选择 Essential Eight 目标成熟度等级

ASD 的《Essential Eight 成熟度模型》为八项缓解策略各设定了三个等级。一个常见误区是把它们当作等级评分，把三级视为所有人的目标。实际上它们并不是评分。每个等级都针对一类不同的攻击者，正确目标取决于你所面临的威胁环境。

各等级的用途

• 一级可阻挡机会型攻击者使用的通用攻击手段：广泛流传的漏洞利用、被盗凭据、发送给任何人的恶意文档。
• 二级可阻挡愿意投入更多时间和精力、专门针对某一组织、但仍主要依赖已知技术的攻击者。
• 三级可阻挡适应性强的攻击者，这类攻击者较少依赖公开工具，能迅速利用新漏洞，并设法规避检测。

各等级要求逐级收紧：修补期限更短；MFA 覆盖更多用户和系统，并采用抗钓鱼的方式；应用程序控制覆盖更多系统和文件类型；对管理员权限和备份的限制更严格。

如何选择

1. 从威胁出发。 谁会想要你所持有的东西？政府数据、关键基础设施、金融服务以及高价值知识产权，会吸引能力更强的攻击者。
2. 检查义务。 澳大利亚政府非公司类英联邦实体应达到成熟度二级。客户、监管机构和保险公司也可能提出各自的期望。
3. 对自身能力保持现实判断。 三级要求工程投入和运营纪律，小型 IT 团队可能难以长期维持。
4. 八项策略统一选择一个目标。 ASD 建议在提高任何一项策略的等级之前，先让所有策略达到同一等级。若修补达到三级而应用程序控制仍为零级，攻击者依然有可乘之机。

典型路径

• 大多数组织：八项策略先全部达到一级，再提升至二级。
• 处理敏感政府数据或关键数据的组织：以二级为基线，并在风险最高的系统上落实选定的三级要求。
• 高威胁环境：三级，通常逐个系统推进。

记录决策

若你运行 ISO 27001 ISMS，请将所选等级及其理由记录在风险评估和适用性声明中。这能为审计人员和评估人员提供依据，并使 Essential Eight 成为对应附录 A 控制措施的实施标准，正如我们的Essential Eight 与 ISO 27001 分析所述。

设定目标时的常见误区

• 只在一项策略上追求三级，而其他策略仍处于零级。攻击者利用的是最薄弱的策略，而非最强的。
• 统计覆盖范围，而非有效性。 应用程序控制只部署在一半的工作站上，并不能算达到一级；每项要求都必须在范围内的所有系统上得到满足。
• 忽视例外情况。 每项例外（例如未打补丁的遗留系统、免于宏阻止的用户）都需要明确负责人、补偿性控制措施和结束日期，否则成熟度等级就只是虚构。
• 通过访谈进行评估。 ASD 的评估指南对证据进行了排序：直接测试控制措施的证据力最强，文档和访谈的证据力最弱。仅基于人员口述的自评往往会高估成熟度。
• 只设定一次目标。 威胁会变化，成熟度模型也会变化；ASD 会定期更新该模型。请每年结合风险评估一并复核目标。

核心要点

• 每个成熟度等级针对不同的攻击者；应根据威胁和义务进行选择。
• 在提高任何策略的等级之前，先让八项策略都达到同一等级。
• 二级通常是首个目标。

衡量进展

依据 ASD 的《Essential Eight 评估流程指南》对每项策略进行评估，条件允许时采用系统测试；只有当某项策略满足该等级及以下所有要求时，才算达到该等级。将八项策略中达到的最低等级作为核心指标进行跟踪。

每项策略的页面都按成熟度等级列出其 ISM 控制措施，例如修补应用程序和多因素认证。Essential Eight 指南对评估有更详细的说明。

常见问题

我们应将 Essential Eight 的成熟度目标设为哪一级？

按威胁选择：一级针对使用通用工具的机会型攻击者，二级针对愿意投入更多精力的攻击者，三级针对适应性强的攻击者。二级通常是首个目标，也是澳大利亚政府非公司类英联邦实体的期望等级。

不同策略能否处于不同的成熟度等级？

可以分别评估，但 ASD 建议在提升任何一项策略之前，先让八项策略都达到同一等级。

达到成熟度二级需要多长时间？

这取决于起点和环境规模。八项策略均已达到一级的组织通常可在数月内达到二级；从零开始的组织则应逐项策略制定更长的规划。