Persyaratan MFA dibandingkan di 11 kerangka kerja keamanan
Semua pihak sepakat bahwa MFA penting, tetapi kerangka kerja berbeda pendapat mengenai di mana MFA wajib diterapkan, untuk pengguna mana, dan seberapa kuat metodenya harus. Berikut perbandingannya, beserta ID persyaratannya.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Autentikasi multi-faktor adalah kontrol tunggal yang paling sering disebut setelah insiden pelanggaran: "akun tersebut tidak memiliki MFA." Ini juga merupakan kontrol yang sangat berbeda di antara kerangka kerja. Sebagian menyebut MFA secara eksplisit untuk pengguna dan jalur akses tertentu; yang lain mewajibkan "autentikasi yang aman" dan menyerahkan metodenya pada penilaian risiko Anda. Satu kerangka kerja sama sekali tidak menyebutkannya.
Siapa mewajibkan apa
| Kerangka kerja | Autentikasi Multi-Faktor | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.AA-03 | Definisi topik |
| ISO 27001 | A.8.5 | Crosswalk |
| CIS v8.1 | CIS 6.3CIS 6.4CIS 6.5 | Editorial |
| SOC 2 | CC6.1 | Editorial |
| PCI DSS | 8.4.18.4.28.4.38.5.1 | Editorial |
| CMMC | IA.L2-3.5.3 | Crosswalk |
| 800-53 | IA-2(1)IA-2(2) | Crosswalk |
| HIPAA | — | |
| GDPR | — | Tidak ada pemetaan dalam data kami |
| NIS2 | 11.611.7 | Crosswalk |
| Essential Eight | ISM-1504ISM-1679ISM-1173ISM-0974ISM-1401ISM-1872 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Autentikasi Multi-Faktor di seluruh kerangka kerja →
Persyaratan eksplisit
- PCI DSS v4.0.1 adalah yang paling spesifik. MFA untuk semua akses administratif non-konsol ke dalam lingkungan data pemegang kartu (8.4.1), untuk semua akses ke dalam lingkungan data pemegang kartu (8.4.2), dan untuk akses jaringan jarak jauh (8.4.3). Sejak 31 Maret 2025, 8.4.2 berlaku untuk semua pengguna, bukan hanya administrator. 8.5.1 menambahkan persyaratan tentang cara sistem MFA itu sendiri dikonfigurasi, misalnya terhadap replay dan bypass.
- CMMC Level 2 (IA.L2-3.5.3) mewajibkan MFA untuk akses lokal dan jaringan ke akun istimewa, serta untuk akses jaringan ke akun non-istimewa.
- NIST SP 800-53 mewajibkan MFA untuk akun istimewa dan non-istimewa melalui IA-2(1) dan IA-2(2).
- CIS Controls v8.1 mewajibkan MFA untuk aplikasi yang terpapar secara eksternal (6.3), akses jaringan jarak jauh (6.4), dan akses administratif (6.5).
- Peraturan Pelaksana NIS2 (poin 11.7) mewajibkan autentikasi multi-faktor atau autentikasi berkelanjutan jika sesuai, selaras dengan klasifikasi sistem yang diakses. Direktif itu sendiri mencantumkan MFA sebagai salah satu langkah Pasal 21.
- Essential Eight memiliki MFA sebagai salah satu dari delapan strateginya, dengan persyaratan yang meluas di setiap level kematangan: dari layanan daring dan akses jarak jauh di Level One, melalui pengguna istimewa dan repositori data, hingga MFA tahan-phishing di level yang lebih tinggi.
Yang bersifat implisit
ISO 27001 mewajibkan autentikasi yang aman (A.8.5), dan panduannya dalam ISO/IEC 27002 mengarah ke MFA untuk sistem penting, tetapi standar ini menyerahkan pilihannya pada penanganan risiko Anda. SOC 2 tidak memiliki kriteria MFA; auditor meninjaunya di bawah kontrol akses logis (CC6.1), dan dalam praktiknya sebagian besar mengharapkannya untuk akses jarak jauh dan akses istimewa. HIPAA Security Rule yang berlaku saat ini mewajibkan autentikasi orang atau entitas (§164.312(d)) tanpa menentukan caranya; HHS mengusulkan pada Januari 2025 untuk mewajibkan MFA. GDPR meminta keamanan yang sesuai dengan risiko dan tidak menyebutkan kontrol spesifik.
Ke mana arah kerangka kerja: ketahanan terhadap phishing
Arah perkembangannya sudah jelas. Pedoman identitas digital NIST (SP 800-63B) dan CISA lebih mengutamakan autentikator tahan-phishing, seperti kunci keamanan FIDO2 dan passkey, dibandingkan kode sekali pakai yang dikirim melalui SMS atau aplikasi. Essential Eight memasukkan ketahanan terhadap phishing ke dalam level kematangan yang lebih tinggi. Jika Anda sedang memilih metode MFA sekarang, rancanglah untuk kerangka kerja paling ketat yang mungkin Anda hadapi: tahan-phishing untuk administrator dan akses jarak jauh terlebih dahulu, lalu untuk semua orang.
Poin utama
- PCI DSS, CMMC, SP 800-53, CIS, NIS2, dan Essential Eight menyebut MFA secara eksplisit.
- ISO 27001 dan SOC 2 mengimplikasikannya; HIPAA mungkin segera mewajibkannya.
- Rancang MFA tahan-phishing sekarang, dimulai dari administrator dan akses jarak jauh.
Baseline praktis
- MFA di mana pun untuk akses jarak jauh: VPN, desktop jarak jauh, konsol cloud, email, dan setiap aplikasi yang terpapar secara eksternal.
- MFA untuk setiap tindakan istimewa, termasuk akses administrator lokal jika CMMC berlaku.
- MFA untuk setiap orang yang dapat menjangkau data sensitif ("semua akses ke dalam CDE" dari PCI).
- Metode tahan-phishing untuk administrator sekarang, dan untuk semua orang sesegera mungkin.
- Catat peristiwa MFA dan beri peringatan atas kegagalan serta pendaftaran perangkat baru.
Halaman topik Multi-Factor Auth mencantumkan setiap ID persyaratan beserta sumbernya, dan analisis kesenjangan menunjukkan bagaimana persyaratan MFA dari kerangka kerja Anda saat ini dibandingkan dengan kerangka kerja berikutnya yang Anda butuhkan.
Pertanyaan
Kerangka kerja mana yang secara eksplisit mewajibkan MFA?
PCI DSS v4.0.1 (8.4.1–8.4.3), CMMC Level 2 (IA.L2-3.5.3), SP 800-53 (IA-2(1) dan IA-2(2)), CIS Controls (6.3–6.5), Peraturan Pelaksana NIS2 (11.7), dan Essential Eight. ISO 27001 dan SOC 2 mewajibkan autentikasi yang aman tanpa menyebut MFA secara eksplisit.
Apakah HIPAA mewajibkan MFA?
Security Rule yang berlaku saat ini mewajibkan autentikasi orang atau entitas, bukan MFA secara spesifik. HHS mengusulkan pada Januari 2025 untuk mewajibkan MFA; periksa apakah usulan itu sudah difinalisasi.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.