Cyber Essentials与Essential Eight对比：两项国家基线的比较
两者都简短、偏技术，并有政府背书。一个认证五项控制，另一个按成熟度为八项策略评级。完成其中一个，就能在另一个上取得部分进展。
英国和澳大利亚各自发布了一份简短的技术控制清单，用于阻止大多数常见攻击。英国的是Cyber Essentials，由国家网络安全中心（NCSC）主导，并由IASME负责实施；澳大利亚的是Essential Eight，由澳大利亚信号局（ASD）发布。两者常被相提并论，而在两国都有业务的组织自然会问：如果我们已经拥有其中一个，它能让我们离另一个有多近？
制定方式
Cyber Essentials认证五项技术控制：防火墙、安全配置、安全更新管理、用户访问控制和恶意软件防护。当前要求为3.3版，自2026年4月27日起适用。认证分两个级别：经核验的自我评估，以及增加了实际技术测试的Cyber Essentials Plus。证书有效期为一年。
Essential Eight是一组八项缓解策略（应用程序打补丁、操作系统打补丁、多因素身份验证、限制管理员权限、应用程序控制、限制Office宏、用户应用程序加固以及定期备份），每项策略都在三个成熟度级别之一实施。ControlMapping对ASD标注了这些级别的126 ISM 控制项进行了映射。该体系没有认证：组织可自行评估，也可委托他人评估。自2022年7月1日起，《保护性安全政策框架》（Protective Security Policy Framework）要求澳大利亚非公司类联邦实体至少在成熟度二级实施全部八项策略。
从Essential Eight到Cyber Essentials
在 Cyber Essentials 的 5 个技术控制中，4（80%）可映射到 Essential Eight 中的内容，0 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →
| Cyber Essentials | 要求 | 匹配 | Essential Eight |
|---|---|---|---|
| CE 1 | Firewalls | 本站数据中无映射 | — |
| CE 2 | Secure Configuration | 编辑说明 | ISM-1412ISM-1585ISM-1621ISM-1654 |
| CE 3 | Security Update Management | 编辑说明 | ISM-1501ISM-1691ISM-1693ISM-1695 |
| CE 4 | User Access Control | 编辑说明 | ISM-0445ISM-0974ISM-1173ISM-1175 |
| CE 5 | Malware protection | 编辑说明 | ISM-0843ISM-1488ISM-1490ISM-1544 |
Cyber Essentials的大部分内容在Essential Eight中都有对应项。例外是防火墙：没有任何Essential Eight策略涉及边界防火墙或主机防火墙，因此实施Essential Eight的组织需要自行处理这一控制。
从Cyber Essentials到Essential Eight
在 Essential Eight 的 126 个ISM 控制项中，39（31%）可映射到 Cyber Essentials 中的内容，72 个仅弱相关，15 个在本站数据中无映射。 打开差距报告 →
反过来看，Cyber Essentials只覆盖了Essential Eight的一部分，这并不意外：它只有五项控制，而Essential Eight有一份更长的分级要求清单。最大的差距包括：
- 定期备份。 Cyber Essentials 3.3版强调备份数据的重要性，但并不强制要求。备份是八项策略之一，且每个成熟度级别都要求经过测试的恢复能力。
- Office宏与用户应用程序加固。 Cyber Essentials的安全配置控制会删除不必要的软件并禁用自动运行，但不涉及宏，也不涉及浏览器和PDF加固。
- 成熟度级别与时限。 当两者要求相同时，Essential Eight通常在较高级别更加具体，例如面向互联网的服务漏洞须在多长时间内修补，以及特权访问的日志记录和保护。
- 事件报告。 部分Essential Eight控制要求报告网络安全事件；而Cyber Essentials完全没有事件相关要求。
本站数据中与Cyber Essentials没有关联的要求如下：
| Essential Eight | 要求 | 匹配 | Cyber Essentials |
|---|---|---|---|
| ISM-1511 | Backups of data, applications and settings are performed and retained in accordance… | 本站数据中无映射 | — |
| ISM-1515 | Restoration of data, applications and settings from backups to a common point in time… | 本站数据中无映射 | — |
| ISM-1705 | Privileged user accounts (excluding backup administrator accounts) cannot access… | 本站数据中无映射 | — |
| ISM-1706 | Privileged user accounts (excluding backup administrator accounts) cannot access their… | 本站数据中无映射 | — |
| ISM-1707 | Privileged user accounts (excluding backup administrator accounts) are prevented from… | 本站数据中无映射 | — |
| ISM-1708 | Backup administrator accounts are prevented from modifying and deleting backups during… | 本站数据中无映射 | — |
| ISM-1810 | Backups of data, applications and settings are synchronised to enable restoration to a… | 本站数据中无映射 | — |
| ISM-1811 | Backups of data, applications and settings are retained in a secure and resilient manner | 本站数据中无映射 | — |
| ISM-1812 | Unprivileged user accounts cannot access backups belonging to other user accounts | 本站数据中无映射 | — |
| ISM-1813 | Unprivileged user accounts cannot access their own backups | 本站数据中无映射 | — |
