Essential Eight и ISO 27001: сравнение

Если сопоставить Essential Eight от ASD с ISO 27001, проявляется закономерность: каждый контроль затрагивает что-то в Приложении A, но лишь немногие совпадают с ним тесно. Это говорит о двух стандартах больше, чем о самом сопоставлении.

Австралийские организации всё чаще сталкиваются с обоими: ISO 27001 для клиентов и тендеров и Essential Eight от ASD для государственных работ, регуляторов и страховщиков. Сопоставление одного с другим даёт необычный результат, и понимание этого позволяет избежать необоснованной уверенности.

Два направления

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть ISO 27001 → нужен Essential Eight	57 из 126 (45%)	69	0	отчёт →
Есть Essential Eight → нужен ISO 27001	23 из 123 (19%)	39	61	отчёт →

От ISO 27001 к Essential Eight: каждый контроль Essential Eight либо сопоставлен, либо косвенно связан с чем-то в ISO; ни один не остаётся без соответствия. Однако лишь около половины сопоставлены тесно. От Essential Eight к ISO 27001 картина обратная: большая часть ISO не затронута, поскольку восемь стратегий снижения рисков никогда не предназначались для полноценной программы.

По стратегиям

раздел Essential Eight	Сопоставлено	Косвенно связано
Patch applications	6 из 12	6
Patch applications & Patch operating systems	2 из 2	0
Patch operating systems	5 из 15	10
Multi-factor authentication	7 из 16	9
Restrict administrative privileges	9 из 20	11
Application control	6 из 11	5
Restrict Microsoft Office macros	1 из 11	10
User application hardening	7 из 20	13
Regular backups	6 из 11	5
Logging and incident response (all strategies)	8 из 8	0

Есть ISO 27001, нужен Essential Eight. Требование за требованием: открыть отчёт о разрывах →

Почему преобладает «косвенная связь»

Essential Eight и ISO 27001 находятся на противоположных концах спектра.

ISO 27001 определяет, чем нужно управлять. A.8.8 требует управлять техническими уязвимостями; A.8.2 — ограничивать привилегированный доступ; A.8.7 — защищаться от вредоносного ПО; A.8.13 — выполнять резервное копирование информации. Как и насколько хорошо это делать, определяется вашей оценкой рисков.

Essential Eight указывает, что именно делать и когда. Устанавливать исправления на сервисы, доступные из интернета, в заданные сроки, которые ужесточаются на каждом уровне зрелости. Блокировать макросы Office из интернета. Разрешать запуск только утверждённых программ, скриптов и библиотек. На более высоких уровнях использовать устойчивую к фишингу MFA. Проверять восстановление из резервных копий. Каждое требование — это контроль ISM с уровнем зрелости.

Поэтому контроль ISO и контроль Essential Eight обычно решают одну и ту же задачу, но ни один из них не подтверждает выполнение другого. В наших данных это отображается как «Косвенно связано»: они относятся к одному результату NIST CSF 2.0, однако соответствий никто не опубликовал, а разрыв между «управлять уязвимостями» и «устанавливать исправления в заданный срок» требует реальной работы.

Фотография руки, регулирующей ряд тумблеров на старой панели сетевого оборудования, подписи не читаются — Essential Eight касается конкретных настроек, которые ISO 27001 оставляет на усмотрение организации.

Что это означает на практике

Сертификат ISO ничего не говорит о зрелости Essential Eight. Организация может быть сертифицирована и при этом иметь нулевой уровень зрелости по контролю приложений.
Essential Eight придаёт СУИБ реальную силу. Использование его требований как стандарта реализации для соответствующих контролей Приложения A (A.8.8, A.8.2, A.8.5, A.8.7, A.8.9, A.8.13) превращает основанные на рисках контроли ISO в конкретные, проверяемые настройки.
СУИБ даёт Essential Eight основу. Оценка рисков выбирает целевой уровень зрелости; внутренний аудит его проверяет; анализ со стороны руководства отслеживает прогресс.

Ключевые выводы

Большинство контролей Essential Eight лишь косвенно связаны с ISO 27001.
Используйте Essential Eight как стандарт реализации внутри СУИБ.

Практический подход

Выберите целевой уровень зрелости Essential Eight через оценку рисков ISO и зафиксируйте его в Заявлении о применимости.
Внесите требования Essential Eight для этого уровня в описания контролей Приложения A.
Проводите оценку по процессу ASD и рассматривайте неудачи как несоответствия ISO с корректирующими действиями.
Используйте страницы стратегий Essential Eight, чтобы увидеть каждый контроль по уровням зрелости, и отчёт о разрывах ISO 27001 → Essential Eight для полного списка.

ASD не публикует соответствий между Essential Eight и ISO 27001, поэтому все связи здесь — редакционное суждение ControlMapping. Наше руководство по Essential Eight объясняет модель зрелости и оценку.

Вопросы

Означает ли сертификация ISO 27001, что мы соответствуем Essential Eight?

Нет. ISO 27001 требует тех же областей (патчинг, доступ, вредоносное ПО, резервное копирование), но не конкретных настроек, сроков и уровней зрелости Essential Eight. Проводите оценку по документу ASD Essential Eight Assessment Process Guide.

Должны ли австралийские организации внедрять ISO 27001 или Essential Eight?

Чаще всего — оба: Essential Eight как приоритетная техническая база внутри СУИБ по ISO 27001, которая обеспечивает управление, управление рисками и сертификацию.

Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.

Essential Eight и ISO 27001: почему большинство связей «косвенные»