Essential Eight 与 ISO 27001：为何多数对应关系只是“弱相关”

澳大利亚的组织越来越多地同时面对两者：客户和投标要求 ISO 27001，政府项目、监管机构和保险公司则要求 ASD 的 Essential Eight。两者相互映射会得出一个不寻常的结果，而理解这一结果，能避免许多不必要的错误信心。

两个方向

方向	已映射	弱相关	无映射
已有 ISO 27001 → 需要 Essential Eight	57 / 126 (45%)	69	0	报告 →
已有 Essential Eight → 需要 ISO 27001	23 / 123 (19%)	39	61	报告 →

从 ISO 27001 映射到 Essential Eight，每项 Essential Eight 控制措施要么与 ISO 中的某项内容匹配，要么属于弱相关，没有一项完全找不到对应。然而，只有约一半可以做到高度匹配。从 Essential Eight 映射到 ISO 27001 则情况相反：ISO 的大部分内容都未被覆盖，因为八项缓解策略从来就不是为了构成一个完整的计划而设计的。

按策略划分

Essential Eight 章节	已映射	弱相关	无映射
Patch applications	6 / 12	6	0
Patch applications & Patch operating systems	2 / 2	0	0
Patch operating systems	5 / 15	10	0
Multi-factor authentication	7 / 16	9	0
Restrict administrative privileges	9 / 20	11	0
Application control	6 / 11	5	0
Restrict Microsoft Office macros	1 / 11	10	0
User application hardening	7 / 20	13	0
Regular backups	6 / 11	5	0
Logging and incident response (all strategies)	8 / 8	0	0

已有 ISO 27001，需要 Essential Eight。 逐条要求： 打开差距报告 →

为何“弱相关”占主导

Essential Eight 与 ISO 27001 分处一个光谱的两端。

ISO 27001 规定要管理什么。 A.8.8 要求您管理技术脆弱性；A.8.2 要求限制特权访问；A.8.7 要求防范恶意软件；A.8.13 要求备份信息。具体怎么做、做到什么程度，则取决于您的风险评估。

Essential Eight 明确规定要做什么、何时做。 在互联网暴露的服务须在规定期限内打补丁，且期限随每个成熟度级别逐步收紧。阻止来自互联网的 Office 宏。仅允许已批准的程序、脚本和库运行。在较高级别使用抗钓鱼的多因素认证。测试备份的恢复能力。每项要求都是带有成熟度级别的 ISM 控制措施。

因此，一项 ISO 控制措施与一项 Essential Eight 控制措施通常针对同一结果，但其中一项并不能满足另一项。在我们的数据中，这表现为弱相关：两者共享同一个 NIST CSF 2.0 结果，但没有人发布过对照映射，而从“管理脆弱性”到“在规定期限内打补丁”之间的差距，需要实实在在的工作。

这在实践中意味着什么

• ISO 认证并不能说明 Essential Eight 的成熟度。 一个组织可以通过认证，但在应用程序控制方面仍处于成熟度零级。
• Essential Eight 让您的 ISMS 更有约束力。 以其要求作为对应附录 A 控制措施（A.8.8、A.8.2、A.8.5、A.8.7、A.8.9、A.8.13）的实施标准，可将 ISO 基于风险的控制措施转化为具体、可测试的设置。
• ISMS 为 Essential Eight 提供载体。 风险评估选定目标成熟度级别；内部审计对其进行核查；管理评审跟踪进展。

核心要点

• 多数 Essential Eight 控制措施与 ISO 27001 只是弱相关。
• 在 ISMS 内部，将 Essential Eight 作为实施标准加以使用。

实践方法

1. 通过 ISO 风险评估选定 Essential Eight 的目标成熟度级别，并将其记录在适用性声明中。
2. 将该级别的 Essential Eight 要求写入您的附录 A 控制措施描述中。
3. 按照 ASD 的流程进行评估，并将未通过项视为 ISO 不符合项，采取纠正措施。
4. 使用 Essential Eight 策略页面按成熟度级别查看每项控制措施，并通过 ISO 27001 → Essential Eight 差距报告查看完整清单。

ASD 未发布从 Essential Eight 到 ISO 27001 的对照映射，因此此处的每一项关联均为 ControlMapping 的编辑说明判断。我们的 Essential Eight 指南解释了成熟度模型和评估方法。

常见问题

通过 ISO 27001 认证是否意味着我们符合 Essential Eight？

不是。ISO 27001 要求涵盖相同的领域（补丁管理、访问控制、恶意软件防护、备份），但并不要求 Essential Eight 的具体设置、时间表和成熟度级别。请依据 ASD 的《Essential Eight 评估流程指南》进行评估。

澳大利亚的组织应该选择 ISO 27001 还是 Essential Eight？

通常两者兼用：将 Essential Eight 作为优先级明确的技术基线，并将其置于 ISO 27001 ISMS 之内，由后者提供治理、风险管理和认证。