| ISM-1814 | Unprivileged user accounts are prevented from modifying and deleting backups | 本站数据中无映射 | — |
| ISM-0123 | Cyber security incidents are reported to the chief information security officer, or one… | 本站数据中无映射 | — |
| ISM-0140 | Cyber security incidents are reported to ASD as soon as possible after they occur or… | 本站数据中无映射 | — |
| ISM-1815 | Event logs are protected from unauthorised modification and deletion | 本站数据中无映射 | — |
| ISM-1819 | Following the identification of a cyber security incident, the cyber security incident… | 本站数据中无映射 | — |
按主题看两者的一致之处
| 框架 | 补丁管理 | 链接 |
|---|---|---|
| NIST CSF 2.0 | PR.PS-02 | 主题定义 |
| ISO 27001 | A.8.8 | 对照映射 |
| CIS v8.1 | CIS 2.2CIS 7.3CIS 7.4CIS 12.1 | 对照映射 |
| SOC 2 | CC7.1 | 编辑说明 |
| PCI DSS | 6.3.16.3.3 | 对照映射 |
| CMMC | SI.L2-3.14.1 | 对照映射 |
| 800-53 | SI-2 | 对照映射 |
| HIPAA | — | |
| GDPR | — | 本站数据中无映射 |
| NIS2 | 6.6 | 对照映射 |
| Essential Eight | ISM-1876ISM-1691ISM-1693ISM-1877ISM-1695ISM-1704ISM-1501 | 编辑说明 |
| DORA | Art.9(4)(f) | 编辑说明 |
| CPS 234 | — | 本站数据中无映射 |
| Cyber Essentials | CE 3 | 编辑说明 |
完整详情及每条关联的依据： 补丁管理 跨框架对照 →
| 框架 | 多因素认证 | 链接 |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | 主题定义 |
| ISO 27001 | A.8.5 | 对照映射 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | 编辑说明 |
| SOC 2 | CC6.1 | 编辑说明 |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | 编辑说明 |
| CMMC | IA.L2-3.5.3 | 对照映射 |
| 800-53 | IA-2(1)IA-2(2) | 对照映射 |
| HIPAA | — | |
| GDPR | — | 本站数据中无映射 |
| NIS2 | 11.611.7 | 对照映射 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | 编辑说明 |
| DORA | Art.9(4)(d) | 编辑说明 |
| CPS 234 | — | 本站数据中无映射 |
| Cyber Essentials | CE 4 | 编辑说明 |
完整详情及每条关联的依据： 多因素认证 跨框架对照 →
打补丁和多因素身份验证是最明确的共同点。Cyber Essentials对更新设定了单一规则（严重及高风险修复须在14天内完成），并在可用之处要求启用MFA，云服务则必须启用；Essential Eight则在每个成熟度级别设定了不同的时限和MFA适用范围。
选用哪一个
如果合同要求其中之一，则以合同为准：英国政府采购方要求Cyber Essentials，澳大利亚政府实体则依据Essential Eight开展工作。如果可以自由选择，两者搭配效果很好。Cyber Essentials为基本的最低标准提供了外部证书；Essential Eight则为进一步提升提供了路径，其中包括Cyber Essentials未涵盖的备份和应用程序加固。若要同时满足两者，请按Essential Eight建设，补充防火墙规则，并核对补丁时限：Cyber Essentials的14天规则适用于每一个严重或高风险更新，对于某些软件而言，它可能比较低成熟度级别的要求更严格。
核心要点
- Cyber Essentials的大部分内容与Essential Eight相对应；防火墙是其中的缺口。
- Cyber Essentials只覆盖Essential Eight的一部分：备份、宏与应用程序加固，以及成熟度级别的细节，都是额外要求。
- 两家机构均未发布映射，因此请将这些链接视为起点，并核实具体细节。
下一步
可查看Cyber Essentials和Essential Eight框架页面，运行差距分析将对比结果导出为跟踪表，或阅读我们的Essential Eight指南。
常见问题
Cyber Essentials认证是否满足Essential Eight的要求？
不满足。两者在打补丁、多因素身份验证、管理员权限和应用程序控制方面有重叠，但Essential Eight还要求定期备份、Office宏与应用程序加固，并设定了各成熟度级别及其各自的时限。Cyber Essentials还认证防火墙，而Essential Eight的任何策略都不涵盖防火墙。
Essential Eight有认证吗？
没有类似Cyber Essentials的认证方案。组织可依据ASD的成熟度模型自行评估，或委托独立机构进行评估。Cyber Essentials是一种认证，分为两个级别，即Cyber Essentials和Cyber Essentials Plus。
两者之间是否存在官方映射？
NCSC和ASD均未发布映射。ControlMapping上的链接属于编辑判断，每条链接都会说明其理由。
数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。 对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。
相关文章
分析 · 2026-10-27APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么ISO 27001 ISMS 几乎涵盖了 APRA CPS 234 的每一段内容，但 APRA 还增加了董事会职责、第三方保证以及严格的通知时限。
分析 · 2026-10-27DORA 与 NIS2 对比：已有 NIS2 计划能覆盖什么DORA 与 NIS2 的安全内容大部分相同，但 DORA 增加了登记册、合同条款和威胁驱动测试。逐条说明哪些内容可以延续沿用。
分析 · 2026-10-1311 种安全框架的 MFA 要求对比哪些框架要求 MFA、针对哪些人群以及要求强度如何：PCI DSS、CMMC、NIS2、Essential Eight、ISO 27001、SOC 2 和 HIPAA 并排对比。