Authentification multifacteur
Exiger plusieurs facteurs d'authentification pour l'accès.
Authentification multifacteur est défini par le résultat NIST CSF 2.0 PR.AA-03 (Users, services, and hardware are authenticated). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CMMC, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans CIS v8.1, SOC 2, PCI DSS, Essential Eight, DORA et Cyber Essentials. Seulement faiblement liés dans HIPAA. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR et CPS 234.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Users, services, and hardware are authenticated | Définition du sujet | PR.AA-03 |
| ISO 27001 | A.8.5 | Secure authentication | Correspondance | A.8.5: via PR.AA-03 |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Require MFA for Externally-Exposed Applications; Require MFA for Remote Network Access; Require MFA for Administrative Access | Éditorial | CIS 6.3: MFA for externally-exposed applications; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.4: MFA for remote network access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. CIS 6.5: MFA for administrative access; not in CIS's own crosswalk to CSF 2.0, which covers 49 of 153 safeguards. |
| SOC 2 | CC6.1 | Logical access security over information assets | Éditorial | CC6.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | MFA for non-console administrative access to the CDE; MFA for all access into the CDE; MFA for remote network access… | Éditorial | 8.4.1: PCI DSS's MFA requirement for administrative CDE access; NIST's PCI references for PR.AA-03 omit 8.4.x. 8.4.2: MFA for all CDE access; omitted from NIST's PCI references for PR.AA-03. 8.4.3: MFA for remote network access; omitted from NIST's PCI references for PR.AA-03. 8.5.1: MFA system configuration; omitted from NIST's PCI references for PR.AA-03. |
| CMMC | IA.L2-3.5.3 | Multifactor Authentication | Correspondance | IA.L2-3.5.3: via 800-171r3 03.05.03 ↔ PR.AA-03 → IA-2; 800-171r2 Appendix D → IA-2 |
| 800-53 | IA-2(1)IA-2(2) | Multi-factor Authentication to Privileged Accounts; Multi-factor Authentication to Non-privileged Accounts | Correspondance | IA-2(1): via PR.AA-03 IA-2(2): via PR.AA-03 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (PR.AA-03) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 11.611.7 | Authentication; Multi-factor authentication | Correspondance | 11.6: via PR.AA-03 11.7: via PR.AA-03; ENISA ISO map: A.8.5 |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Multi-factor authentication is used to authenticate human users to their organisation’s online services that process…; Multi-factor authentication is used to authenticate human users to third-party online services that process, store or…; Multi-factor authentication is used to authenticate privileged human users of systems… | Éditorial | ASD assigns these ISM controls to the Essential Eight; ASD publishes no crosswalk to NIST or ISO, so linking them to topics is ControlMapping editorial. |
| DORA | Art.9(4)(d) | Protection and prevention | Éditorial | Art.9(4)(d): Strong authentication mechanisms based on relevant standards; the technical standards set out the detail. |
| CPS 234 | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence CPS 234 n'est mise en correspondance avec ce thème dans nos données. |
| Cyber Essentials | CE 4 | User Access Control | Éditorial | CE 4: Multi-factor authentication wherever it is available, and always for cloud services. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Authentification multifacteur
L'authentification multifacteur (MFA) réduit considérablement le risque de compromission de comptes en exigeant que les utilisateurs présentent deux facteurs de vérification ou plus, combinant généralement quelque chose qu'ils connaissent (mot de passe), quelque chose qu'ils possèdent (jeton matériel ou appareil mobile) et quelque chose qu'ils sont (données biométriques). La MFA est désormais considérée comme une exigence de sécurité de base dans pratiquement tous les référentiels de conformité, et elle est particulièrement critique pour les comptes privilégiés, l'accès à distance et l'authentification aux services cloud. Les recommandations du NIST (SP 800-63B) et de la CISA privilégient les méthodes résistantes au hameçonnage, telles que les clés de sécurité FIDO2 et les passkeys, par rapport aux codes SMS, qui peuvent être interceptés ; l'Essential Eight exige des méthodes plus robustes aux niveaux de maturité supérieurs.