Modelo gratuito: Questionário de Conformidade Essencial dos Oito

O Essential Eight é um modelo de maturidade de postura de segurança cibernética criado pela Australian Signals Directorate para ajudar as empresas australianas a atingir a linha de base mínima de segurança cibernética recomendada pelo governo australiano para se defender contra ameaças cibernéticas.

Para se tornarem compatíveis com o Essential Eight, as organizações devem atender a vários requisitos em oito estratégias diferentes de segurança cibernética. Neste blog, abordaremos a estrutura de segurança cibernética Essential Eight e forneceremos um modelo de questionário para organizações que buscam se tornar compatíveis com essa estrutura.

Saiba mais sobre como o UpGuard ajuda as organizações a melhorar sua postura de segurança cibernética >

O que é o Oito Essencial?

O Essential Eight (também conhecido como ACSC Essential Eight ou ASD Essential Eight) é um conjunto de estratégias de segurança cibernética recomendadas pelo Australian Cyber Security Center (ACSC) para mitigar incidentes de segurança cibernética. Foi publicado pela primeira vez em 2017 para proteger redes baseadas no Microsoft Windows conectadas à Internet contra ataques cibernéticos. Os protocolos também podem proteger provedores de serviços em nuvem e outros sistemas operacionais. No entanto, vale a pena notar que certos sistemas operacionais com ameaças de risco cibernético exclusivas podem exigir outras estratégias de mitigação mais eficazes.

As estratégias de mitigação são práticas de segurança cibernética, políticas de segurança e ferramentas projetadas para iniciar o processo de correção e proteger a segurança da informação de uma organização contra violações de dados ou acesso privilegiado não autorizado. Essas estratégias destinam-se a limitar e gerenciar os danos causados por incidentes cibernéticos, protegendo ativos digitais, redes e segurança de dados.

Oito controles de segurança essenciais

O núcleo do Essential Eight são oito estratégias de mitigação projetadas para aprimorar a postura geral de segurança cibernética de uma organização usando várias medidas de segurança. Os oito controles de segurança são:

• Controle de aplicativos: as organizações devem permitir que apenas aplicativos especificados sejam executados em suas redes, incluindo endpoints de rede, como estações de trabalho e servidores, impedindo a execução de malware e aplicativos não aprovados.
• Aplicativos de patch: As organizações devem instalar prontamente patches de segurança para evitar a exploração e devem automatizar esse processo para ficar à frente.
• Definindo as configurações de macro do Microsoft Office: as organizações devem limitar a execução de macros a fontes confiáveis, evitando ataques baseados na Internet. O Microsoft Defender pode verificar se há vírus nas macros do Office.
• Proteção de aplicativos do usuário: as organizações devem configurar navegadores da Web e o Microsoft Office para bloquear conteúdo desnecessário e potencialmente mal-intencionado, o que minimiza os pontos vulneráveis nos aplicativos.
• Aplicação de patches em sistemas operacionais: as organizações devem atualizar seus sistemas operacionais regularmente para obter melhores requisitos de segurança e proteção contra possíveis ameaças.
• Restringindo privilégios administrativos: As organizações devem limitar o acesso administrativo e privilegiado, garantindo que os usuários tenham acesso mínimo para realizar seu trabalho.
• Autenticação multifator (MFA): as organizações devem implementar métodos de autenticação dupla para impedir o acesso não autorizado.
• Backups regulares: as organizações devem criar backups de dados importantes para acelerar a recuperação após uma violação de segurança cibernética.

O Modelo de Maturidade Essencial dos Oito

Para ajudar as organizações a implementar a estrutura Essential Eight, o ASD também produziu o Modelo de Maturidade Essential Eight. O modelo inclui quatro níveis de maturidade diferentes com base na avaliação de risco e na mitigação de níveis crescentes de segmentação de agentes mal-intencionados. Esse modelo ajuda as organizações a considerar o nível de segmentação, em vez de quais agentes mal-intencionados pretendem mitigar.

• Nível de maturidade zero: Este nível de linha de base significa pontos fracos no gerenciamento de vulnerabilidades de uma organização. Se explorados, os dados confidenciais e a integridade do sistema podem ser comprometidos.
• Nível de maturidade um: Nesse nível, os agentes mal-intencionados se contentam em utilizar ferramentas comuns para obter acesso e controlar os sistemas. Isso inclui explorações publicamente disponíveis, credenciais roubadas, força bruta, etc.
• Nível de maturidade dois: Os agentes mal-intencionados neste nível são um avanço na capacidade e estão dispostos a investir mais tempo e ferramentas em um alvo. Isso inclui direcionar credenciais específicas por meio de phishing, contornar MFA fraco etc.
• Nível de maturidade três: Nesse nível, os agentes mal-intencionados são mais adaptáveis e menos dependentes de ferramentas e técnicas públicas. Eles podem explorar pontos fracos na postura de segurança cibernética, como software mais antigo ou registro/monitoramento insuficiente, não apenas acessando os sistemas inicialmente, mas evitando a detecção e solidificando sua presença.

