المصادقة متعددة العناصر
اشتراط استخدام عدة عناصر مصادقة للوصول.
يُعرَّف المصادقة متعددة العناصر بنتيجة NIST CSF 2.0 الآتية: PR.AA-03 (Users, services, and hardware are authenticated). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CMMC, 800-53 وNIS2. تحريري مُطابَق تحريريًا في CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA وCyber Essentials. ذو صلة فضفاضة فقط في HIPAA. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ GDPR وCPS 234.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | تعريف الموضوع | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | جدول المطابقة | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | تحريري | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | تحريري | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | تحريري | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | جدول المطابقة | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | جدول المطابقة | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.AA-03) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | جدول المطابقة | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | تحريري | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | تحريري | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | CE 4 | User Access Control | تحريري | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول المصادقة متعددة العناصر
تقلل المصادقة متعددة العناصر (MFA) بشكل كبير من مخاطر اختراق الحسابات، إذ تشترط على المستخدمين تقديم عاملين أو أكثر من عوامل التحقق، وغالباً ما تجمع بين شيء يعرفونه (كلمة المرور)، وشيء يملكونه (رمز أجهزة أو جهاز محمول)، وشيء يميزهم (القياسات الحيوية). وأصبحت المصادقة متعددة العناصر تُعد اليوم متطلباً أمنياً أساسياً في جميع أطر الامتثال تقريباً، وهي بالغة الأهمية بوجه خاص للحسابات ذات الامتيازات، والوصول عن بُعد، والمصادقة على خدمات السحابة. وتفضّل إرشادات NIST (SP 800-63B) وCISA الطرق المقاومة للتصيد الاحتيالي، مثل مفاتيح الأمان FIDO2 والمفاتيح المرورية (passkeys)، على رموز الرسائل القصيرة SMS التي يمكن اعتراضها؛ كما يشترط Essential Eight استخدام طرق أقوى عند مستويات النضج الأعلى.