Переход Австралии от Essential Eight к ориентированной на результаты модели кибербезопасности подтолкнет организации от проведения периодических точечных проверок на соответствие контрольным списком к получению непрерывных доказательств надежности своего уровня безопасности.
Основные выводы
- Австралийское сигнальное управление (ASD) переходит от фреймворка кибербезопасности Essential Eight к новой серии Essentials, ориентированной на результаты и охватывающей корпоративные ИТ, облачные технологии, операционные технологии (OT) и, потенциально, агентный ИИ.
- Сама Essential Eight всегда охватывала только локальные корпоративные ИТ, основываясь на восьми названных технических элементах управления, таких как контроль приложений и установка патчей. Она никогда не распространялась на безопасность облаков, идентификационных данных или OT.
- Этот сдвиг ставит под сомнение традиционный подход к кибербезопасности на основе контрольных списков, при котором организации демонстрируют соответствие требованиям посредством периодических оценок и точечных отчетов.
- В динамичных средах, охватывающих ИТ, облака, удостоверения и OT, уровень безопасности может быстро и неоднократно меняться в промежутках между оценками.
- Управление уязвимостями и рисками (Exposure management) может помочь организациям непрерывно понимать, где они уязвимы, расставлять приоритеты для наиболее критических слабых мест и предоставлять доказательства своего текущего уровня безопасности.
Стратегический сдвиг ASD в сторону активной проверки уровня безопасности
Можете ли вы доказать, что ваш уровень безопасности надежен прямо сейчас, по первому требованию?
Именно такой вопрос Австралийское сигнальное управление (ASD) фактически поставило перед советами директоров, директорами по информационной безопасности (CISO) и высшим руководством каждой австралийской организации.
Решение ASD вывести из эксплуатации Essential Eight сигнализирует о фундаментальном отходе от точечной безопасности на основе контрольных списков к ориентированной на результаты модели, в которой организациям потребуется демонстрировать непрерывное соответствие требованиям.
Больше недостаточно показывать, что в вашей организации средство контроля было внедрено на момент последней проверки. В технологической среде, которая непрерывно меняется в сфере ИТ, облаков, удостоверений и операционных технологий (OT), организации должны быть способны ответить на гораздо более насущный вопрос:
Каковы наши текущие уязвимости и риски?
ASD заменяет Essential Eight
ASD объявила о замене Essential Eight в июне 2026 года. Ведомство ожидает, что прекращение поддержки начнет примерно в середине 2027 года, примерно 12 месяцев спустя. Это момент, когда ASD начнет активно направлять организации к новому фреймворку, а не крайний срок, к которому должно измениться соответствие требованиям.
Полный вывод из эксплуатации Essential Eight последует примерно через год после этого, около середины 2028 года. ASD охарактеризовала эти сроки скорее как целевые ориентиры, чем как фиксированные даты, и как Essential Eight, так и новая серия Essentials останутся действующими на протяжении всего переходного периода.
Соответствие требованиям не является всеобщим и обязательным. Рамки политики защищенной безопасности (Protective Security Policy Framework) требуют соблюдения Essential Eight для примерно 98 некорпоративных организаций Содружества. Для организаций частного сектора это добровольное руководство, а не закон, хотя многие страховщики, клиенты и подрядные правительственные агентства этих организаций ожидают от них соблюдения этого фреймворка. Будет ли этот же правительственный мандат распространен на серию Essentials, пока не подтверждено.
Но если вы сосредоточитесь только на графике, вы рискуете упустить из виду более масштабную проблему: в чем разница между контрольным списком и непрерывным состоянием доказательств?
ASD движется к модели кибербезопасности, построенной на результатах и намерениях, которая выходит далеко за рамки простой замены восьми элементов управления новым контрольным списком. Новая серия Essentials структурирована в виде глав, начиная с главы по корпоративным ИТ, которая включает управление идентификацией и доступом, а также инструменты SaaS, такие как Microsoft 365 и Google Workspace, затем расширяясь до облачных технологий и OT, причем глава об агентном ИИ, как ожидается, последует за ними. Каждая из этих сред теперь нуждается в собственных рекомендациях, основанных на результатах, а не в одном и том же фиксированном наборе средств контроля для всех них.
