Qu’est-ce que l’Essential Eight
Qu’est-ce que l’Essential Eight australien?
L’Essential Eight australien est un ensemble de huit stratégies d’atténuation de cybersécurité publiées par l’Australian Signals Directorate (ASD) et l’Australian Cyber Security Centre (ACSC) pour atténuer les incidents de cybersécurité. Trois niveaux de maturité (ML1, ML2, ML3) définissent une mise en œuvre de plus en plus rigoureuse.
Associer vos contrôles de l’Essential Eight Voir les huit stratégies
ML1 · ML2 · ML3 · modèle de maturité de l’ASD / ACSC
Définition
L’Essential Eight est issu des anciennes directives « Top 4 » de l’ASD et est devenu la base de référence de cybersécurité dominante pour le gouvernement australien et les organisations qui gravitent autour de lui. L’ACSC tient à jour le modèle de maturité publié de l’Essential Eight, qui définit les exigences de mise en œuvre précises à chaque niveau de maturité.
Les huit stratégies sont : (1) contrôle des applications, (2) correctifs des applications, (3) configuration des paramètres de macros de Microsoft Office, (4) durcissement des applications utilisateur, (5) restriction des privilèges d’administrateur, (6) correctifs des systèmes d’exploitation, (7) authentification multifacteur, (8) sauvegardes régulières.
Le niveau de maturité 1 est la base. ML2 ajoute des contrôles et des délais plus courts. ML3 ajoute les contrôles les plus rigoureux, dont l’application de correctifs aux applications en 48 heures pour les services exposés à Internet. Pour les entrepreneurs du gouvernement australien, l’Essential Eight au niveau de maturité précisé au contrat est une barrière d’approvisionnement.
Composantes principales
Stratégie 1 : contrôle des applications
Liste d’autorisation des exécutables, bibliothèques logicielles, scripts, programmes d’installation et autres codes afin d’empêcher l’exécution de programmes non approuvés.
Stratégie 2 : correctifs des applications
Appliquer les correctifs aux applications exposées à Internet selon les délais prescrits (48 heures à ML3 pour les services exposés à Internet présentant des vulnérabilités exploitées connues).
Stratégie 3 : configuration des paramètres de macros de Microsoft Office
Bloquer les macros provenant d’Internet et n’autoriser que les macros signées numériquement, avec une mise en œuvre précise prescrite aux niveaux de maturité supérieurs.
Stratégie 4 : durcissement des applications utilisateur
Configuration du navigateur Web, du lecteur PDF et d’Office pour désactiver les fonctions risquées (Flash, publicités de sources non fiables, OLE et semblables).
Stratégie 5 : restriction des privilèges d’administrateur
Limiter les privilèges d’administrateur aux personnes qui en ont besoin, avec une élévation juste-à-temps aux niveaux de maturité supérieurs.
Stratégie 6 : correctifs des systèmes d’exploitation
Appliquer les correctifs aux systèmes d’exploitation selon des délais prescrits, alignés sur la gravité.
Stratégie 7 : authentification multifacteur
AMF pour les comptes privilégiés, les services exposés à Internet et d’autres services aux niveaux de maturité supérieurs.
Stratégie 8 : sauvegardes régulières
Sauvegarde des données, des logiciels et de la configuration importants, avec conservation, essais de restauration et protection contre les événements cybernétiques destructeurs.
Pourquoi c’est important
Pour les entrepreneurs du gouvernement australien, la conformité à l’Essential Eight au niveau de maturité précisé est une barrière d’approvisionnement. L’Information Security Manual (ISM) du gouvernement australien et le Protective Security Policy Framework (PSPF) exigent la mise en œuvre de l’Essential Eight pour les entités gouvernementales.
Pour les FSG australiens qui servent le gouvernement et des clients qui gravitent autour de lui, offrir la préparation à l’Essential Eight est devenu un service facturable. On s’attend aussi généralement à ce que le FSG lui-même maintienne l’Essential Eight au niveau qui correspond à l’exigence du client.
Au-delà de l’Australie, l’Essential Eight exerce une influence comme modèle de directives de cybersécurité prescriptives. Des organisations d’autres pays le citent comme référence de maturité.
Comment Lavawall® aide pour l’Essential Eight australien
Lavawall® inclut l’Essential Eight australien comme cadre de premier plan aux trois niveaux de maturité. La correspondance stratégie par stratégie reflète les exigences de mise en œuvre prescriptives que l’ASD énonce, et non une interprétation générique.
Pour la stratégie 1 (contrôle des applications), Lavawall® offre la prévention d’exécution pour des outils à haut risque désignés (sans pilote noyau). Il s’agit d’une liste de blocage plutôt que d’une liste d’autorisation complète; la liste d’autorisation qu’exige cette stratégie nécessite donc encore un outil dédié. Les stratégies 2 et 6 (correctifs) sont assurées par le catalogue de plus de 7 400 applications avec correctifs sous Windows, macOS et Linux. Les stratégies 3 et 4 (macros d’Office et durcissement des applications utilisateur) sont assurées par l’évaluation de la configuration. La stratégie 5 (accès privilégiés) est soutenue par l’évaluation de la configuration et par l’élévation des privilèges d’administrateur, qui accorde des droits d’administrateur juste-à-temps sous Windows avec des règles fondées sur les certificats et le cloisonnement. La stratégie 7 (AMF) est assurée par les connecteurs ITDR de M365, d’Entra et de Google Workspace. La stratégie 8 (sauvegardes) est assurée par la surveillance du système de sauvegarde.
Commencer l’association de vos contrôles de l’Essential Eight →
Questions fréquentes
- Quelle est la différence entre ML1, ML2 et ML3?
- ML1 est la mise en œuvre de base. ML2 ajoute des contrôles et des délais plus courts. ML3 ajoute les contrôles les plus rigoureux, dont l’application de correctifs aux applications en 48 heures pour les services exposés à Internet et des exigences plus strictes pour les macros et les accès privilégiés.
- L’Essential Eight est-il la même chose que l’Australian Information Security Manual (ISM)?
- Non. L’ISM est la norme de cybersécurité plus large du gouvernement australien. L’Essential Eight est un sous-ensemble de stratégies d’atténuation que l’ACSC a désignées comme la base de référence la plus efficace.
- Les FSG doivent-ils eux-mêmes être conformes à l’Essential Eight?
- De plus en plus, oui. On s’attend à ce que les FSG qui servent des clients du gouvernement australien maintiennent l’Essential Eight au niveau qui correspond à l’exigence du client.