1 по всем восьми стратегиям, часто достигают Уровня 2 за несколько месяцев; тем, кто начинает с нуля, стоит планировать больший срок, отдельно по каждой стратегии.