Autenticación multifactor
Exigir múltiples factores de autenticación para el acceso.
Autenticación multifactor se define por el resultado de NIST CSF 2.0 PR.AA-03 (Users, services, and hardware are authenticated). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CMMC, 800-53 y NIS2. Editorial Con correspondencia editorial en CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA y Cyber Essentials. Solo relación tangencial en HIPAA. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para GDPR y CPS 234.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Definición del tema | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Correspondencia | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Editorial | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Editorial | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Editorial | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Correspondencia | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Correspondencia | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (PR.AA-03) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| GDPR | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de GDPR está asignado a este tema en nuestros datos. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Correspondencia | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Editorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Editorial | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de CPS 234 está asignado a este tema en nuestros datos. |
| Cyber Essentials | CE 4 | User Access Control | Editorial | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Autenticación multifactor
La autenticación multifactor (MFA) reduce de forma significativa el riesgo de compromiso de cuentas, ya que exige a los usuarios presentar dos o más factores de verificación, normalmente combinando algo que saben (contraseña), algo que tienen (token de hardware o dispositivo móvil) y algo que son (biometría). La MFA se considera hoy un requisito de seguridad básico en prácticamente todos los marcos de cumplimiento y es especialmente crítica para las cuentas privilegiadas, el acceso remoto y la autenticación de servicios en la nube. La guía de NIST (SP 800-63B) y de CISA favorece los métodos resistentes al phishing, como las llaves de seguridad FIDO2 y las passkeys, frente a los códigos por SMS, que pueden ser interceptados; el Essential Eight exige métodos más robustos en los niveles de madurez más altos.