Quem deve implementar os oito essenciais?

O governo australiano tornou obrigatório que todas as 98 entidades não corporativas da Commonwealth (NCCEs) cumpram a estrutura Essential Eight. Anteriormente, o governo exigia apenas que as entidades cumprissem os quatro primeiros controles de segurança dos Oito Essenciais. Agora, as entidades devem seguir todos os oito controles de segurança para atender aos requisitos de conformidade. Para garantir que as organizações mantenham todos os controles de segurança, a Austrália exige que todas as entidades passem por uma avaliação de segurança abrangente a cada cinco anos a partir de junho de 2022.

Fora dos NCCEs, o Essential Eight opera como uma referência de segurança cibernética e não um regulamento, o que significa que não há requisitos de autoavaliação para implementar as estratégias de gerenciamento de risco e nenhuma penalidade por não conformidade. No entanto, o ACSC recomendou fortemente os Oito Essenciais, e a estrutura de segurança cibernética pode ser aplicada globalmente, pois fornece abordagens práticas e fundamentais de segurança cibernética.

Modelo gratuito: Questionário de Conformidade Essencial dos Oito

O modelo de questionário abaixo é um ponto de partida para organizações que desejam se tornar compatíveis com o Essential Eight. As perguntas são organizadas pelos diferentes controles de segurança descritos na estrutura Essential Eight.

Embora este modelo possa servir como um guia útil, é importante lembrar que ele simplesmente fornece um ponto de partida. Para estar em conformidade, consulte a estrutura completa do Essential Eight, rastreando métricas específicas, ao avaliar os controles de segurança cibernética da sua organização.

Questionário de Conformidade Essencial Oito

1. Controle de aplicativos

1.1. Você implementou o controle de aplicativos para evitar a execução de programas não aprovados/maliciosos?

• Sim
• Não
• [Campo de texto livre]

1.2. Existem controlos para garantir que apenas o software aprovado pode ser instalado e executado?

• Sim
• Não
• [Campo de texto livre]

1.3. Actualizam e mantêm a lista de candidaturas aprovadas?

• Sim
• Não
• [Campo de texto livre]

1.4. Existe um processo para avaliar e aprovar exceções à política de controle de aplicativos?

• Sim
• Não
• [Campo de texto livre]

1.5. Você tem um processo para lidar com violações de políticas de controle de aplicativos?

• Sim
• Não
• [Campo de texto livre]

2. Aplicativos de patch

2.1. Todos os aplicativos, incluindo aplicativos de terceiros, são corrigidos regularmente?

• Sim
• Não
• [Campo de texto livre]

2.2. Você tem um processo para garantir que os patches críticos e de segurança sejam aplicados dentro de 48 horas?

• Sim
• Não
• [Campo de texto livre]

2.3. Existe um inventário ou registro de todos os aplicativos usados na organização para fins de rastreamento?

• Sim
• Não
• [Campo de texto livre]

2.4. Você tem um processo para garantir que os patches sejam testados antes da implantação?

• Sim
• Não
• [Campo de texto livre]

2.5. Você pode identificar mecanismos que estão em vigor para monitorar e relatar a conformidade de patches em toda a organização?

• Sim
• Não
• [Campo de texto livre]

3. Defina as configurações de macro do Microsoft Office

3.1. As macros nos aplicativos do Microsoft Office estão desabilitadas por padrão e são permitidas apenas para documentos confiáveis essenciais?

• Sim
• Não
• [Campo de texto livre]

3.2. Você tem um processo para gerenciar e monitorar exceções para uso de macro?

• Sim
• Não
• [Campo de texto livre]

3.3. Existe treinamento dos funcionários sobre os riscos associados às macros?

• Sim
• Não
• [Campo de texto livre]

3.4. Você tem um processo de auditoria para uso de macro e exceções?

• Sim
• Não
• [Campo de texto livre]

3.5. As configurações de segurança de macro são revisadas e atualizadas regularmente?

• Sim
• Não
• [Campo de texto livre]

4. Proteção de aplicativos do usuário

4.1. O senhor implementou medidas para bloquear o acesso do navegador da web a conteúdo malicioso (por exemplo, Flash, anúncios, Java da Internet)?

