澳大利亚以外的组织应该使用 Essential Eight 吗？

在澳大利亚以外，大多数安全团队听说过 Essential Eight，但很少有人实际使用。它看起来像是本地标准：由澳大利亚信号局发布，对澳大利亚政府实体具有强制性，并被澳大利亚的监管机构和保险公司引用。但通读这八项策略，其中没有任何内容是澳大利亚特有的：修补应用程序和操作系统、使用多因素认证、限制管理员权限、控制可运行的程序、限制 Office 宏、加固用户应用程序、定期备份。这是一份通用清单。

为何任何地方都值得一看

• 它有优先级。 八项策略，而不是数百项控制措施。对于一个需要决定先做什么的小团队来说，这本身就很有价值。
• 它足够具体。 ISO 27001 要求“管理技术脆弱性”，而 Essential Eight 则按成熟度等级规定了补丁修补时限。具体的要求更易于实施和测试。
• 它针对真实的攻击路径。 其策略针对的是大量真实入侵背后的技术手段：恶意文档、未打补丁的面向互联网系统、被窃取的凭据、被滥用的管理员权限以及勒索软件。
• 它免费且持续维护。 ASD 依据开放许可协议，定期更新成熟度模型及其所依据的 ISM 控制措施。

为何仅靠它还不够

Essential Eight 是一个技术基线，而不是一项计划。它对治理、风险管理、供应商、事件响应规划或物理安全只字未提。正如我们的与 ISO 27001 的对比所示，即便实施了它，管理体系框架的大部分内容仍未被触及：

在 ISO 27001 的 123 个附录 A 控制措施及 ISMS 条款中，23（19%）可映射到 Essential Eight 中的内容，39 个仅弱相关，61 个在本站数据中无映射。 打开差距报告 →

它如何与其他框架协同

• 与 ISO 27001 配合：将 Essential Eight 用作对应附录 A 控制措施的实施标准，具体选择通过风险处置来确定。
• 与 NIST CSF 2.0 配合：用它界定目标配置文件中相关保护类结果的“达成”含义。
• 与 CIS Controls 配合：两者都是技术基线。CIS 覆盖范围更广，而 Essential Eight 在其八个主题上更具规范性。许多团队用 CIS IG1 保证广度，用 Essential Eight 加强补丁、宏和应用程序控制方面的深度。

实际采用时的样子

对于澳大利亚以外的组织，较为稳妥的做法是将 Essential Eight 视为自评基准，而不是认证目标：

1. 对全部八项策略进行成熟度一级自评。 这是一份简短而具体的清单，差距会很快显现。
2. 优先修复对您的威胁画像最重要的差距，通常是面向互联网系统的补丁、多因素认证，以及宏和应用程序控制。
3. 将结果记录到您现有的框架中：例如写入 ISO 27001 适用性声明、NIST CSF 目标配置文件或 CIS Controls 实施计划。
4. 在威胁情况确有需要时升级到二级。

这些都不需要 ASD 参与，也不需要澳大利亚的评估人员。策略页面（例如修补应用程序）列出了每个等级的要求。

核心要点

• Essential Eight 的策略具有普适性，即使其授权范围仅限澳大利亚。
• 它是技术基线，而不是计划；应将其与治理框架搭配使用。
• 在任何地方，进行成熟度一级自评都是快速且有用的练习。

我的看法

如果您身处澳大利亚以外，且没有人要求您遵循它，您就无需依据 Essential Eight 接受评估。但您应当通读一遍。很少有文件能如此清楚地说明什么真正能阻止常见攻击，也很少有文件能更好地检验您的“管理漏洞”控制措施能否经受攻击者的考验。

Essential Eight 指南解释了成熟度模型，而各策略页面（例如应用程序控制）则按等级列出了相应的控制措施。

常见问题

Essential Eight 仅适用于澳大利亚的组织吗？

它由 ASD 为澳大利亚编写，仅对澳大利亚政府的非公司类联邦实体具有强制性，但其指南可免费获取，适用于任何组织。

Essential Eight 与 CIS Controls 相比如何？

两者都是有优先级的技术基线。CIS Controls 覆盖范围更广（18 项控制措施，153 项保障措施）；Essential Eight 范围更窄，但更具规范性，在每个成熟度等级都有具体设置和时限。

Essential Eight 的要求会变化吗？

会。ASD 会定期更新成熟度模型及其所依据的 ISM 控制措施，因此在评估前请核对当前版本。