本文内容7 个部分
Essential Eight 是什么
Essential Eight 是 ASD 通过其下属的澳大利亚网络安全中心（ACSC）建议各类组织作为基线落实的八项缓解策略。我们的术语表条目给出了一段话的简要说明；下表用实际做法解释每一项策略。
| 策略 | 实际要做什么 |
|---|---|
| 应用程序打补丁 | 及时更新浏览器、办公软件等应用，删除厂商已停止支持的应用。 |
| 操作系统打补丁 | 保持电脑、手机和服务器操作系统为最新，替换已停止支持的版本。 |
| 多因素认证 | 除密码外再要求第二重验证，比如验证器应用或安全密钥。 |
| 限制管理员权限 | 只给确实需要的人管理员权限，使用单独的管理员账户，并定期复核。 |
| 应用程序控制 | 只允许经批准的程序运行，误下载或误打开的文件就无法直接执行。 |
| 限制 Microsoft Office 宏 | 阻止来自互联网的宏，只允许业务确实需要的宏。 |
| 用户应用程序加固 | 关闭浏览器和办公软件中容易被攻击者利用的功能，比如不需要的插件。 |
| 定期备份 | 备份重要数据、软件和设置，测试恢复，并保留攻击者不易删除的副本。 |
成熟度等级：做到什么程度
ASD 用一个四级成熟度模型衡量落实情况，从第零级到第三级。第零级表示整体安全状况存在薄弱环节。第一至第三级针对能力越来越强的攻击者：第一级应对使用常见工具的机会型攻击，第三级应对更灵活、更有针对性的攻击。
ASD 的成熟度模型常见问题指出：第一级可能适合中小企业，第二级适合大型企业，第三级适合关键基础设施运营者和处于高威胁环境的组织。ASD 还建议先让八项策略都达到同一等级，再整体往上提升。
2026 年向 ASD Essentials 过渡
ASD Essentials 是 ASD 的新框架，ASD 称之为 Essential Eight 的演进版本，于 2026 年 10 月在 cyber.gov.au 上发布。它是针对不同环境的一系列章节，目前包括企业 IT、云，以及运营技术（OT，即控制厂房和设备的系统）。每一章都采用同样的三层结构：原则（要达成的结果）、行动（需要做的工作）和领域（工作适用的范围）。
到目前为止，ASD 对过渡的说明如下：
- 过渡期内，ASD 在 cyber.gov.au 上同时维护 Essential Eight 和 ASD Essentials，以及配套的指南。
- Essential Eight 的成熟度等级不会自动换算：ASD Essentials 的每项行动被评为“无效”“部分有效”或“完全有效”，但仍然有效的现有证据可以继续使用。
- ASD Essentials 覆盖了 Essential Eight 没有涉及的领域，比如安全意识培训和网络供应链安全。
- 在监管机构公布调整之前，组织应继续履行现有的监管义务；ASD 也不建议暂停已经在推进的安全提升工作。
ASD 表示，这一系列主要面向政府、关键基础设施和大型组织，但小企业也可以在适用的地方参考。其中云章节面向 IT 完全依托云服务（SaaS 和 PaaS）的组织，很多小型办公室正是这种情况。如果客户合同写明了 Essential Eight 成熟度等级，就继续按合同执行，并问清对方打算什么时候转换。
小企业的第一步
先做能挡住最常见攻击的措施，因为两个框架里都有它们。ASD 的小企业指南从三件事开始：开启多因素认证、更新软件、备份信息。实际可以按这个顺序推进：
- 列出现有资产设备、云服务、谁有管理员权限，以及重要数据放在哪里。
- 开启多因素认证先从邮箱、网银、财务软件、远程访问和管理员账户做起。能用验证器应用或安全密钥的就用。
- 开启自动更新覆盖操作系统、浏览器和业务软件，并计划替换已经收不到更新的设备或软件。
- 备份并测试恢复定期备份，至少保留一份与主系统分开的副本，并实际恢复一个文件，证明备份可用。
- 收紧管理员权限日常使用的账户不应是管理员。管理员账户越少越好，员工离职时及时取消权限。
