متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًا
يتفق الجميع على أهمية MFA، لكن الأطر تختلف في أماكن إلزامه، وللمستخدمين الذين يشملهم، ومدى قوته المطلوبة. فيما يلي المقارنة مع معرّفات المتطلبات.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
المصادقة متعددة العوامل هي الضابط الأكثر ذكرًا بعد أي خرق: «الحساب لم يكن يملك MFA». وهي أيضًا ضابط تختلف فيه الأطر اختلافًا حادًا. بعضها يسمّي MFA صراحةً لمستخدمين ومسارات وصول محددة، وأخرى تشترط «مصادقة آمنة» وتترك طريقة التنفيذ لتقييم المخاطر لديك. وإطار واحد لا يذكرها إطلاقًا.
من يشترط ماذا
| الإطار | المصادقة متعددة العناصر | رابط |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | تعريف الموضوع |
| ISO 27001 | A.8.5 | جدول المطابقة |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | تحريري |
| SOC 2 | CC6.1 | تحريري |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | تحريري |
| CMMC | IA.L2-3.5.3 | جدول المطابقة |
| 800-53 | IA-2(1)IA-2(2) | جدول المطابقة |
| HIPAA | — | |
| GDPR | — | لا يوجد ربط في بياناتنا |
| NIS2 | 11.611.7 | جدول المطابقة |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | تحريري |
التفاصيل الكاملة وسبب كل رابط: المصادقة متعددة العناصر عبر الأطر →
المتطلبات الصريحة
- PCI DSS v4.0.1 هو الأكثر تحديدًا. MFA لكل وصول إداري غير وحدي إلى بيئة بيانات حاملي البطاقات (8.4.1)، ولـكل وصول إلى بيئة بيانات حاملي البطاقات (8.4.2)، وللوصول الشبكي عن بُعد (8.4.3). ومنذ 31 مارس 2025 ينطبق 8.4.2 على جميع المستخدمين، لا على المسؤولين فقط. ويضيف 8.5.1 متطلبات حول كيفية ضبط نظام MFA نفسه، مثل الحماية من إعادة التشغيل والتجاوز.
- CMMC Level 2 (IA.L2-3.5.3) يشترط MFA للوصول المحلي والشبكي إلى الحسابات ذات الامتيازات، وللوصول الشبكي إلى الحسابات غير ذات الامتيازات.
- NIST SP 800-53 يشترط MFA للحسابات ذات الامتيازات وغير ذات الامتيازات من خلال IA-2(1) وIA-2(2).
- CIS Controls v8.1 تشترط MFA للتطبيقات المعرّضة للخارج (6.3)، والوصول الشبكي عن بُعد (6.4)، والوصول الإداري (6.5).
- اللائحة التنفيذية لـ NIS2 (البند 11.7) تشترط المصادقة متعددة العوامل أو المصادقة المستمرة حيثما كان ذلك مناسبًا، بما يتوافق مع تصنيف الأنظمة التي يتم الوصول إليها. والتوجيه نفسه يدرج MFA ضمن التدابير الواردة في المادة 21.
- Essential Eight يضع MFA ضمن استراتيجياته الثمانية، مع متطلبات تتوسع عند كل مستوى نضج: من الخدمات الإلكترونية والوصول عن بُعد في المستوى الأول، مرورًا بالمستخدمين ذوي الامتيازات ومستودعات البيانات، وصولًا إلى MFA المقاوم للتصيد في المستويات الأعلى.
المتطلبات الضمنية
ISO 27001 يشترط المصادقة الآمنة (A.8.5)، وإرشاداته في ISO/IEC 27002 تشير إلى MFA للأنظمة المهمة، لكن المعيار يترك الاختيار لمعالجة المخاطر لديك. SOC 2 لا يحتوي على معيار صريح لـ MFA، ويتناوله المدققون ضمن الوصول المنطقي (CC6.1)، وعمليًا يتوقع معظمهم وجوده للوصول عن بُعد والوصول ذي الامتيازات. تنص HIPAA في قاعدة الأمان الحالية على مصادقة الشخص أو الكيان (§164.312(d)) دون تحديد الطريقة، واقترحت HHS في يناير 2025 اشتراط MFA. أما GDPR فيطلب أمنًا يتناسب مع المخاطر، ولا يسمّي ضوابط محددة.
إلى أين تتجه الأطر: مقاومة التصيد
اتجاه التطور واضح. إرشادات NIST للهوية الرقمية (SP 800-63B) وCISA تفضّل وسائل المصادقة المقاومة للتصيد، مثل مفاتيح الأمان FIDO2 والمفاتيح المرورية (passkeys)، على الرموز لمرة واحدة المرسلة عبر الرسائل النصية أو التطبيقات. وتدمج Essential Eight مقاومة التصيد في مستويات نضجها الأعلى. وإذا كنت تختار طريقة MFA الآن، فصمّمها وفق الإطار الأكثر صرامة الذي قد تواجهه: مقاومة للتصيد للمسؤولين والوصول عن بُعد أولًا، ثم لجميع المستخدمين.
أبرز الاستنتاجات
- PCI DSS وCMMC وSP 800-53 وCIS وNIS2 وEssential Eight تسمّي MFA صراحةً.
- ISO 27001 وSOC 2 تفترضانه ضمنًا، وقد يصبح HIPAA ملزمًا به قريبًا.
- صمّم MFA المقاوم للتصيد الآن، بدءًا بالمسؤولين والوصول عن بُعد.
خط أساس عملي
- MFA في كل موضع للوصول عن بُعد: الشبكات الافتراضية الخاصة (VPN)، وسطح المكتب البعيد، ولوحات تحكم السحابة، والبريد الإلكتروني، وكل تطبيق معرّض للخارج.
- MFA لكل إجراء ذي امتيازات، بما في ذلك وصول المسؤول المحلي حيثما ينطبق CMMC.
- MFA لكل من يستطيع الوصول إلى البيانات الحساسة (ما يسميه PCI «كل وصول إلى بيئة بيانات حاملي البطاقات»).
- طرق مقاومة للتصيد للمسؤولين الآن، ولجميع المستخدمين فور قدرتك على ذلك.
- سجّل أحداث MFA ونبّه عند حالات الإخفاق والتسجيلات الجديدة للأجهزة.
تسرد صفحة موضوع المصادقة متعددة العوامل كل معرّف متطلب مع مصدره، ويوضح تحليل الفجوات كيف تقارن متطلبات MFA في إطارك الحالي بالإطار التالي الذي تحتاجه.
الأسئلة
أي الأطر تتطلب MFA صراحةً؟
PCI DSS v4.0.1 (8.4.1–8.4.3)، وCMMC Level 2 (IA.L2-3.5.3)، وSP 800-53 (IA-2(1) وIA-2(2))، وCIS Controls (6.3–6.5)، واللائحة التنفيذية لـ NIS2 (11.7)، وEssential Eight. ويشترط ISO 27001 وSOC 2 المصادقة الآمنة دون تسمية MFA.
هل يتطلب HIPAA استخدام MFA؟
تشترط قاعدة الأمان الحالية مصادقة الشخص أو الكيان، لا MFA تحديدًا. اقترحت HHS في يناير 2025 اشتراط MFA؛ تحقق مما إذا كان ذلك قد أصبح نهائيًا.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.