• Sim
• Não
• [Campo de texto livre]

4.2. A capacidade dos usuários de baixar e instalar aplicativos não aprovados é restrita?

• Sim
• Não
• [Campo de texto livre]

4.3. O fortalecimento do navegador e de outros softwares críticos faz parte das revisões regulares de segurança?

• Sim
• Não
• [Campo de texto livre]

4.4. Você consegue identificar como as políticas de proteção de aplicativos são monitoradas e aplicadas?

• Sim
• Não
• [Campo de texto livre]

4.5. Os funcionários são treinados sobre a importância do endurecimento da aplicação?

• Sim
• Não
• [Campo de texto livre]

5. Restringir privilégios administrativos

5.1. Os privilégios administrativos são restritos a um número essencial de usuários e revisados regularmente?

• Sim
• Não
• [Campo de texto livre]

5.2. Dispõe de mecanismos para controlar a utilização de privilégios administrativos?

• Sim
• Não
• [Campo de texto livre]

5.3. Existe um processo de aprovação para a concessão de privilégios administrativos?

• Sim
• Não
• [Campo de texto livre]

5.4. Existem datas específicas em que as contas de usuário são auditadas quanto a privilégios administrativos desnecessários?

• Sim
• Não
• [Campo de texto livre]

5.5. As atividades administrativas são registadas e revistas regularmente?

• Sim
• Não
• [Campo de texto livre]

6. Patch de sistemas operacionais

6.1. Os sistemas operacionais são corrigidos regularmente?

• Sim
• Não
• [Campo de texto livre]

6.2. Você consegue identificar a frequência com que as vulnerabilidades de segurança são avaliadas e os patches aplicados?

• Sim
• Não
• [Campo de texto livre]

6.3. Você tem um sistema para priorizar a aplicação de patches com base na exposição a ameaças e no impacto nos negócios?

• Sim
• Não
• [Campo de texto livre]

6.4. Os esforços de correção são documentados e relatados à gerência?

• Sim
• Não
• [Campo de texto livre]

6.5. Você tem um sistema para avaliar a eficácia do processo de gerenciamento de patches?

• Sim
• Não
• [Campo de texto livre]

7. Autenticação multifator (MFA)

7.1. A MFA está habilitada para todos os acessos remotos, contas privilegiadas e acesso a informações confidenciais?

• Sim
• Não
• [Campo de texto livre]

7.2. Você pode garantir a segurança e a robustez de sua implementação de MFA?

• Sim
• Não
• [Campo de texto livre]

7.3. Todos os membros do pessoal são obrigados a utilizar a AMF sem exceções?

• Sim
• Não
• [Campo de texto livre]

7.4. Você consegue identificar a frequência com que as configurações de MFA são revisadas e atualizadas?

• Sim
• Não
• [Campo de texto livre]

7.5. Existe um processo para responder a bloqueios ou falhas de MFA?

• Sim
• Não
• [Campo de texto livre]

8. Backup diário de dados importantes

8.1. São realizados backups diários de dados essenciais, software e definições de configuração?

• Sim
• Não
• [Campo de texto livre]

8.2. Esses backups são testados regularmente para garantir que possam ser restaurados rapidamente após um incidente?

• Sim
• Não
• [Campo de texto livre]

8.3. Os dados de backup são armazenados de forma segura, tanto no local quanto fora dele?

• Sim
• Não
• [Campo de texto livre]

8.4. Você tem controles para proteger a integridade do backup contra ataques de malware ou ransomware?

• Sim
• Não
• [Campo de texto livre]

8.5. Os processos de backup e restauração são documentados e revisados regularmente para melhorias?

• Sim
• Não
• [Campo de texto livre]

O Essential Eight descreve medidas fundamentais de segurança cibernética. Para proteção avançada e gerenciamento de vulnerabilidades contra ameaças cibernéticas, considere o gerenciamento de superfície de ataque externo da UpGuard, o BreachSight.

O UpGuard BreachSight ajuda você a entender os riscos que afetam sua postura de segurança externa e garante que seus ativos sejam constantemente monitorados e protegidos. Nosso painel completo facilita a visualização rápida da segurança cibernética da sua organização e a comunicação interna sobre riscos, vulnerabilidades ou incidentes de segurança atuais. Outros recursos incluem:

• Detecção de vazamento de dados: proteja sua marca, propriedade intelectual e dados de clientes com detecção oportuna de vazamentos de dados e evite violações de dados
• Monitoramento contínuo: obtenha informações em tempo real e gerencie exposições, incluindo domínios, IPs e credenciais de funcionários
• Redução da superfície de ataque: reduza sua superfície de ataque descobrindo vulnerabilidades exploráveis e domínios em risco de typosquatting
• Perfil de segurança compartilhado: Elimine a necessidade de responder a questionários de segurança criando um perfil compartilhado do UpGuard
• Fluxos de trabalho e isenções: simplifique e acelere a forma como você corrige problemas, dispensa riscos e responde a consultas de segurança
• Relatórios e insights: acesse relatórios personalizados para diferentes partes interessadas e visualize informações sobre sua superfície de ataque externa