Essential Eight 实用指南
按 Paul Gillet · 更新于 2026-10-17
Essential Eight 是澳大利亚信号局（ASD）发布的基线方案，包含针对最常见网络攻击的八项缓解策略。ASD 同时发布了一套成熟度模型，规定每项策略在成熟度等级一、二和三下分别需要满足哪些要求；这些要求本身也是 ASD《信息安全手册》（ISM）中的控制措施。
八项策略
- 修补应用程序：查找并修补应用程序中的漏洞，移除不再受支持的应用程序。
- 修补操作系统：对操作系统、驱动程序和固件采取同样的做法。
- 多因素身份验证：适用于在线服务、远程访问、特权用户，以及更高等级下的数据存储库；等级越高，越需要采用更强的（抗钓鱼）验证方式。
- 限制管理权限：授予、审查并记录特权访问，并将特权环境与其他环境隔离。
- 应用程序控制：仅允许经批准的程序、脚本、安装程序和库运行。
- 限制 Microsoft Office 宏：阻止来自互联网的宏，仅允许受信任的宏运行。
- 用户应用程序加固：加固浏览器、Office 和 PDF 软件，并限制 PowerShell 的使用。
- 定期备份：备份重要数据、软件和配置，测试恢复能力，并保护备份免遭更改和删除。
成熟度等级
每个等级针对能力更强的攻击者。等级一可阻止使用通用工具的机会型攻击者。等级二可阻止愿意投入更多时间和精力的攻击者。等级三可阻止适应性强、较少依赖公开工具的攻击者。ASD 建议先在八项策略上都达到同一等级，再考虑将其中某一项提升到更高等级，并根据自身威胁环境选择目标等级。
适用对象
澳大利亚政府非公司类英联邦实体必须依据《保护安全政策框架》实施 Essential Eight，目标为成熟度等级二。澳大利亚的许多州政府、受监管企业和网络保险公司也会要求采用。对其他机构而言，它是经过充分验证、按优先级排列的技术基线。
评估方式
Essential Eight 并不颁发认证证书。评估需遵循 ASD 的《Essential Eight 评估流程指南》，可由组织内部进行，也可委托第三方评估机构完成。每项策略单独评估，只有满足该等级及所有较低等级的全部要求，该策略才算达到相应等级。证据质量至关重要：直接测试控制措施证据力最强，审查配置属于良好证据，文档证据较弱，仅凭访谈证据最弱。
实施步骤
- 为组织选定目标成熟度等级，通常起步阶段以等级二为目标。
- 评估每项策略的当前等级，能够进行系统级测试的应尽量采用。
- 确定差距优先级，先将所有策略提升到同一等级。
- 实施控制措施并留存证据，对任何例外情况记录补偿性控制措施及负责人。
- 定期重新评估：修补和权限控制容易迅速失效。
Essential Eight 与其他框架
ISO 27001 和 NIST CSF 描述的是预期成果，而 Essential Eight 规定了具体的技术设置和时限。因此，大多数 Essential Eight 控制措施只与 ISO 或 NIST 的要求弱相关：这些框架要求您管理漏洞或控制访问，但并不要求阻止互联网宏或在规定时间内完成修补。ASD 未发布对照映射，因此本站的每一条 Essential Eight 关联都是 ControlMapping 的编辑判断，并附有理由说明。
本站的用途
ControlMapping 列出了 ASD 为 Essential Eight 标注的 ISM 控制措施，按策略及其成熟度等级分组，数据来源于固定版本的 ISM（CC BY 4.0 许可）。下表显示您现有框架已覆盖多少 Essential Eight 内容；预计覆盖比例不高，这正是 Essential Eight 的设计初衷。
已有其他框架？
您可能已遵循的每个 Essential Eight 框架，有多少项要求与之对应。打开差距报告可查看逐条要求列表。
| 如果您已有 | Essential Eight 项要求已映射 | 仅弱相关 | 无映射 | |
|---|---|---|---|---|
| NIST CSF 2.0 | 57 / 126 | 69 | 0 | 差距报告 → · 对比 |
| ISO 27001 | 57 / 126 | 69 | 0 | 差距报告 → · 对比 |
| CIS v8.1 | 57 / 126 | 69 | 0 | 差距报告 → |
| SOC 2 | 57 / 126 | 69 | 0 | 差距报告 → |
| PCI DSS | 57 / 126 | 69 | 0 | 差距报告 → |
| CMMC | 57 / 126 | 69 | 0 | 差距报告 → |
| 800-53 | 57 / 126 | 69 | 0 | 差距报告 → |
| NIS2 | 57 / 126 | 69 | 0 | 差距报告 → |
| DORA | 45 / 126 | 76 | 5 | 差距报告 → |
| Cyber Essentials | 39 / 126 | 72 | 15 | 差距报告 → |
| HIPAA | 30 / 126 | 96 | 0 | 差距报告 → |
| GDPR | 15 / 126 | 82 | 29 | 差距报告 → |
| CPS 234 | 9 / 126 | 28 | 89 | 差距报告 → |
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 计数来源与 差距分析 相同的数据；映射仅表示相关要求，并不证明一项要求满足另一项。
常见问题
Essential Eight 是强制性的吗？
对于澳大利亚政府非公司类英联邦实体而言，依据《保护安全政策框架》，是强制性的。对其他机构来说则是自愿性的，但客户、监管机构和保险公司可能会要求采用。
我们应以哪个成熟度等级为目标？
ASD 建议根据自身威胁环境选择一个等级，并先在八项策略上全部达到该等级，再继续推进。等级二通常是首个目标。
Essential Eight 有认证吗？
没有。机构依据 ASD 的《Essential Eight 评估流程指南》接受评估，可由内部或第三方评估人员进行，但不会颁发任何证书。
本内容不构成法律或合规建议。在依赖本内容之前，请核对官方原文，并咨询您的审计师、评估机构或监管机构。