Эта структура отражает то, насколько по-разному ведут себя эти среды. Организации теперь могут подготавливать облачные сервисы за считанные минуты. Идентификаторы и привилегии постоянно меняются. Приложения SaaS появляются по всему бизнесу. Среды OT и IT все больше взаимосвязаны. ИИ создает еще один быстро меняющийся технологический уровень, который необходимо понимать и защищать.
В такой среде организациям теперь необходимо продемонстрировать, что они непрерывно достигают своих результатов в области безопасности.
Essential Eight против серии Essentials: что меняется?
Стоит уточнить, что именно меняется, поскольку эти две модели измеряют успех принципиально разными способами.
Essential Eight оценивала организации по восьми названным техническим средствам контроля, таким как контроль приложений, установка патчей и настройки макросов, на фиксированных уровнях зрелости, оцениваемых периодически. Оценщик проверял, внедрено ли средство контроля, и оценивал его по шкале Maturity Level 1, 2, or 3. Эта оценка представляла собой снимок: точный на день его проведения.
Новая серия Essentials не задает тот же вопрос. Согласно объявлению ASD об общественных консультациях, новая модель фокусируется на результатах и намерениях, а не на предписывающих, поименованных средствах контроля. Вместо того чтобы спрашивать, внедрила ли организация конкретное средство контроля, она будет спрашивать, достигает ли она результата безопасности, который это средство контроля должно было обеспечить, и может ли она продемонстрировать это на постоянной основе, а не только во время аудита.
Это осознанная реакция на то, как многое изменилось с 2017 года, когда ASD представила Essential Eight. Как рассказал iTnews руководитель направления обеспечения устойчивости кибербезопасности Австралийского центра кибербезопасности (Australian Cyber Security Centre) Крис Хорлик (Chris Horlyck), исходный фреймворк предполагал локальную инфраструктуру по умолчанию. Но облачные технологии, SaaS и гибридные среды стали нормой, а не исключением.
И Essential Eight, и серия Essentials остаются действующими на протяжении всего переходного периода, поэтому нет какого-то одного дня, когда произойдет переключение, что само по себе является частью сути. Фреймворк, построенный на непрерывных доказательствах, также не появляется в момент проверки по списку.
В настоящее время серия Essentials все еще находится в разработке. Только первая глава, охватывающая корпоративные ИТ, прошла общественные консультации, которые завершились в июле 2026 года, а окончательные рекомендации ожидаются позже в этом году. ASD еще не установила график для остальных глав, охватывающих облака, OT и, потенциально, агентный ИИ.
Точечная безопасность имеет проблему точечности
Этот переход к демонстрации непрерывного соответствия требованиям должен быть знаком всем, кто наблюдал за эволюцией управления уязвимостями.
Традиционный подход в значительной степени опирался на периодические сканирования. Организации запускали сканирование, создавали отчет, устраняли то, что могли, и сохраняли отчет в качестве доказательства.
Такой подход имел смысл, когда инфраструктура менялась относительно медленно, а фреймворки кибербезопасности в основном строились вокруг фиксированных средств контроля.
Тем не менее, современные поверхности атаки гораздо более динамичны и меняются быстро и часто.
Изолированные средства безопасности усугубляют проблему видимости и фрагментации
Большинство крупных организаций имеют слишком много инструментов безопасности.
У команды управления уязвимостями есть свой набор инструментов. У команды облачной безопасности — отдельный стек инструментов. Кроме того, существуют средства обеспечения безопасности для управления доступом, АСУ ТП, ИИ и многого другого.
Каждый инструмент может предоставлять ценную информацию, но в итоге команды безопасности вынуждены самостоятельно разбираться, как тысячи разрозненных находок связаны между собой в рамках более широкой поверхности атаки.
Именно здесь управление воздействием (exposure management) становится критически важным. Вместо того чтобы рассматривать уязвимости, ошибки облачной конфигурации, слабые места в управлении доступом и неизвестные активы как отдельные проблемы, управление воздействием объединяет их в единое представление о киберрисках организации.
Цель состоит в том, чтобы понять, какие угрозы создают наибольший риск для бизнеса и что команды безопасности должны исправить в первую очередь. Каждая угроза требует контекста, например, действительно ли она эксплуатируется и на каком активе находится. Это также означает поиск опасных комбинаций: уязвимости, избыточных привилегий и неправильной конфигурации, каждая из которых по отдельности кажется управляемой, но вместе они создают прямой путь к критически важной системе.
От подтверждения соответствия требованиям к подтверждению безопасности
Для австралийских директоров по информационной безопасности (CISO) следующие 24 месяца открывают возможность переосмыслить подход к оценке киберрисков своих организаций.