- 与 IT 服务商规划其余措施宏设置、应用程序控制和加固通常需要托管服务商（MSP）配合。问清他们已经做了哪些，能提供什么证据。
做完这些基础工作后，ASD 的小企业指南建议企业落实 Essential Eight 第一级，这也适合作为第一次评估的目标。
怎样规划一次评估
先想清楚为什么要做评估：客户合同、招标、保险公司的问卷，还是给自己定一个基线。原因决定了用哪个框架、目标等级，以及评估人需要多独立。
- 确认要求问清对方要求哪个框架、哪一章或哪个成熟度等级，以及自评是否就够了。
- 确定范围写明覆盖哪些系统：办公电脑、云服务、网站，以及工厂或现场设备。
- 收集真实证据ASD 的评估指南更看重实际测试某项控制或查看系统的实时设置，而不是截图或书面制度。
- 评级并排定差距优先级记录每个差距及其风险、负责人和完成日期。
- 定期复评定期复评，比如每年一次，并在重大变化之后再评。
没有任何框架能保证安全
没有任何框架能保证安全。ASD 明确表示，没有哪一套缓解策略能保证防御所有网络威胁，即使达到第三级，也挡不住愿意投入足够时间、资金和精力的攻击者。把任一框架当作基线，同时为万一被攻破做好准备：联系谁、怎样恢复系统、怎样通知客户。
新的 AI 工具也适用同样的要求。接入邮箱或文件的 AI 助手，用的是和其他系统一样的账户、权限和数据，所以多因素认证、最小权限和日志记录同样适用；受治理的 AI 工作一文讲解了怎样为跨系统执行任务的 AI 设置管控。
Optivise AI 的认证与合规服务可以帮助企业对照 Essential Eight 做评估和提升，并可与 ISO/IEC 27001 等管理体系一起推进。
Optivise AI 协助企业为评估做准备；这种准备不能保证评估结果，也不能让任何系统免于攻击。范围和费用在每份方案中单独约定。
常见问题
什么是 Essential Eight？
Essential Eight 是澳大利亚信号局（ASD）建议作为基线的八项网络安全缓解策略：应用程序打补丁、操作系统打补丁、多因素认证、限制管理员权限、应用程序控制、限制 Microsoft Office 宏、用户应用程序加固和定期备份。落实程度按第零级至第三级成熟度衡量。
Essential Eight 对澳洲小企业是强制要求吗？
对大多数私营企业来说，它不是普遍适用的法律要求，而是 ASD 建议的基线。不过它常常通过客户合同、招标、保险公司或供应链变成硬性要求，一些受监管行业也有自己的要求。要问清客户或监管机构的具体要求，包括框架和成熟度等级。
小企业应该以 Essential Eight 哪个成熟度等级为目标？
ASD 指出，第一级可能适合中小企业，第二级适合大型企业，第三级适合关键基础设施和高威胁环境。先让八项策略都达到同一等级再往上提升；如果客户要求了不同的等级，就按客户要求执行。
ASD Essentials 会取代 Essential Eight 吗？
ASD 称 2026 年 10 月发布的 ASD Essentials 是 Essential Eight 的演进版本，过渡期内在 cyber.gov.au 上同时维护两个框架。Essential Eight 的成熟度等级不会自动换算为 ASD Essentials 的有效性评级，但已有的工作和最新证据仍然是很好的起点。在监管机构或客户另行通知之前，继续履行现有义务。
怎样为 Essential Eight 评估做准备？
先确认要求，确定系统范围，再收集控制措施确实有效的证据，比如系统的实时设置和测试结果，而不只是书面制度。先让八项策略都达到目标等级。在请独立评估人之前，可以先按 ASD 公布的指南做一次自评。
达到 Essential Eight 要求，企业就安全了吗？
不是。ASD 明确表示，没有哪一套缓解策略能保证防御所有网络威胁，即使达到最高成熟度等级，也挡不住有决心、有资源的攻击者。Essential Eight 能降低常见攻击发生的可能和造成的影响；你仍然需要经过测试的备份、事件响应计划和定期复查。 认证与合规
参考来源