Essential Eight（基本八项）通常在三种情况下出现：政府招标要求提供、大客户发来供应链调查问卷，或者网络保险公司在续保表上询问。无论哪种情况，往往都是一个从未听说过它的人，要在两周内弄清楚它到底是什么意思。
这个框架本身很好。问题在于，它是由拥有安全团队的组织编写、也是为这类组织编写的，官方指南措辞精确，却默认你已经懂得这套语言。下面就是我们为客户提供的“白话版”。
Essential Eight 是为谁编写的
Essential Eight 由澳大利亚信号局（Australian Signals Directorate，ASD）发布，基于 ASD 自身在事件响应、威胁情报和渗透测试方面的经验制定。它自 2017 年起持续维护，并随着攻击者行为的变化定期修订。
它对非公司型联邦实体是强制性的。对其他所有人来说，它只是建议，直到它出现在合同里。这个区别很重要，因为它改变了“完成”的含义。如果你是为了投标而做，标准是第三方愿意接受的证据。如果你是因为不想被入侵而做，标准是控制措施是否真正有效。这不是同一个项目，把两者混为一谈，正是企业在文档上花了大笔钱却依然脆弱的原因。
八项策略的白话解读
| 策略 | 日常意味着什么 | 工作量 |
|---|---|---|
| 多重身份验证 | 在电子邮件、VPN、远程访问以及任何保存敏感数据的面向互联网的系统上启用第二重验证 | 低 |
| 定期备份 | 备份频率与你能承受丢失的数据量相匹配，存放在即使攻击者拿到你的管理员密码也无法删除的地方，并且实际从备份中恢复作为测试 | 低至中 |
| 修补应用程序 | 浏览器、Office、PDF 阅读器以及任何面向互联网的软件按既定时限更新，已知被利用的漏洞最优先 | 中 |
| 修补操作系统 | 对 Windows、macOS 和 Linux 执行同样的纪律，并淘汰不再获得安全更新的版本 | 中 |
| 限制管理权限 | 管理员权限按需申请并定期审查，而不是永久持有；管理工作使用独立账户；特权账户不收发邮件、不浏览网页 | 中 |
| 配置 Office 宏设置 | 阻止来自互联网的宏；只有在确有业务需要时才允许使用宏 | 低至中 |
| 用户应用程序加固 | 关闭浏览器和 Office 中几乎没人需要的高风险功能 | 中 |
| 应用程序控制 | 只有经过批准的可执行文件、脚本和安装程序才能运行 | 高 |
没人告诉你的实施顺序
Essential Eight 是一份清单，而不是一个先后顺序，编号也不代表优先级。如果从上往下逐项推进，最难的应用程序控制会排在第一位，而这恰恰是这类项目在第二个月停滞、从此再无下文的最常见原因。
我们实际采用的顺序
- MFA：每小时投入回报最高，没有之一。
- 备份，并经过测试：决定你最糟糕的一天会有多糟。
- 补丁管理（操作系统和应用程序）：主要靠工具和日程表。
- 限制管理权限：更多是人事问题，而非技术问题。
- 宏设置和用户应用程序加固：策略层面的工作，范围界定得当则对用户影响很小。
- 应用程序控制：放在最后，并为它预留充足的时间。
先做 MFA 和备份并不是妥协。凭据泄露是向 OAIC 报告的数据泄露事件中约四分之一的根本原因，而勒索软件通报在 2025 年全年增长了 24%。这两项控制措施，正好挡在最可能真正发生在你身上的两件事前面。
Maturity Level One（成熟度一级）的真正要求
成熟度共分四级，从零级到三级。零级表示你的整体安全态势存在薄弱环节。一级是基线，针对的是使用通用、广泛可得手法的攻击者，属于机会型而非定向型攻击。二级和三级则针对愿意在特定目标上投入更多时间和精力的对手。
ASD 的指导原则是：先让全部八项策略达到同一级别并加以验证，然后再往上提升。这是大多数自我评估都会违反的规则。一家企业的备份达到 Maturity Level Three，而应用程序控制只有 Maturity Level Zero，那么它的整体就是 Maturity Level Zero。这个模型不取平均值。
关于一级，有两点总是让人意外：
补丁有时限，而且比你的周期更短。一级要求面向互联网的服务在很紧的时限内完成修补，如果已存在可用的漏洞利用代码，时限还会大幅缩短。“我们每月打一次补丁”对于面向互联网的系统来说，通常达不到一级。请在 cyber.gov.au 上查看当前的时限要求。这些要求会修订，引用一篇两年前博客文章里的数字，正是很多人评估不合格的原因。
