Kostenlose Vorlage: Essential Eight Compliance-Fragebogen

Die Essential Eight sind ein Reifegradmodell für die Cybersicherheitslage, das vom Australian Signals Directorate entwickelt wurde, um australischen Unternehmen dabei zu helfen, die von der australischen Regierung empfohlene Mindestbasis für die Cybersicherheit zur Abwehr von Cyberbedrohungen zu erreichen.

Um Essential Eight-konform zu werden, müssen Unternehmen verschiedene Anforderungen in acht verschiedenen Cybersicherheitsstrategien erfüllen. In diesem Blog werden wir uns mit dem Essential Eight Cybersicherheits-Framework befassen und eine Fragebogenvorlage für Unternehmen bereitstellen, die dieses Framework einhalten möchten.

Erfahren Sie mehr darüber, wie UpGuard Unternehmen dabei hilft, ihre Cybersicherheit zu verbessern >

Was sind die wesentlichen Acht?

Die Essential Eight (auch bekannt als ACSC Essential Eight oder ASD Essential Eight) sind eine Reihe von Cybersicherheitsstrategien, die vom Australian Cyber Security Centre (ACSC) empfohlen werden, um Cybersicherheitsvorfälle zu entschärfen. Es wurde erstmals 2017 veröffentlicht, um mit dem Internet verbundene Microsoft Windows-basierte Netzwerke vor Cyberangriffen zu schützen. Die Protokolle können auch Cloud-Service-Provider und andere Betriebssysteme schützen. Es ist jedoch erwähnenswert, dass bestimmte Betriebssysteme mit einzigartigen Cyber-Risikobedrohungen möglicherweise andere, effektivere Strategien zur Risikominderung erfordern.

Minderungsstrategien sind Cybersicherheitspraktiken, Sicherheitsrichtlinien und Tools, die entwickelt wurden, um den Behebungsprozess zu starten und die Informationssicherheit eines Unternehmens vor Datenschutzverletzungen oder unbefugtem privilegiertem Zugriff zu schützen. Diese Strategien zielen darauf ab, die durch Cybervorfälle verursachten Schäden zu begrenzen und zu bewältigen und gleichzeitig digitale Vermögenswerte, Netzwerke und Datensicherheit zu gewährleisten.

Acht wichtige Sicherheitskontrollen

Der Kern der Essential Eight besteht aus acht Minderungsstrategien, die darauf abzielen, die allgemeine Cybersicherheitslage eines Unternehmens durch verschiedene Sicherheitsmaßnahmen zu verbessern. Die acht Sicherheitskontrollen sind:

• Anwendungskontrolle: Unternehmen sollten nur die Ausführung bestimmter Anwendungen in ihren Netzwerken zulassen, einschließlich Netzwerkendpunkten wie Workstations und Servern, um die Ausführung von Malware und nicht genehmigten Anwendungen zu verhindern.
• Patch-Anwendungen: Unternehmen müssen umgehend Sicherheitspatches installieren, um eine Ausnutzung zu verhindern, und sollten diesen Prozess automatisieren, um an der Spitze zu bleiben.
• Konfigurieren der Microsoft Office-Makroeinstellungen: Organisationen sollten die Makroausführung auf vertrauenswürdige Quellen beschränken, um internetbasierte Angriffe zu verhindern. Microsoft Defender kann Office-Makros auf Viren scannen.
• Härtung von Benutzeranwendungen: Unternehmen sollten Webbrowser und Microsoft Office so konfigurieren, dass unnötige und potenziell schädliche Inhalte blockiert werden, wodurch anfällige Punkte in Anwendungen minimiert werden.
• Patchen von Betriebssystemen: Unternehmen müssen ihre Betriebssysteme regelmäßig aktualisieren, um bessere Sicherheitsanforderungen und Schutz vor potenziellen Bedrohungen zu gewährleisten.
• Einschränken von Administratorrechten: Organisationen sollten den administrativen und privilegierten Zugriff einschränken und sicherstellen, dass Benutzer nur minimalen Zugriff haben, um ihre Arbeit zu erledigen.
• Multi-Faktor-Authentifizierung (MFA): Unternehmen müssen duale Authentifizierungsmethoden implementieren, um unbefugten Zugriff zu verhindern.
• Regelmäßige Backups: Unternehmen müssen Backups wichtiger Daten erstellen, um die Wiederherstellung nach einer Cybersicherheitsverletzung zu beschleunigen.