CISO, с которыми я общался после этого объявления, постоянно возвращаются к одному и тому же страху: получить посреди аудита требование доказать, что что-то верно прямо сейчас, а не только во время последнего сканирования, и не иметь уверенного ответа.
Представьте, что вам задают вопрос — будь то официальный оценщик во время проверки соответствия или собственный совет директоров во время брифинга по рискам:
- Где организация уязвима сегодня?
- Какие факторы риска представляют наибольшую угрозу для критически важных систем?
- Может ли злоумышленник найти путь атаки от этой уязвимости до ценного актива?
- Какие пути атаки открылись в вашей среде на этой неделе и что вы с этим делаете?
- Можете ли вы визуализировать свое глобальное состояние безопасности, отслеживать его изменения и тенденции с течением времени, а также понимать, как оно связано с контекстом вашего бизнеса?
Вы не сможете ответить на эти вопросы, вручную сводя отчеты из нескольких инструментов или полагаясь на сканирование, выполненное несколько недель назад.
Вместо этого организациям требуется непрерывно обновляемое представление о своей поверхности атаки и контекст, необходимый для того, чтобы отделить срочную угрозу от фонового шума.
В этом и заключается переход от периодического управления уязвимостями к непрерывному управлению воздействием.
Как Tenable помогает вам опережать изменения в рамках концепции Essentials
ASD подала сигнал о том, что серия стандартов Essentials потребует от австралийских организаций подтверждать результаты обеспечения безопасности на постоянной основе, а не просто выполнять периодические проверки по контрольному списку.
Платформа Tenable One Exposure Management Platform создана специально для такого сценария: она объединяет видимость безопасности, аналитику и действия в рамках современной поверхности атаки, помогая организациям обнаруживать и устранять наиболее критические пробелы в безопасности, которые увеличивают риски для бизнеса.
Вместо того чтобы заставлять команды безопасности собирать воедино разрозненные представления об ИТ, облаках, идентификации, АСУ ТП, веб-приложениях и внешних поверхностях атак, Tenable One объединяет данные об уязвимостях и воздействии, чтобы организации могли понять, как связаны слабые места и где злоумышленники с наибольшей вероятностью найдут путь к критически важным активам.
Это дает командам безопасности возможность:
- Более четко видеть поверхность атаки, объединяя данные об уязвимостях и воздействии в ИТ-инфраструктуре, облачных средах, системах идентификации, АСУ ТП, системах ИИ, веб-приложениях и общедоступных активах.
- Точно определять наиболее критические угрозы, добавляя контекст к уязвимостям и другим факторам риска, чтобы команды могли расставлять приоритеты при устранении на основе рисков, которые они представляют для организации.
- Выявлять пути атак, понимая, как опасные комбинации уязвимостей, неправильных конфигураций, привилегий и активов могут создавать пути к критически важным системам.
- Непрерывно отслеживать состояние безопасности, переходя от периодических снимков к актуальному в режиме реального времени пониманию того, как меняется уровень воздействия по мере изменения среды.
- Превращать технические данные в действенные аналитические выводы, предоставляя руководству, советам директоров и аудиторам более четкие доказательства для информирования о киберрисках и приоритетах устранения.
Именно для этого создана Tenable One: она помогает командам безопасности перестать доказывать факт проведения проверок и начать демонстрировать понимание и активное управление своими рисками.
Вопрос, который советы директоров должны начать задавать уже сейчас
Essential Eight сыграл важную роль в повышении уровня зрелости кибербезопасности Австралии. Его принципы по-прежнему имеют значение. Меняется лишь среда, которую теперь необходимо защищать.
Статический контрольный список больше не может адекватно отражать уровень безопасности, когда сама поверхность атаки постоянно меняется.
Таким образом, перед советами директоров и руководством встает простой вопрос: можем ли мы показать, где мы уязвимы сегодня, что имеет наибольшее значение и что мы с этим делаем?
Если для ответа на этот вопрос требуется собрать воедино прошлогодние сканирования, электронные таблицы и отчеты из полудюжины средств безопасности, значит, организация уже выявила свою проблему.
Следующая эра австралийской кибербезопасности сводится к возможности ответить на один главный вопрос: где вы уязвимы прямо сейчас?
Узнайте больше о платформе Tenable One Exposure Management Platform