备份的关键在于恢复，而不是备份本身。一级要求按照业务连续性要求保留备份，并且测试恢复。它还要求非特权账户无法修改或删除备份。最后这一条恰恰难住了很多企业：他们所谓的“异地备份”只是同步到一个域管理员就能清空的云盘，而这正是勒索软件团伙首先要做的事。
小企业容易卡在哪里
在未受管理的设备上实施应用程序控制。如果员工使用个人笔记本电脑，在先解决设备管理之前，应用程序控制几乎不可能实现。那是一个更大的项目。尽早认识到这一点，可以避免几个月的无效折腾。
那一个遗留应用程序。几乎每家企业都有一个：老旧的财务软件，或者某个供应商早已不回邮件的行业工具。它需要宏，或者本地管理员权限，或者一个已不受支持的运行环境。把这个例外记录下来，围绕它采取补偿措施（对它进行网络隔离、限制谁可以运行它），并在评估中如实说明。公开承认的例外站得住脚；悄悄隐瞒的则不然。
把管理员权限当作身份象征。要收回某个人已经持有九年的常驻管理员权限，这需要一次谈话，而不是改一下配置。先从独立账户模式入手，同一个人使用两个登录账户，而不是直接收回这项能力。这样可以获得大部分安全收益，阻力也小得多。
把它当作一个项目，而不是一种状态。成熟度是根据当前实际情况来评估的。一家企业在三月达到了一级，六月停止打补丁，到了九月就不再是一级。退化最快的控制措施是补丁管理和权限蔓延。
没有证据，就等于没做
无论提出要求的是评估员、客户还是保险公司，他们要的都是证据，而不是声明。边做边积累证据；事后再补，成本要高出好几倍。
- MFA：已启用用户的报告，加上例外数量以及每个例外存在的原因。
- 补丁管理：补丁工具生成的合规报告，显示相对于你所定时限的修补耗时，而不仅仅是当前状态的百分比。
- 备份：注明日期的恢复测试记录。恢复的是哪个系统、由谁执行、耗时多久、出了什么问题。
- 管理权限：当前的特权账户清单以及上一次审查的日期。
- 宏和加固：导出的策略配置。
- 应用程序控制：规则集，加上一份拦截执行的日志样本，证明它处于强制执行模式而不是审计模式。
最后这个区别比听起来更重要。以审计模式部署的应用程序控制会生成漂亮的日志，却什么也不拦截。它作为第一阶段是合理的，因为你需要一段发现期来了解员工实际运行哪些程序，但它本身并不是这项控制，评估员一定会问到。
这些在概念上都不难。对大多数小企业来说，技术工作只需几周，外加一段更长的测试和证据收集期。真正吃力的，是那些从应用程序控制开始、发现它确实很难，然后断定整个框架遥不可及的企业。从 MFA 和一次恢复测试开始吧。在你读完成熟度模型之前，就已经解决了最可能让你度过糟糕一季的两大原因。
什么是 Essential Eight（基本八项）？
澳大利亚信号局（Australian Signals Directorate，ASD）发布的八项缓解策略：应用程序控制、修补应用程序、配置 Microsoft Office 宏设置、用户应用程序加固、限制管理权限、修补操作系统、多重身份验证以及定期备份。它们是 ASD 向所有组织推荐的基线。
Essential Eight 对澳大利亚企业是强制性的吗？
对大多数私营企业而言不是。它对非公司型联邦实体（non-corporate Commonwealth entities）是强制性的，并且越来越多地以合同要求的形式出现：政府招标、供应链调查问卷以及网络保险申请中都会要求。私营企业通常正是因为这些原因才需要它。
什么是 Maturity Level One（成熟度一级）？
四个级别中的第一级（Maturity Level Zero 至 Three，即成熟度零级至三级）。一级旨在抵御使用广泛可得的通用手法的攻击者，也就是机会型攻击。ASD 建议先让全部八项策略达到同一成熟度级别，再整体提升，因为任何一项薄弱的策略都会削弱其他策略。
小企业达到 Maturity Level One 需要多长时间？
对于一家已在使用 Microsoft 365 且设备受管理的典型 20 至 50 人企业，技术工作通常只需几周。拉长周期的是应用程序控制（在开始拦截之前，需要一段发现期来了解员工实际运行哪些程序）以及证据留存。大部分时间花在文档和测试上，而不是配置上。
Essential Eight 中应该先做哪一项控制？
先做多重身份验证，再做备份，而不是按照列表顺序。MFA 针对的是凭据泄露，而凭据泄露是向澳大利亚信息专员办公室（OAIC）报告的数据泄露事件中约四分之一的根本原因。经过测试的备份决定了一次勒索软件事件只是代价高昂的一周，还是灭顶之灾。应用程序控制最难，应放在最后。