Das Essential Eight Maturity Model

Um Organisationen bei der Implementierung des Essential Eight-Frameworks zu unterstützen, hat die ASD auch das Essential Eight Maturity Model erstellt. Das Modell umfasst vier verschiedene Reifegrade, die auf der Risikobewertung und der Eindämmung des zunehmenden Ziels durch böswillige Akteure basieren. Dieses Modell hilft Unternehmen dabei, zu überlegen, auf welcher Ebene des Targetings sie vorgehen und nicht, welche böswilligen Akteure sie eindämmen wollen.

• Reifegrad Null: Dieser Basislevel kennzeichnet Schwächen im Schwachstellenmanagement eines Unternehmens. Bei einer Ausnutzung könnten vertrauliche Daten und die Systemintegrität gefährdet werden.
• Reifegrad Eins: In dieser Stufe begnügen sich böswillige Akteure damit, durchschnittliche Tools zu verwenden, um sich Zugang zu und Kontrollsysteme zu verschaffen. Dazu gehören öffentlich zugängliche Exploits, gestohlene Anmeldeinformationen, Brute-Force usw.
• Reifegrad zwei: Böswillige Akteure auf dieser Stufe sind einen Schritt nach oben und bereit, mehr Zeit und Werkzeuge in ein Ziel zu investieren. Dazu gehören das Targeting bestimmter Anmeldeinformationen durch Phishing, die Umgehung schwacher MFA usw.
• Reifegrad drei: In dieser Stufe sind böswillige Akteure anpassungsfähiger und weniger auf öffentliche Tools und Techniken angewiesen. Sie können Schwachstellen in der Cybersicherheit ausnutzen, wie z. B. ältere Software oder unzureichende Protokollierung/Überwachung - nicht nur beim anfänglichen Zugriff auf Systeme, sondern auch bei der Umgehung der Erkennung und der Festigung ihrer Präsenz.

Wer sollte die wesentlichen Acht umsetzen?

Die australische Regierung hat es für alle 98 Nicht-Körperschaften des Commonwealth (NCCEs) zur Pflicht gemacht, das Rahmenwerk der Essential Eight einzuhalten. Zuvor verlangte die Regierung von den Unternehmen lediglich, dass sie die ersten vier Sicherheitskontrollen der Essential Eight einhalten. Jetzt müssen Unternehmen alle acht Sicherheitskontrollen befolgen, um die Complianceanforderungen zu erfüllen. Um sicherzustellen, dass Unternehmen alle Sicherheitskontrollen aufrechterhalten, verlangt Australien von allen Unternehmen, dass sie sich ab Juni 2022 alle fünf Jahre einer umfassenden Sicherheitsbewertung unterziehen.

Außerhalb der NCCEs fungiert die Essential Eight als Benchmark für die Cybersicherheit und nicht als Regulierung, was bedeutet, dass es keine Anforderungen an die Selbstbewertung zur Umsetzung der Risikomanagementstrategien und keine Strafen bei Nichteinhaltung gibt. Das ACSC empfahl jedoch nachdrücklich die Essential Eight, und das Cybersicherheits-Framework kann weltweit angewendet werden, da es praktische und grundlegende Cybersicherheitsansätze bietet.

Kostenlose Vorlage: Essential Eight Compliance-Fragebogen

Die untenstehende Fragebogenvorlage ist ein Ausgangspunkt für Organisationen, die die Essential Eight-Konformität anstreben. Die Fragen werden nach den verschiedenen Sicherheitskontrollen organisiert, die im Essential Eight-Framework beschrieben sind.

Obwohl diese Vorlage als hilfreicher Leitfaden dienen kann, ist es wichtig, sich daran zu erinnern, dass sie nur einen Ausgangspunkt bietet. Um konform zu sein, beziehen Sie sich auf das vollständige Essential Eight-Framework und verfolgen Sie bestimmte Metriken, während Sie die Cybersicherheitskontrollen Ihres Unternehmens bewerten.

Essential Eight Compliance-Fragebogen

1. Kontrolle der Anwendung

1.1. Haben Sie eine Anwendungskontrolle implementiert, um die Ausführung von nicht genehmigten/bösartigen Programmen zu verhindern?

