Essential Eight: практическое руководство

По параметру «Paul Gillet» · Обновлено 2026-10-17

Essential Eight — базовый набор из восьми стратегий снижения рисков от Австралийского управления сигналов (ASD) против наиболее распространённых кибератак. ASD публикует его вместе с моделью зрелости, которая описывает требования каждой стратегии на уровнях зрелости один, два и три. Сами требования являются мерами контроля в Информационном руководстве по безопасности (ISM) ASD.

Восемь стратегий

• Установка исправлений в приложениях: находить и устранять уязвимости в приложениях, а также удалять неподдерживаемые приложения.
• Установка исправлений в операционных системах: то же самое для операционных систем, драйверов и микропрограмм.
• Многофакторная аутентификация: для онлайн-сервисов, удалённого доступа, привилегированных пользователей и, на более высоких уровнях, хранилищ данных, с переходом к более стойким (устойчивым к фишингу) методам по мере роста уровня.
• Ограничение административных привилегий: предоставлять, проверять и журналировать привилегированный доступ, а также разделять привилегированные среды.
• Контроль приложений: запускаться могут только одобренные программы, скрипты, установщики и библиотеки.
• Ограничение макросов Microsoft Office: блокировать макросы из интернета и разрешать только доверенные.
• Усиление защиты пользовательских приложений: усилить настройки браузеров, Office и программ для PDF, а также ограничить использование PowerShell.
• Регулярное резервное копирование: резервировать важные данные, ПО и настройки, проверять восстановление и защищать копии от изменения и удаления.

Уровни зрелости

Каждый уровень рассчитан на более подготовленного противника. Уровень один защищает от оппортунистических атакующих, использующих готовые инструменты. Уровень два — от противников, готовых вложить больше времени и усилий. Уровень три — от адаптивных противников, которые меньше зависят от общедоступных инструментов. ASD рекомендует довести все восемь стратегий до одного и того же уровня, прежде чем повышать какую-либо из них, и выбирать целевой уровень исходя из вашей угрозовой среды.

Кто обязан внедрять

Австралийские государственные некорпоративные структуры Содружества обязаны внедрять Essential Eight в рамках Protective Security Policy Framework с целевым уровнем зрелости два. Многие государственные органы штатов, регулируемые компании и страховщики киберрисков в Австралии также его требуют. Для остальных это хорошо проверенная приоритизированная техническая база.

Как проходит оценка

Сертификата Essential Eight не существует. Оценки проводятся по Essential Eight Assessment Process Guide ASD и могут выполняться внутренними силами или сторонним оценщиком. Каждая стратегия оценивается отдельно, и стратегия получает уровень только тогда, когда выполнены все требования этого уровня и всех нижних уровней. Качество доказательств важно: прямое тестирование меры контроля — самое сильное доказательство, проверка конфигурации — хорошее, документация — слабее, а одно только интервью — самое слабое.

Этапы

1. Выберите целевой уровень зрелости для организации, обычно начните с уровня два.
2. Оцените текущий уровень по каждой стратегии, по возможности используя тестирование на уровне систем.
3. Определите приоритеты устранения разрывов, сначала доведя все стратегии до одного уровня.
4. Внедрите меры контроля и собирайте доказательства, фиксируя исключения вместе с компенсирующими мерами и ответственным владельцем.
5. Регулярно проводите повторную оценку: исправления и контроль привилегий быстро устаревают.

Essential Eight и другие стандарты

ISO 27001 и NIST CSF описывают желаемые результаты, а Essential Eight задаёт конкретные технические настройки и сроки. Поэтому большинство мер Essential Eight лишь косвенно связано с требованиями ISO или NIST: эти стандарты требуют управлять уязвимостями или контролировать доступ, но не предписывают блокировать макросы из интернета или устанавливать исправления в заданный срок. ASD не публикует таблицу соответствий, поэтому каждая связь Essential Eight на этом сайте является редакционным суждением ControlMapping с указанием причины.

Как помогает этот сайт

ControlMapping перечисляет меры ISM, которые ASD относит к Essential Eight, сгруппированные по стратегиям с их уровнями зрелости, по зафиксированной версии ISM (CC BY 4.0). Таблица ниже показывает, какую часть Essential Eight уже покрывают ваши существующие стандарты; ожидайте, что доля будет скромной, и в этом и состоит смысл Essential Eight.

Уже используете другой фреймворк?

Сколько требований Essential Eight, которые вы, возможно, уже выполняете, сопоставлено с каждым стандартом. Откройте отчёт о разрывах для построчного списка требований.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Подсчеты основаны на тех же данных, что и анализ разрывов; сопоставление означает связанные требования, а не доказательство того, что одно выполняет другое.

Вопросы

Essential Eight обязателен?

Для австралийских государственных некорпоративных структур Содружества — да, в рамках Protective Security Policy Framework. Для других организаций это добровольно, хотя клиенты, регуляторы и страховщики могут его потребовать.

Какой уровень зрелости нам стоит выбрать?

ASD советует выбирать уровень исходя из вашей угрозовой среды и довести его до всех восьми стратегий, прежде чем двигаться дальше. Уровень два — обычная первая цель.

Есть ли сертификация Essential Eight?

Нет. Организации оцениваются по Essential Eight Assessment Process Guide ASD, внутренними силами или сторонними оценщиками, но сертификат не выдаётся.

Не является юридической или комплаенс-консультацией. Перед использованием сверьтесь с официальным текстом и уточните у своего аудитора, оценщика или регулятора.