Maturitas Essential Eight, strategi demi strategi.
Nilai delapan strategi mitigasi terhadap model maturitas Australian Signals Directorate edisi November 2023, persyaratan demi persyaratan, lihat level yang benar-benar dicapai setiap strategi, lalu tutup gap melalui remediasi, jendela patch, dan pemeriksaan berkala sampai penilaian berikutnya.
Didampingi di
- Jadwalkan dengan Perth (WhatsApp)
Australia · Whitesec AU, Perth
Peningkatan Essential Eight sesuai panduan ACSC, bersama Whitesec AU di Perth.
Tentang standar ini
Essential Eight adalah baseline delapan strategi mitigasi dari Australian Signals Directorate, dinilai terhadap model maturitas dari Level Zero sampai Level Three. Setiap level dirancang untuk menahan penyerang yang lebih mampu, dan ASD menyarankan mencapai satu level di kedelapan strategi sebelum naik ke level berikutnya.
Whitesec One menyimpan persyaratan ASD untuk setiap level dan mencatat hasil untuk masing-masing. Level sebuah strategi adalah level tertinggi yang terpenuhi beserta semua level di bawahnya, dan level organisasi adalah yang terendah dari kedelapan strategi, bukan rata-rata.
Yang dikerjakan workspace
Ruang lingkup dan target
Pernyataan ruang lingkup dengan rumusan ASD, target organisasi dari Level One sampai Level Three dengan tanggal dan justifikasi, serta target per strategi yang wajib punya justifikasi sendiri bila berbeda.
Penilaian per persyaratan
Setiap persyaratan dicatat sebagai effective, alternate control, ineffective, no visibility, not implemented, atau not applicable, beserta kualitas bukti dan metode pengujian, terhadap versi kriteria yang disebutkan.
Maturitas yang tidak bisa dibulatkan ke atas
Sebuah level terpenuhi hanya bila setiap persyaratannya effective atau ditutup alternate control, dan multi-factor authentication, hak administratif, application control, serta user application hardening ditahan di Level One sampai rencana respons insiden ditautkan.
Dari gap ke remediasi
Persyaratan yang belum terpenuhi diprioritaskan menurut besar gap-nya dan diubah menjadi tindakan remediasi dengan pemilik dan tanggal, yang dapat memunculkan tindakan korektif di register ISO 27001 bersama.
Jendela patch dari tanggal rilis
Setiap jendela dihitung dari tanggal rilis perbaikannya: 48 jam, dua minggu, atau satu bulan, tergantung aset, tingkat keparahan, dan target level Anda, dan penerimaan risiko atas sebuah patch membutuhkan orang kedua.
Bukti dan pemeriksaan berkala
Bukti per strategi dengan pemantauan kedaluwarsa, kalender kepatuhan untuk patching, pemindaian, tinjauan, pengujian, verifikasi backup, dan tinjauan akses yang berulang, serta lima laporan yang dapat diekspor.
Cara workspace menjalankannya
Kelompok demi kelompok, sesuai urutan di aplikasi, beserta halaman di dalam setiap kelompok.
- 01
Maturity
Ruang lingkup dan target, delapan strategi dengan level tercatat dan hasil penilaiannya, kriteria berversi, penilaian yang bergerak dari draft ke review ke complete, analisis gap, dan rencana remediasi.
- Scope and targets
- Mitigation strategies
- Maturity criteria
- Maturity assessments
- Gap analysis
- Remediation plan
- 02
Operations
Patch register dengan aturan jendelanya, bukti dengan tanggal kedaluwarsa, dan kalender kepatuhan untuk aktivitas berulang.
- Patch register
- Evidence
- Compliance calendar
- 03
Reporting
Maturitas per strategi, riwayat penilaian, cakupan bukti, strategi di bawah target, dan patching terhadap jendela ASD, semuanya dapat diekspor.
- Reports
Delapan strategi mitigasi
- 1
Patch applications
Pasang pembaruan keamanan aplikasi dan driver dalam jangka waktu yang ditetapkan, dan hapus aplikasi yang tidak lagi didukung.
- 2
Patch operating systems
Pasang pembaruan keamanan sistem operasi dan firmware dalam jangka waktu yang ditetapkan, dan ganti versi yang tidak lagi didukung.
- 3
Multi-factor authentication
Wajibkan autentikasi yang lebih kuat bagi pengguna dan administrator layanan daring serta repositori data penting.
- 4
Restrict administrative privileges
Validasi, batasi, dan tinjau akses istimewa, serta jauhkan akun istimewa dari email dan penjelajahan web.
- 5
Application control
Izinkan hanya program, skrip, dan library yang disetujui untuk berjalan di workstation dan server.
- 6
Restrict Microsoft Office macros
Blokir macro dari internet dan izinkan hanya macro tepercaya yang sudah diperiksa.
- 7
User application hardening
Perkuat browser web, perangkat lunak office dan PDF, serta matikan fitur yang tidak diperlukan.
- 8
Regular backups
Cadangkan data, perangkat lunak, dan pengaturan konfigurasi penting, lalu uji bahwa semuanya dapat dipulihkan.
Kontrol yang tertanam di workspace
Aturan yang ditegakkan aplikasi, agar record tetap kokoh saat diuji auditor.
- Menyelesaikan penilaian, menyetujui exception, menerima risiko atas patch, dan menunda tindakan remediasi masing-masing membutuhkan orang kedua.
- Penilaian hanya bisa diselesaikan bila setiap persyaratan dalam ruang lingkup sudah punya hasil.
- Exception kedaluwarsa dalam 365 hari dan ditandai 30 hari sebelum berakhir.
- Penilaian yang selesai beserta hasilnya dibekukan.
Yang Anda serahkan ke auditor
- Penilaian maturitas per strategi dan persyaratan
- Analisis gap dengan prioritas
- Rencana remediasi
- Patch register terhadap jendela ASD
- Bukti per strategi
- Lima laporan yang dapat diekspor
Dipakai bersama workspace lain
Essential Eight menyimpan bukti dan patch register-nya sendiri. Workspace ini membaca rencana respons insiden dari pustaka dokumen bersama, menautkan aset dan risiko dari register ISO 27001, dan memunculkan tindakan korektif di register bersama.
Pertanyaan tentang Essential Eight
Versi model maturitas mana yang dipakai?
ASD Essential Eight Maturity Model November 2023, dan setiap penilaian mencatat versi kriteria yang menjadi acuannya.
Apakah maturitas keseluruhan adalah rata-rata delapan strategi?
Tidak. Level keseluruhan Anda adalah level terendah yang dicapai di antara delapan strategi, sesuai saran ASD untuk mencapai satu level di kedelapan strategi sebelum naik.
Apakah Whitesec One memindai sistem kami?
Tidak. Whitesec One mencatat penilaian, bukti, dan status patch; aplikasi ini tidak terhubung ke atau memindai lingkungan Anda.
Lihat register Anda sendiri di Whitesec One.
Kami menunjukkan workspace untuk framework yang Anda butuhkan, bersama tim di Jakarta atau Perth.