• Ja
• Nein
• [Freitextfeld]

1.2. Sind Kontrollen vorhanden, um sicherzustellen, dass nur genehmigte Software installiert und ausgeführt werden kann?

• Ja
• Nein
• [Freitextfeld]

1.3. Aktualisieren und pflegen Sie die Liste der genehmigten Anwendungen?

• Ja
• Nein
• [Freitextfeld]

1.4. Gibt es ein Verfahren zur Bewertung und Genehmigung von Ausnahmen von der Richtlinie zur Anwendungskontrolle?

• Ja
• Nein
• [Freitextfeld]

1.5. Haben Sie ein Verfahren für den Umgang mit Verstößen gegen die Richtlinien zur Anwendungskontrolle?

• Ja
• Nein
• [Freitextfeld]

2. Patch-Anwendungen

2.1. Werden alle Anwendungen, auch Anwendungen von Drittanbietern, regelmäßig gepatcht?

• Ja
• Nein
• [Freitextfeld]

2.2. Haben Sie einen Prozess, um sicherzustellen, dass kritische und Sicherheitspatches innerhalb von 48 Stunden angewendet werden?

• Ja
• Nein
• [Freitextfeld]

2.3. Gibt es ein Inventar oder eine Registrierung aller Anwendungen, die in der Organisation zu Nachverfolgungszwecken verwendet werden?

• Ja
• Nein
• [Freitextfeld]

2.4. Haben Sie einen Prozess, um sicherzustellen, dass Patches vor der Bereitstellung getestet werden?

• Ja
• Nein
• [Freitextfeld]

2.5. Können Sie Mechanismen identifizieren, die für die Überwachung und Berichterstattung über die Einhaltung von Patches im gesamten Unternehmen vorhanden sind?

• Ja
• Nein
• [Freitextfeld]

3. Konfigurieren der Microsoft Office-Makroeinstellungen

3.1. Sind Makros in Microsoft Office-Anwendungen standardmäßig deaktiviert und nur für wichtige vertrauenswürdige Dokumente erlaubt?

• Ja
• Nein
• [Freitextfeld]

3.2. Haben Sie einen Prozess zur Verwaltung und Überwachung von Ausnahmen für die Verwendung von Makros?

• Ja
• Nein
• [Freitextfeld]

3.3. Gibt es Mitarbeiterschulungen zu den mit Makros verbundenen Risiken?

• Ja
• Nein
• [Freitextfeld]

3.4. Haben Sie einen Auditing-Prozess für die Verwendung von Makros und Ausnahmen?

• Ja
• Nein
• [Freitextfeld]

3.5. Werden die Makro-Sicherheitseinstellungen regelmäßig überprüft und aktualisiert?

• Ja
• Nein
• [Freitextfeld]

4. Härtung der Benutzeranwendung

4.1. Haben Sie Maßnahmen ergriffen, um den Zugriff von Webbrowsern auf schädliche Inhalte (z. B. Flash, Werbung, Java aus dem Internet) zu blockieren?

• Ja
• Nein
• [Freitextfeld]

4.2. Sind die Möglichkeiten der Benutzer, nicht genehmigte Anwendungen herunterzuladen und zu installieren, eingeschränkt?

• Ja
• Nein
• [Freitextfeld]

4.3. Ist die Härtung von Browsern und anderer kritischer Software Teil regelmäßiger Sicherheitsüberprüfungen?

• Ja
• Nein
• [Freitextfeld]

4.4. Können Sie feststellen, wie die Richtlinien für die Anwendungshärtung überwacht und durchgesetzt werden?

• Ja
• Nein
• [Freitextfeld]

4.5. Werden die Mitarbeiter für die Bedeutung des Aushärtens der Anwendung geschult?

• Ja
• Nein
• [Freitextfeld]

5. Einschränken von Administratorrechten

5.1. Sind die Administratorrechte auf eine wesentliche Anzahl von Benutzern beschränkt und werden regelmäßig überprüft?

• Ja
• Nein
• [Freitextfeld]

5.2. Verfügen Sie über Mechanismen zur Überwachung der Nutzung von Administratorrechten?

• Ja
• Nein
• [Freitextfeld]

5.3. Gibt es ein Genehmigungsverfahren für die Gewährung von Administratorrechten?

• Ja
• Nein
• [Freitextfeld]

5.4. Gibt es bestimmte Daten, an denen Benutzerkonten auf unnötige Administratorrechte überprüft werden?

• Ja
• Nein
• [Freitextfeld]

5.5. Werden die administrativen Tätigkeiten protokolliert und regelmäßig überprüft?

• Ja
• Nein
• [Freitextfeld]

6. Patchen Sie Betriebssysteme

6.1. Werden Betriebssysteme regelmäßig gepatcht?

• Ja
• Nein
• [Freitextfeld]

6.2. Können Sie ermitteln, wie häufig Sicherheitslücken bewertet und Patches angewendet werden?

• Ja
• Nein
• [Freitextfeld]

6.3. Verfügen Sie über ein System zur Priorisierung von Patches auf der Grundlage der Bedrohungsgefährdung und der Auswirkungen auf das Geschäft?

