Multi-Faktor-Authentifizierung
Mehrere Authentifizierungsfaktoren für den Zugriff vorschreiben.
Multi-Faktor-Authentifizierung wird durch das NIST CSF 2.0 Outcome PR.AA-03 (Users, services, and hardware are authenticated) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CMMC, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA und Cyber Essentials. In HIPAA nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR und CPS 234.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Themendefinition | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Crosswalk | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Redaktionell | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Redaktionell | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Redaktionell | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Crosswalk | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Crosswalk | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (PR.AA-03) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Crosswalk | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Redaktionell | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Redaktionell | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine CPS 234-Anforderung diesem Thema zugeordnet. |
| Cyber Essentials | CE 4 | User Access Control | Redaktionell | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Multi-Faktor-Authentifizierung
Die Multi-Faktor-Authentifizierung (MFA) verringert das Risiko einer Kontokompromittierung deutlich, indem Benutzer zwei oder mehr Nachweisfaktoren vorlegen müssen, typischerweise eine Kombination aus etwas, das sie wissen (Passwort), etwas, das sie besitzen (Hardware-Token oder Mobilgerät), und etwas, das sie sind (Biometrie). MFA gilt inzwischen als grundlegende Sicherheitsanforderung in praktisch allen Compliance-Frameworks und ist besonders kritisch für privilegierte Konten, Fernzugriffe und die Authentifizierung bei Cloud-Diensten. Die Leitlinien von NIST (SP 800-63B) und CISA bevorzugen phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel und Passkeys gegenüber SMS-Codes, die abgefangen werden können; das Essential Eight verlangt auf höheren Reifegradstufen stärkere Verfahren.