• Ja
• Nein
• [Freitextfeld]

6.4. Werden die Patching-Bemühungen dokumentiert und dem Management gemeldet?

• Ja
• Nein
• [Freitextfeld]

6.5. Haben Sie ein System, um die Effektivität des Patch-Management-Prozesses zu bewerten?

• Ja
• Nein
• [Freitextfeld]

7. Multi-Faktor-Authentifizierung (MFA)

7.1. Ist MFA für den Fernzugriff, privilegierte Konten und den Zugriff auf vertrauliche Informationen aktiviert?

• Ja
• Nein
• [Freitextfeld]

7.2. Können Sie die Sicherheit und Robustheit Ihrer MFA-Implementierung gewährleisten?

• Ja
• Nein
• [Freitextfeld]

7.3. Sind ausnahmslos alle Mitarbeiter verpflichtet, MFA zu verwenden?

• Ja
• Nein
• [Freitextfeld]

7.4. Können Sie ermitteln, wie häufig MFA-Einstellungen überprüft und aktualisiert werden?

• Ja
• Nein
• [Freitextfeld]

7.5. Gibt es ein Verfahren für die Reaktion auf MFA-Sperrungen oder -Fehler?

• Ja
• Nein
• [Freitextfeld]

8. Tägliche Sicherung wichtiger Daten

8.1. Werden täglich Backups der wesentlichen Daten, Software und Konfigurationseinstellungen durchgeführt?

• Ja
• Nein
• [Freitextfeld]

8.2. Werden diese Backups regelmäßig getestet, um sicherzustellen, dass sie nach einem Vorfall schnell wiederhergestellt werden können?

• Ja
• Nein
• [Freitextfeld]

8.3. Werden Backup-Daten sowohl vor Ort als auch extern sicher gespeichert?

• Ja
• Nein
• [Freitextfeld]

8.4. Verfügen Sie über Kontrollen, um die Integrität des Backups vor Malware- oder Ransomware-Angriffen zu schützen?

• Ja
• Nein
• [Freitextfeld]

8.5. Werden Backup- und Wiederherstellungsprozesse dokumentiert und regelmäßig auf Verbesserungen überprüft?

• Ja
• Nein
• [Freitextfeld]

Die Essential Eight skizzieren grundlegende Cybersicherheitsmaßnahmen. Für erweiterten Schutz und Schwachstellenmanagement vor Cyberbedrohungen sollten Sie BreachSight, das externe Angriffsflächenmanagement von UpGuard, in Betracht ziehen.

UpGuard BreachSight hilft Ihnen, die Risiken zu verstehen, die sich auf Ihre externe Sicherheitslage auswirken, und stellt sicher, dass Ihre Assets ständig überwacht und geschützt werden. Unser All-in-One-Dashboard macht es einfach, die Cybersicherheit Ihres Unternehmens auf einen Blick zu sehen und intern über Risiken, Schwachstellen oder aktuelle Sicherheitsvorfälle zu kommunizieren. Zu den weiteren Funktionen gehören:

• Erkennung von Datenlecks: Schützen Sie Ihre Marke, Ihr geistiges Eigentum und Ihre Kundendaten durch die rechtzeitige Erkennung von Datenlecks und vermeiden Sie Datenschutzverletzungen
• Kontinuierliche Überwachung: Erhalten Sie Echtzeitinformationen und verwalten Sie Gefährdungen, einschließlich Domänen, IPs und Mitarbeiteranmeldeinformationen
• Reduzierung der Angriffsfläche: Reduzieren Sie Ihre Angriffsfläche, indem Sie ausnutzbare Schwachstellen und Domänen entdecken, die von Typosquatting bedroht sind
• Freigegebenes Sicherheitsprofil: Eliminieren Sie die Beantwortung von Sicherheitsfragebögen, indem Sie ein freigegebenes UpGuard-Profil erstellen
• Workflows und Verzichtserklärungen: Vereinfachen und beschleunigen Sie die Behebung von Problemen, den Verzicht auf Risiken und die Beantwortung von Sicherheitsanfragen
• Berichte und Einblicke: Greifen Sie auf maßgeschneiderte Berichte für verschiedene Stakeholder zu und zeigen Sie Informationen über Ihre externe Angriffsfläche an.